第三者メールプロバイダーの侵害後、Trezorユーザーがフィッシング攻撃の標的に
重要ポイント
- •Trezorは、第三者メールプロバイダーへの侵害後に『Critical Security Alert: STM32 Entropy Vulnerability』と題されたフィッシングメールが送信されたとして警告し、同社からの正規のメールではないと説明した。
- •この不正メッセージは、trezor.ioドメインに関連する正規の送信インフラから発信されたため、DKIM、SPF、DMARCを含む標準的な送信者認証チェックを通過していた。
- •フィッシングメールは、Trezorのデバイスのおよそ4台に1台にSTM32マイクロコントローラーの乱数生成器の製造上の欠陥があると虚偽の主張し、デバイスモデルを確認するためリンクをクリックするよう受信者に促した。
- •Trezorは攻撃に使われたドメインを停止し、ハッカーが正規ドメインにアクセスした経路を調査しているが、影響を受けたメールプロバイダーや受信者数は明らかにしていない。
- •このフィッシングキャンペーンは、物流パートナーShipMonkへの不正アクセスに関するTrezorの公表に続くものだ。この事案では13,689人のユーザーと、その後さらに67,000人のUSの顧客が影響を受けたが、Trezorは2つの事案が関連しているか説明していない。
暗号資産を保管するデバイスのメーカーで、同分野では第2位の規模とされるTrezorは、第三者メールプロバイダーへの侵害を受けて開始されたフィッシングキャンペーンについて、ユーザーに警告した。同社は、『Critical Security Alert: STM32 Entropy Vulnerability』と題されたメールはTrezorから送信されたものではないと確認し、メッセージ内のリンクをクリックしないよう顧客に呼びかけた。
Xに投稿された警告によると、攻撃者は侵害されたインフラを利用し、Trezorの公式メーリングドメインを偽装した送信元から不正なセキュリティ警告を送信した。メッセージは標準的な送信者認証チェックを通過していた。Trezorは、攻撃に使われたドメインを停止し、ハッカーが同社の正規ドメインにどのようにアクセスしたのかを調査していると説明した。同社は、影響を受けたプロバイダーや受信者数を公表していない。
#PeckShieldAlert @Trezor has reported that their third-party email provider has been breached. A #phishing email titled 'Critical Security Alert: STM32 Entropy Vulnerability' is circulating, spoofing the address help@trezor.io – this is NOT a legitimate Trezor communication. Do… — PeckShieldAlert (@PeckShieldAlert) September 10, 2026
このフィッシングメールは、緊急のセキュリティ通知に見えるよう設計されていた。メールは、Trezorのデバイスのおよそ4台に1台に、STM32マイクロコントローラーの乱数生成器に製造上の欠陥があると主張していた。メッセージによれば、この欠陥によりウォレットのシードフレーズがブルートフォース攻撃から十分に保護されておらず、受信者は自分のデバイスモデルが影響を受けているか確認するためにリンクを開く必要があるとされていた。
このキャンペーンは技術的な信ぴょう性を備えていたため、通常のフィッシング攻撃よりも説得力を持っていた可能性がある。受信者の1人であるMarcello Paz氏は、このメールがGmailの送信者認証を通過し、trezor.ioドメインについてDKIM、SPF、DMARCの認証チェックがすべて有効と表示されたと報告した。メールはSendinblueのキャンペーンを通じて「Trezor Security」から送信され、正当なものらしい印象をさらに強めていた。
この事案は、信頼された通信インフラを侵害した攻撃者が、メール認証に通常伴う保護を回避できることを示している。今回のケースでは、不正なメッセージが攻撃者によって単に偽装されたドメインではなく、実際に認証された正規の送信ドメインから発信されていた。
Trezorでここ数カ月に発生した2件目のセキュリティ事案
今回の侵害は、ハードウェアウォレット業界およびTrezorをめぐる一連のセキュリティ開示に続くものだ。Trezorは8月、物流パートナーのShipMonkが不正アクセスを受け、May 10からAugust 8までの期間に関する注文情報が流出したと明らかにした。この事案は、US、UK、Sweden、Colombia、Brazil、Italy、Portugalの13,689人のユーザーに影響を及ぼした。
11,742人の顧客については個人データが完全に侵害され、別の1,947人については氏名、都市、メールアドレスが流出した。TrezorはSeptember 4、さらに67,000人のUSの顧客が影響を受けたと公表した。独立した推計では、影響を受けた顧客の総数は80,000人を超える可能性があるとされた。
TrezorはShipMonkの侵害について影響を受けたユーザーに通知し、フィッシングのリスクが高まっていると警告した。同社は、2つの事案が関連しているか、また物流関連の侵害で取得された顧客データが今回のキャンペーンの標的選定に使われたかについて説明していない。メールプロバイダー、受信者数、進行中の調査に関する追加情報が明らかになれば、キャンペーンの範囲や過去の情報流出との重複が明確になる可能性がある。
ユーザーは、クリックや個人情報の提供を求めるメールに注意し、埋め込まれたリンクではなく、Trezorの公式チャンネルを直接通じてセキュリティ通知を確認すべきだ。Trezorの公式ウェブサイトは
