Trezorウォレットでデータ漏洩が発生…

ShipMonkの情報漏洩によりTrezorの顧客データが流出

@Trezor は、提携している第三者物流パートナーの1社から発生した、重大なデータ漏洩を確認した。 今回の情報漏洩は、Trezor製品の保管・発送を行うShipMonk社において、顧客データを保持するシステムに権限のない第三者がアクセスしたことが原因で発生した。 米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの計13,689人の顧客が影響を受けています。

約11,742人の顧客の個人情報が盗まれ、さらに1,947人の顧客の氏名、居住地、メールアドレスが漏洩した。 影響を受けた顧客は、2026年5月10日から8月8日の間に注文を行った。 漏洩した情報には、氏名、配送先住所、電話番号、メールアドレス、注文番号が含まれます。

Trezorの90日間のデータ保持ポリシーが、今回の事件の範囲を限定し、それより古い記録の漏洩を防いだようだ。

デバイスのセキュリティは向上したが、フィッシングのリスクは依然として存在する。

Trezor社は、自社のシステムは侵害されておらず、デバイスのセキュリティも維持されていると述べたが、影響を受けた顧客に対し、漏洩した情報を悪用した巧妙なフィッシング攻撃に警戒するよう警告した。

この懸念はもっともです。悪意のある人物が自宅の住所や電話番号を入手すれば、標的型ソーシャルエンジニアリング攻撃への明確な道筋が生まれます。攻撃者はTrezorのサポート担当者になりすましたり、配達員を装ったりして、被害者からウォレットの認証情報を抜き取ろうとします。

Trezor社は、ロッカーでの受け取り、中立的な梱包、一般的な送り主情報、配送識別情報の自動削除を利用した匿名配送オプションを導入する予定であり、9月までに欧州連合、年末までに米国での展開を目指すと発表した。

Trezorが第三者のセキュリティ上の問題に巻き込まれたのは、今回が初めてではない。 2024年1月、同社のサポートサイトは、第三者のサポートチケットポータルへの不正アクセスによりデータ侵害を受け、約6万6000人のユーザーの機密情報が流出した。 今回の事件は、サプライチェーンや物流パートナーがハードウェアウォレットメーカーにとってますます大きなリスクとなっていることを浮き彫りにしている。ハードウェアウォレットメーカーの顧客は、必然的に高額な標的となるからだ。

影響を受けたユーザーは、Trezorの注文に関する不審な連絡はすべて疑わしいものとして扱い、リンクをクリックしたり、アカウント情報やシードフレーズ情報を共有したりしないようにしてください。

ソース：
Decrypt：配送パートナーの侵害によりTrezorの顧客データが流出
Bleeping Computer：Trezorのサポートプラットフォームが暗号通貨窃盗フィッシング攻撃に悪用される