スイスのBitcoin金融サービス企業Pocket Bitcoinは、8月に発生したセキュリティインシデントにより、5,400人超の顧客の個人情報および金融情報が流出したことを明らかにしました。これには銀行取引の詳細が含まれ、一部のケースではより機密性の高い記録も対象となりました。

@WuBlockchainが公開した情報によると、Pocket Bitcoinはこのインシデントで5,120人の顧客データが流出したと述べています。流出した情報には氏名、住所、銀行送金の金額および日付が含まれ、一部の記録にはIBANも含まれていました。

さらに291人の顧客については、より機密性の高い情報が流出しました。同社によれば、このデータには身分証明書、資金源記録、Bitcoinアドレス、居住地住所が含まれる可能性があります。この種の記録は、マネーロンダリング防止およびKYC（顧客本人確認）要件を満たすために規制対象の暗号資産金融企業が通常収集するものであり、顧客の秘密鍵を一切扱わない企業であっても大量の機密性の高い個人データを保有する理由となっています。

顧客・取引データベースは侵害されていないと同社が表明

Pocket Bitcoinは、顧客データベースおよび取引データベースは本インシデントで侵害されなかったと発表しました。流出した情報は、同社の影響を受けたサポートシステム内に保存されていた銀行往復文書および取引リストに由来するものです。

この区別は重要です。同社によれば、本インシデントは顧客の取引記録を含む中核データベースには関与していませんでした。また、Bitcoinの保有資産および秘密鍵には影響がなかったとしています。Pocket Bitcoinは、顧客がプラットフォームを通じてBitcoinを購入し、セルフカストディで保有するモデルを採用しており、同社は顧客の秘密鍵を管理していません。この設計により、今回のような漏洩の直接的な金銭的影響は資金ではなく個人データに限定されます。

同社によれば、現時点で流出した情報が悪用された兆候はありません。しかし、銀行情報、居住地住所、資金源記録の開示は、影響を受けた顧客にとって潜在的なプライバシーおよびセキュリティリスクをもたらす可能性があり、特にこの情報が後に他のソースから得られたデータと組み合わされた場合にはその懸念が高まります。

データ保護当局および警察への通報

Pocket Bitcoinは、スイスおよびリヒテンシュタインのデータ保護当局、ならびに警察に本インシデントを報告したと述べています。この種の規制当局への開示は、スイスのデータ保護法（2023年の改正以降、多くの場合において個人データを含む漏洩の報告を義務付ける）および、EU圏の顧客にサービスを提供する企業に適用され、対象となる漏洩について原則72時間以内の報告を求めるEUの一般データ保護規則（GDPR）に基づく企業の義務と整合しています。

この対応は、金融サービス全体におけるサイバーセキュリティと個人データ保護への規制当局の広範な関心の中で位置づけられるものです。銀行情報や本人確認記録を扱う暗号資産企業は、デジタル資産や秘密鍵が安全に保たれている場合でも、漏洩した個人データが詐欺、ソーシャルエンジニアリング、標的型攻撃に悪用される可能性があるため、追加のリスクに直面します。顧客の本人確認記録を流出させた取引所レベルの漏洩を含む他の暗号資産企業での類似の事案は、データのみの侵害であっても重大な顧客被害および評判の毀損をもたらしうることを示しています。

したがって、Pocket Bitcoinおよび影響を受けた顧客にとっての当面の焦点は、流出した情報の全体像を把握すること、および開示後に悪用が発生しないか監視することとなります。

出典：Hokanews