Trezorは金曜日、ハードウェアウォレットメーカーが先月初めて公表した配送業者ShipMonkでのデータ侵害に、米国人顧客がさらに67,000人巻き込まれたと発表した。

新たに特定された記録は2019年11月から2021年8月の注文を対象としており、一部は約7年前のものになる。ShipMonkは2日前にこの発見をTrezorに伝えた。

流出したデータには氏名、メールアドレス、電話番号、自宅住所、注文番号が含まれる。Trezorは、契約およびデータポリシーに従い、これらの記録が削除された旨の書面による確認をShipMonkから繰り返し受けていたにもかかわらず、実際には削除されていなかったことを知り、遺憾の意を表明した。この一件は、自社のセキュリティが守られていても、サードパーティベンダーを通じて情報が流出し得ることを示しており、今回の場合、契約で認められた期間をはるかに超えて顧客記録を保持していたフルフィルメント業者がその例である。

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezorが8月に侵害を公表した際、影響範囲が限定的だったのは、履行パートナーの契約条件に盛り込んだという90日間のデータ削除ポリシーのおかげだと説明していた。この主張は現在、大幅に弱まって見える。被害を受けた顧客数は13,689人から約80,700人へと増加した。調査で新たな侵害システムや保持データが発見されるにつれ、公表内容が拡大するのは侵害ではよくあることで、今後さらに更新される可能性も残されている。

ウォレット保有者は複数の脅威に直面

Trezor自身のシステムは侵害されておらず、デバイス、秘密鍵、ウォレットのバックアップも無事である。同社が指摘する危険は、これらの記録が特定の自宅住所にいるハードウェアウォレット保有者を特定できる点にある。偽のメール、電話、手紙に関する警告に加え、Trezorは被害を受けた顧客に対し身体的セキュリティのリスクについて注意喚起するとともに、ウォレットのバックアップを決して共有したりウェブサイトに入力したりしてはならないと繰り返した。

Trezorおよび競合するハードウェアウォレットメーカーLedgerの保有者たちは、すでに2月には偽造手紙を受け取り始めていた。それらにはホログラム、QRコード、偽造された役員署名が印刷され、架空のセキュリティチェックを有効化しなければウォレットへのアクセスを失うと要求していた。Ledger自身も2020年に大規模なEコマースデータ侵害を被り、約100万人の顧客の個人情報が流出し、その後数年にわたるフィッシングや脅迫が続いた。これは、盗まれた購入者データが長期間攻撃の温床になり得ることを示す前例である。

当時、サイバー犯罪コンサルタントのDavid Sehyeon Baek氏はDecryptに対し、氏名と自宅住所が記載された手紙は「こちらはあなたの居場所を把握している」という意思表示であり、人はめったに引っ越さず電話番号も変えないため、盗まれたデータは何年も使い続けられると語った。

この侵入は、8月6日に公表された分析ツールMetabaseの重大なSQLインジェクション脆弱性に端を発しており、認証されていない攻撃者が接続されたデータベースの認証情報を盗むことを可能にしていた。ノートPCメーカーのFrameworkやフォーム作成ツールのTallyも同じ攻撃の波に巻き込まれており、広く使われるソフトウェアの単一の脆弱性が多くの企業のデータに連鎖的に影響を及ぼしうることを示している。ShipMonkはShinyHuntersグループによるものとされる脅迫メールを受信したと報じられているが、この帰属はまだ確認されていない。

Trezorは、匿名配送を可能な限り早期に提供できるよう取り組んでいると述べた。これは、ロッカー受け取り、中立的な梱包、一般的な差出人情報を用い、購入者が自宅住所を渡す必要をなくすオプションである。