Trezorは、暗号資産ハードウェアウォレットの大手メーカーとして、旧配送パートナーShipMonkに関わるデータ漏洩の範囲を大幅に修正しました。

同社は、2019年11月から2021年8月の間に注文を行った米国の追加67,000人の顧客の個人情報が漏洩したことを公表し、8月13日に当初影響を受けたと報告された約14,000人から大幅に拡大しました。

今回の公表により、影響を受けた顧客の総数は約81,000人に上ります。当初の漏洩では11,742人の顧客の氏名、メールアドレス、電話番号、配送先住所が露見し、さらに別の1,947人の部分的なデータも露出しました。新たに確認された記録には、氏名、メールアドレス、電話番号、配送先住所、注文番号を含む包括的な個人情報が含まれています。

Trezorは、自社のインフラは侵害されておらず、ハードウェアウォレットは完全に安全であると強調しました。Trezorのようなハードウェアウォレットは、インターネットに接続されたサーバーではなくデバイス自体にユーザーの秘密鍵をオフラインで保管するため、ウォレットシステムではなく配送記録が侵害されても資金のセキュリティには影響しません。影響を受けたすべての個人にはメールで直接連絡が取られており、通知を受け取っていない顧客は今回の公表の影響を受けていないと同社は述べています。

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

契約違反と身体的セキュリティへの影響

この事件は、第三者によるデータ管理と契約遵守における重大な欠陥を露呈しています。ShipMonkとの取引期間を通じて、Trezorは顧客情報の削除を繰り返し要求し、契約上の義務およびデータ保護方針に従ってデータが削除されたという書面による保証を得ていました。

Trezorは、配送パートナーに対し、配送後90日以内に注文データを削除または匿名化することを求める厳格な方針を維持していました。同社は、明示的な書面による破壊確認があったにもかかわらず、これらのコミットメントが守られず、機密情報がShipMonkのシステムに長年保持されていたことに対し、深い失望を表明しました。約14,000人から約81,000人へと公表範囲が拡大したことは、調査の進展に伴い第三者ベンダーに関わる漏洩がしばしば上方修正される実態を示しており、外部の物流・配送業者に依存する多くの業界で見られるパターンでもあります。

従来のなりすまし（アイデンティティ盗難）やデジタル詐欺への懸念に加え、今回の漏洩は暗号資産ハードウェアウォレットの所有者が直面する特有の身体的セキュリティリスクを浮き彫りにしています。高価値のデジタル資産を保護するために設計されたデバイスの購入が判明している住居住所の露出は、典型的なフィッシングキャンペーンをはるかに超える脆弱性を生み出します。

Trezorは、影響を受けた顧客に対し、詐欺メール、不正な電話、欺瞞的な郵送物に対する警戒を強めるよう警告するとともに、自宅の住所が暗号資産の所有と公に結び付けられた個人が直面する潜在的な身体的セキュリティへの影響を明確に認めました。

この状況は、270,000人を超える顧客の情報を露出し、初期公表後も長年にわたり持続的なソーシャルエンジニアリング攻撃、詐欺電話、身体的脅威をもたらした2020年のLedgerデータ漏洩と酷似しています。こうした事件の再発は、暗号資産ハードウェア分野における配送パートナーへの監視強化が急務であることを示しており、Trezorによる匿名配送オプションの開発は、ハードウェアウォレットベンダーとその委託先がそもそも収集・保持する顧客データを最小化するという業界全体の潮流を示唆する可能性があります。

これに対応して、Trezorは今後の取引で顧客情報を保護するための匿名配送オプションを積極的に開発中であると発表しました。同社はまた、いかなる状況でもウォレットのリカバリーフレーズを共有したり、ウェブサイトに入力したりしてはならないという基本的なセキュリティガイダンスを改めて強調しました。

出典：Metaverse Post