イスラエルに拠点を置く暗号資産ブローカーのBits of Goldは、データ分析および顧客サポートに使用されていたサードパーティシステムに第三者が不正にアクセスしたセキュリティインシデントを調査している。同社によれば、主要な暗号資産および顧客アカウントは引き続き安全だが、一部の個人情報がアクセスされた可能性があるという。イスラエルのメディア報道によると、最大20万人の顧客が影響を受ける可能性がある。

サードパーティシステムへの不正アクセス

Bits of Goldによると、本インシデントは顧客への通知の数日前に発生しており、世界中の複数の企業が利用するソフトウェアプロバイダーに関わるより大規模なサイバー攻撃と関連しているという。こうしたベンダーを経由した攻撃手法は、脅威環境において繰り返し見られる特徴となっている。例えば2023年のMOVEitファイル転送ツールへの攻撃では、単一のベンダー製品の侵害が何千もの下流組織へと連鎖的に波及し、多くの場合、被害を受けた企業自体のセキュリティ境界の外側にまで影響が及んだ。

同社は侵害を検知した後、直ちに不正アクセスを遮断し、影響を受けたシステムを情報源から切断した。また、ハッキングを調査するためサードパーティのサイバーセキュリティ専門家に依頼し、所轄当局に通知した。イスラエルでは、個人データを含むセキュリティインシデントは、同国のプライバシー規制に定められた報告義務の対象であり、プライバシー保護庁（Privacy Protection Authority）が監督を担っている。

侵害されたシステムを通じてアクセスされた可能性のある情報には、氏名（フルネーム）、身分証明番号、メールアドレス、電話番号、IPアドレス、銀行口座情報、および公開されている暗号資産ウォレットアドレスが含まれる。

20万人の顧客が影響を受ける可能性

イスラエルのメディア報道は、約20万人の顧客が影響を受ける可能性があると伝えている。ただし、Bits of Goldは影響を受けたユーザーの最終的な人数を公表しておらず、20万人という数字も独立した検証はされていない。同社によれば、影響を受けたサードパーティシステムの調査は依然として進行中である。

現地報道で引用された情報によると、Bits of Goldはイスラエルにおける実績ある規制対象の暗号資産企業のひとつであり、登録顧客数は30万人を超える。同社は2013年から事業を展開しており、イスラエル証券局が2019年にデジタル資産サービスプロバイダーへの適用を開始した規制枠組みの下でライセンスを取得した最初期のイスラエルの暗号資産企業のひとつであり、正式な規制監督の下に置かれている。

同社は、どの情報が閲覧されたのか、何人の顧客が影響を受けたのか、そしてシステムからデータが削除されたのかどうかを明らかにするとしている。これらの疑問への回答と、名前が公表されていないソフトウェアプロバイダーがどのように侵害されたのかに関する調査結果により、本インシデントの最終的な影響範囲が確定するとみられる。

顧客資金と暗号資産への影響なし

Bits of Goldは、本インシデントは顧客資金やデジタル通貨とは無関係であると表明した。同社によれば、アカウントのパスワード、秘密鍵、ID入退室ドアのスキャンデータ、クレジットカードの完全な情報、CVVコードは漏えいしておらず、同社は秘密鍵やカードの完全な詳細情報を一切保管していないという。

また、現時点では、漏えいの可能性のあるデータが顧客に対して悪用されたという証拠もない。Bits of Goldの取引サービスへの影響はなく、顧客は本インシデントに起因して何らかの対応を取る必要はないと同社は述べている。

データ漏えいの可能性を受け、フィッシングやなりすまし攻撃は、個人情報がアクセスされた可能性のある人々にとって依然として主要な懸念事項である。この懸念には暗号資産業界での前例がある。ハードウェアウォレットメーカーのLedgerが2020年に、Eコマースデータベースへの侵害により約100万人の顧客の個人情報が露出したことを公表した後、影響を受けたユーザーは長年にわたり、漏えいした情報を基にしたフィッシングや詐欺メッセージの標的となった。

出典：Crypto Ninjas