Trezorが第三者配送業者のデータ侵害を公表、13,600人以上の顧客に影響
重要ポイント
- •第三者配送業者でのデータ侵害により約13,689人のTrezor顧客が影響を受け、うち11,742人の完全な個人情報が漏洩し、1,947人のデータが部分的に侵害された。
- •侵害は外部配送業者のデータに限定されており、Trezorの内部システム、ハードウェアウォレット、秘密鍵、暗号資産には影響がない。
- •漏洩した顧客情報（氏名、住所、電話番号、メールアドレスを含む）により、被害者のハードウェアウォレット所有を利用した高度に標的化されたフィッシングキャンペーンが可能になる恐れがある。
- •Trezorは影響を受けたユーザーへの通知を継続し、配送業者と連携するとともに、顧客に対してすべての通信を公式チャネルで確認し、復元フレーズを決して共有しないよう呼びかけている。
- •本件は、競合のLedgerが2020年に経験した約270,000人の顧客に影響を及ぼしたデータ侵害と同種であり、広範なフィッシング攻撃やユーザーに対する物理的な脅迫につながった事例と類似している。
ハードウェアウォレットメーカーのTrezorは、第三者配送業者の1社に関連するデータ侵害を公表し、数千人の顧客の個人情報が漏洩したことを明らかにした。
同社によると、本件では11,742人の顧客の氏名、住所、電話番号、メールアドレスが漏洩した。さらに1,947人の顧客のデータが部分的に侵害され、影響を受けた総人数は約13,689人に上る。
侵害は外部配送業者が保持する情報に限定されており、Trezorの内部システムには関与していない。チェコ拠点のSatoshiLabsが展開するTrezorは、暗号資産業界において最も広く認知されたハードウェアウォレットブランドの一つであり、競合のLedgerなどと並び称されている。本件は、ハードウェアウォレットベンダーが抱える恒久的な課題を浮き彫りにしている。デバイス自体は秘密鍵をオフラインで安全に保管するよう設計されているが、物理的に配送するために必要な物流チェーンは、メーカーの直接の管理が及ばない別の攻撃対象領域をもたらす。
システムとデバイスは安全を維持
Trezorは、同社のシステム、ハードウェアウォレット、顧客のデバイスは引き続き安全であることを強調し、本件がウォレットのセキュリティや秘密鍵を侵害するものではないと述べた。
本件に伴う暗号資産の盗難報告はない。しかし、漏洩した個人情報により、影響を受けた顧客を標的としたフィッシングやソーシャルエンジニアリング攻撃のリスクが高まる可能性がある。氏名、住所、電話番号、メールアドレスの組み合わせは、暗号資産の文脈において特に機密性が高い。被害者がハードウェアウォレットを所有していることを利用した、高度に標的化されたフィッシングキャンペーンや偽装攻撃を可能にする恐れがあるためだ。
同社は引き続き影響を受けたユーザーへの通知を進め、調査の進展に合わせて配送業者と連携していくと見られる。
顧客には警戒を維持するよう呼びかけ
本件は、暗号資産業界における第三者サービスプロバイダーに付随するリスクを浮き彫りにする。主要なハードウェアウォレットメーカーがデータ漏洩インシデントに直面したのは今回が初めてではない。競合のLedgerは2020年に大規模なEコマースデータベースの侵害を経験し、約270,000人の顧客が影響を受けた。これにより大規模なフィッシングキャンペーンが発生し、影響を受けたユーザーに対する物理的な脅迫の報告もあった。この出来事は、データの最小化やハードウェアウォレットの配送プロセスにおける顧客情報の取り扱いについて、業界全体の議論を促すきっかけとなった。
Trezorの本件の影響を受けた顧客は、機密情報やウォレットの復元フレーズを要求する不審なメール、電話、メッセージに対して警戒を続ける必要がある。
調査の継続中、ユーザーはすべての通信を公式チャネルを通じてTrezorに直接確認し、いかなる状況下でも復元フレーズや秘密鍵を共有しないことが推奨される。
