Trezorのデータ漏えいが大幅に拡大した。配送パートナーであるShipMonkが、数千件に上る古い顧客記録が自社システムに残っていたことを発見したためだ。ハードウェアウォレットメーカーのTrezorは金曜日、追加で67,000人の米国顧客が影響を受けたことを発表し、判明している総数は約80,689人となった。

新たに漏えいした記録は、2019年11月から2021年8月までに行われた注文に関するものだ。含まれるのは氏名、メールアドレス、電話番号、配送先住所、注文番号である。Trezorによると、ShipMonkは9月2日にこの追加の記録を通知した。漏えいした顧客がハードウェアウォレットを購入していたという事実自体も敏感な情報である。攻撃者に、誰が暗号資産を保有している可能性が高く、どのデバイスを使っているかが正確に分かってしまうからだ。このような情報があるため、ハードウェアウォレットの購入者はこれまでもフィッシングキャンペーンの標的となり続けてきた。

古い記録がデータ保持の問題を浮き彫りに

今回の開示は、ShipMonkが顧客データをどのように扱っていたのかという疑問を提起している。Trezorによれば、同社は古い記録の削除を繰り返し要請し、情報が削除されたとの書面による保証を受けていた。しかし現在、それらの記録はShipMonkのシステムに残っていたことが判明したという。

この発見は、Trezorの90日間データ保持ポリシーの有効性にも疑問を投げかけている。同ポリシーは、8月の漏えいの影響がより少人数で済んだ主な理由として当初挙げられていたものだ。書面による削除保証と実際のデータ削除との乖離は、外部ベンダーに依存する企業が直面するより広範な課題を浮き彫りにする。情報が自社のシステムを離れると、データ最小化の取り決めを検証することは困難なのである。

当初の開示では13,689人が影響を受けていた。そのうち11,742人は氏名、メールアドレス、電話番号、配送先住所が漏えいした。さらに1,947人はより限定的な情報が漏えいしていた。

ウォレットは安全を維持

Trezorは、自社システムは侵害されていないと述べている。今回の漏えいでは秘密鍵やウォレットのバックアップも漏えておらず、攻撃者がこの事件を通じて顧客の暗号資産に直接アクセスすることはなかったという。

とはいえ、漏えいした情報は影響を受けた顧客に重大なリスクをもたらしかねない。攻撃者は氏名、住所、注文内容、連絡先情報を悪用し、説得力のあるフィッシングメッセージを作成したり、Trezorや金融機関になりすましたりする恐れがある。

Trezorは、影響を受けたユーザーに対し、予期しないメール、電話、郵便物に注意するよう呼びかけた。顧客は、依頼してくる相手が誰であっても、ウォレットのバックアップを提供したり、リカバリーフレーズをウェブサイトに入力したりしてはならない。

同社によると、新たに特定されたすべての顧客にはメールで直接連絡が取られている。拡大し続ける今回の漏えいは、暗号資産企業のコアシステムやウォレットが保護されていても、第三者の物流プロバイダーがセキュリティリスクを生み出しうることを示している。