Trezorのデータ漏洩、さらに6.7万人の米国顧客に拡大
重要ポイント
- •Trezorのデータ漏洩は、2019年11月から2021年8月の間に注文したさらに6.7万人の米国顧客に影響を及ぼしており、当初の見積もりである1.4万人から大幅に増加した。
- •漏洩した情報には氏名、メールアドレス、電話番号、配送先住所、注文詳細が含まれ、Trezorによれば、書面による保証にもかかわらず配送業者ShipMonkがデータを削除しなかったことが原因。
- •Trezor自身のシステムは侵害されていないが、攻撃者は流出データを利用して同社になりすまし、ユーザーのシードフレーズを盗むフィッシングを仕掛ける可能性がある。
- •ブロックチェーンセキュリティ企業Hackenによれば、フィッシングおよびソーシャルエンジニアリング詐欺は、第1四半期の暗号資産業界の損失4億8,200万ドルのうち3億600万ドルを占めた。
- •配送業者やカスタマーサポートツールなどのサードパーティベンダーは、暗号資産企業のデータセキュリティにおいて繰り返し弱点となってきた。
ハードウェアウォレット提供企業Trezorのデータ漏洩の影響は当初の見積もりを上回り、さらに6.7万人の米国顧客に拡大しました。
Trezorは金曜日のX投稿で、配送業者ShipMonkの最新情報を引用し、この漏洩により2019年11月から2021年8月の間に注文したより多くの米国ユーザーが危険にさらされる可能性があると述べました。
影響を受けた顧客は、氏名、メールアドレス、電話番号、配送先住所、注文詳細を含む完全な個人情報が露出しました。Trezorは、ShipMonkから書面による保証を受けていたにもかかわらず、同社がこれらの注文データを削除しなかったことを非難しています。
Trezor自身のシステムは侵害されませんでしたが、この漏洩は6.7万人の顧客のデジタル資産を脅かす可能性があります。攻撃者は流出した情報を利用し、Trezorになりすましたフィッシング攻撃を行い、ウォレットを管理するユーザーのシードフレーズを盗もうとする可能性があります。Trezorのようなハードウェアウォレットは、遠隔からの侵入から保護するために秘密鍵をオフラインに保つよう設計されていますが、この保護は、メーカーを装う人物に自らリカバリフレーズを渡してしまうユーザーには及びません。そのため、この種のデータ漏洩は、実際の注文詳細を引用した説得力のある個別化されたメッセージを作成できるソーシャルエンジニアリング詐欺師にとって特に価値があります。
8月、Trezorは当初、配送業者を通じてデータが露出したのは1.4万人のユーザーのみだと見積もっていました。また別に、Trezorは2024年1月に、2021年12月以降に同社のサポートチームに連絡した約6.6万人のユーザーがフィッシング攻撃のリスクにさらされていると報告していました。この問題はTrezorに限ったものではありません。配送業者、マーケティングプラットフォーム、カスタマーサポートツールなどのサードパーティベンダーは、企業が自社のインフラは管理できても外部パートナーには契約上の保証に依存せざるを得ないため、暗号資産企業のデータセキュリティにおいて繰り返し弱点となってきました。
フィッシング攻撃やソーシャルエンジニアリングは、コードの脆弱性を悪用する必要はありません。それでも、このようななりすまし型詐欺は今年第1四半期の暗号資産業界の損失の大部分を占め、ブロックチェーンセキュリティ企業Hackenによれば、総損失4億8,200万ドルのうち3億600万ドルを占めました。
7月には、ある暗号資産投資家がEthereum上で悪意あるフィッシングトークン承認トランザクションに署名し、約100万ドルを失いました。
