イスラエル最大級の暗号資産ブローカーのひとつであるBits of Goldは、データ侵害により最大25万人もの顧客の個人データおよび金融データが流出した可能性があることを公表しました。本件は、今年、地域の暗号資産プラットフォームを襲ったセキュリティ事故の中でも比較的重大なもののひとつとなっています。

Bits of Goldが公表した内容

同社は、本件が顧客情報を流出させた可能性があると述べるにあたり、データが実際に盗まれたことを確認するのではなく、慎重な表現を用いました。本件は、Bits of Goldをイスラエル最大の暗号資産企業と紹介したCoinDeskが報じました。

Bits of Goldは2013年から事業を営んでおり、同国で最も長い歴史を持つ暗号資産ブローカーのひとつです。また、規制された枠組みの中で事業を行っています。2017年のイスラエルの資金洗浄禁止法の改正により、仮想通貨が金融資産として分類され、暗号資産サービス提供事業者は同国の資金洗浄防止当局の監督下に置かれるようになりました。こうした立場が、この種の企業が顧客記録をどのように扱うかに対して適用される監視の水準を規定しています。

別の報道は対象規模を25万人のユーザーとし、本件の発生を受けビットコインの購入が停止されたことに言及しています。今回の公表は、資金の損失ではなく顧客データの流出を中心とするものです。

イスラエルのメディアCalcalistも、同ブローカーの顧客層に影響を及ぼした本件を報じました。今回の状況は、同社がサードパーティによる顧客データ侵害の調査を開始したとする先の公表に続くものです。この第三者起因が確認されれば、顧客記録が同ブローカーが直接運営するシステムの外で処理されていたことを示すことになります。この区別は、顧客が登録したプラットフォームだけでなく、顧客データを扱うサービス提供事業者のセキュリティにも注目を集めるものです。

流出した可能性があるデータ

報道では、個人情報と金融情報という2つのカテゴリーの情報が言及されています。個人情報は通常、オンボーディング(口座開設)時に顧客が提出する本人確認情報を指し、パスワードとは異なり、簡単にリセットできない種類の情報です。

金融情報は別の懸念を引き起こします。これは、顧客が購入資金の供給に使用する支払いおよび口座の詳細に関わるものです。個人情報と金融情報が同時に流出した場合、攻撃者が本人確認情報と金融に関する文脈を組み合わせることができるため、プライバシーとアカウントセキュリティの両方のリスクが高まります。

報道で名指しされた2つのカテゴリー以外に、具体的なデータ項目は確認されていません。こうした混合的な流出の性質こそが、影響を受けたユーザーにとっての深刻さを高めています。これは、注文追跡の不具合でSafePalの約4万人の顧客データが流出した際にも見られた動向です。

本件が暗号資産顧客にとって重要な理由

暗号資産プラットフォームでのデータ侵害は、ブローカーが機密性の高い記録をいかに保護しているかについての顧客の信頼を損なう可能性があります。イスラエル最大の暗号資産企業として位置づけられる企業にとって、信頼の側面は中核にあり、特に本件と併せて報じられたビットコイン購入の停止を考慮すると顕著です。

個人情報および金融情報の流出は、顧客を狙った標的型フィッシング、なりすまし、ソーシャルエンジニアリングの試みなど、二次的な詐欺および身元に関するリスクを生み出す可能性があります。流出した本人確認データは取り消せないため、こうした後続リスクは侵害そのものよりも長く続くことが少なくありません。データ管理への監視の目は業界全体で強まっており、取引所がユーザー記録を共有する方法にまで及んでいます。Binanceがユーザーデータをロシアの調査当局と共有したとする報道がその例です。

影響を受けたユーザーは、同社からの今後の発表や、Bits of Goldが保護策について発表する顧客向けガイダンス、また報じられているビットコイン購入停止が解除されるかどうかに注視すべきです。対象範囲が依然として最大25万人の顧客の潜在的な流出として位置づけられている中で、注視すべき最も重要なポイントは、同社が実際にアクセスされたデータを特定・確認するかどうかです。

免責事項:本記事は情報提供のみを目的としており、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場は大きなリスクを伴います。意思決定の前には、必ずご自身で調査を行ってください。