ハードウェアウォレットメーカーのTrezorは、サードパーティの物流プロバイダーであるShipMonkでのデータ漏洩を公表した。この漏洩により、7カ国の約13,700人の顧客の個人情報が露出した。

プラハを拠点とするSatoshiLabsが運営するTrezorは、Ledgerなどの競合と並び、暗号通貨業界で最も広く認知されたハードウェアウォレットブランドの一つである。この事件は、業界が直面する反復的な課題を浮き彫りにしている。暗号化デバイス自体は安全であっても、ベンダーや配送パートナーが保持する顧客データは高い価値を持つ標的になり得る。2020年、Ledgerは大規模なEコマースデータベースの漏洩を被り、約270,000人の顧客の個人情報が露出した。これにより、広範なフィッシングキャンペーンや、被害者に対する物理的な脅迫状の送付が報告された。

同社は今回の事件を、2013年の創業以来初めて顧客の電話番号と配送先住所が露出した事象であると説明した。影響を受けたのは、2026年8月8日より前の90日以内に注文を受け取った、アメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの新規顧客である。

Trezorによると、不正アクセスを行った者は2026年8月10日頃にShipMonkのシステムにアクセスし、氏名、配送先住所、電話番号、メールアドレスを含む注文記録を侵害した。影響を受けた者のうち、11,742人の顧客は4つのデータカテゴリーすべての完全な露出を経験し、さらなる1,947人の顧客は氏名、都市名、メールアドレスに限定された部分的な露出に直面した。

Trezorは、自社の内部システムおよびハードウェアデバイスは侵害されていないことを強調した。漏洩の範囲は、配送後に配送パートナーに対して注文記録の削除または匿名化を義務付ける90日間のデータ保持ポリシーによって制限されていた。

「お伝えすべき難しいニュースがあります」とTrezorは当初の発表で述べた。「残念ながら、当社の配送プロバイダーの一社がデータ漏洩を経験し、機密性の高い注文データが露出しました。」

https://x.com/Trezor/status/2087885428313543059

すべての該当ユーザーにはメールで直接通知が送られている。Trezorは、漏洩した個人情報がより巧妙なフィッシングキャンペーンを可能にする可能性があると警告した。攻撃者は銀行、暗号通貨取引所、あるいはTrezor自身を装って、顧客から機密情報を引き出す可能性がある。個人がハードウェアウォレットを購入したことを知ることで、攻撃者はより高い信頼性を持つソーシャルエンジニアリングの手口を仕掛けることが可能になる。これは他のウォレットプロバイダーでの類似事案の後にも観察された戦術である。

匿名配送とプライバシー強化策

この事件への対応として、Trezorはハードウェアウォレットの購入と顧客の現実の身元との関連を断ち切る「匿名配送」サービスの展開を加速している。この機能は、2026年9月までに欧州連合で、年末までにアメリカで提供開始される予定である。専用のチェックアウトフローを導入し、ユーザーはニックネームやラベルIDで登録し、自動ロッカーで小包を受け取り、ブランド名のない包装と一般的な差出人ラベルで注文を受け取ることができる。配送業者はメールまたはSMSでのみ受取コードを送信し、配送識別子は配送後に自動的に削除される。

Trezorはすべての顧客に対し、メール、電話、郵便を通じたフィッシング詐欺に警戒し、ウェブサイト上でウォレットの復元フレーズを入力したり、第三者と共有したりしないよう助言した。

同社は、ShipMonkが事件後に該当システムを保護し、セキュリティ態勢を強化したことを確認した。Trezorは漏洩の全容について引き続き調査を進めている。