Trezorは、ニュースレター配信に利用する第三者マーケティングプラットフォームBrevoの侵害により、顧客がフィッシング攻撃の標的になっていると警告しました。

ハードウェアウォレットメーカーのTrezorは水曜日、不正な第三者がBrevoのシステムにアクセスし、347,000人のTrezor顧客にメールを送信したと発表しました。Brevoは、企業が顧客向けのコミュニケーションを送信するためのツールを提供しています。

攻撃者はTrezorのドメイン名を利用したため、メールはより信頼できるものに見えました。フィッシングメールには、受信者にアプリケーションをダウンロードし、ウォレットのバックアップ情報を入力するよう求める悪意のあるリンクが含まれていました。

Trezorは、「Critical Security Alert: STM32 Entropy Vulnerability」という件名のメッセージは正規のものではないと説明し、ユーザーにリンクをクリックしないよう呼びかけました。

Our third-party e-mail provider has been breached. Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link. We have taken down the domain, and we are investigating… — Trezor (@Trezor) September 9, 2026

https://x.com/Trezor/status/2097786518110609620

Trezorは、20分以内にDNSレベルでドメインを停止したと発表しました。これにより、追加の受信者に対してリンクが機能しなくなり、ドメインが無効化される前にクリックした2,500人に影響を限定できたとしています。

影響を受けたユーザーについて、Trezorは当面の脅威を、信頼性の高そうなメッセージを使ってウォレットのバックアップ情報を狙うフィッシング攻撃だと説明しました。同社は、他のTrezorシステムには影響がなかったと述べる一方、流出したメールアドレスが今後のフィッシング攻撃に利用される可能性があると警告しました。

「これらのアドレスは、今後ほかのフィッシング攻撃に利用される可能性があります。その他のTrezorシステムには影響がありませんでした」とTrezorは述べました。同社はさらに、「今後のメール配信を停止するため、Brevoのアカウントを停止しました」と付け加えました。

Trezorは、顧客にウォレットのバックアップ情報を求めることは決してないと改めて注意喚起しました。

今回のインシデントは、Trezorの第三者フルフィルメントパートナーであるShipMonkをめぐる2件の開示に続くものです。先月、TrezorはShipMonkが標的となった後、11,742人の顧客のデータが流出したと発表しました。同社は先週、さらに67,000人の米国顧客について、氏名、メールアドレス、電話番号、配送先住所、注文番号が侵害で漏えいしたと説明しました。

他の暗号資産ウォレット企業も、今年に入りデータ関連のインシデントを報告しています。詐欺師は、暗号資産ウォレット企業Ledgerが利用する決済処理会社Global-eを通じて顧客情報を入手し、フィッシングメールの送信に利用しました。

先月、暗号資産ウォレットプロバイダーのSafePalも、約39,798人の顧客に属する注文情報への不正アクセスを伴う侵害を発表しました。情報には、氏名、住所、購入データなどの個人情報が含まれていました。

元の報道はBitcoin Magazineが掲載したもので、Mathew Di Salvoが執筆しました。