Trezor、ShipMonk情報漏洩の対象を米国人追加67,000人に拡大
重要ポイント
- •2019年11月から2021年8月の間にTrezorデバイスを購入した約67,000人の追加の米国人顧客の個人情報が、ShipMonk侵害で漏洩した。
- •8月13日の当初の公表では13,689人の影響を受けた顧客が特定されたが、新たに発見された記録により、90日間の削除義務にもかかわらずかなり古いデータが残存していたことが判明した。
- •ShipMonkは古い配送データは削除済みとの書面による保証を繰り返し提供していたが、保持されていた2019年〜2021年の記録と矛盾している。
- •Trezorは、自社のシステム、ファームウェア、秘密鍵、ウォレットのバックアップは侵害されておらず、漏洩はShipMonkのフルフィルメントインフラ内で発生したと確認した。
- •Trezorは、ロッカー受け取り、中立的な梱包、配送識別情報の自動削除を備えた匿名配送サービスを開発中で、2026年9月頃のヨーロッパ、同年後半の米国での提供を目指している。
Trezorは、約67,000人の追加の米国人顧客の個人情報が漏洩したことを発見した後、ShipMonkデータ侵害の範囲を拡大しました。影響を受けた注文は2019年まで遡ります。
新たに特定された顧客は、2019年11月から2021年8月の間にTrezorデバイスを購入しました。漏洩した記録には氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれており、当初は主に最近の購入に限定されていると考えられていた事案が大幅に拡大しました。
この拡大は、暗号資産関連のセキュリティ事案に見られるより広い傾向を示しています。ハードウェアウォレット自体が突破されることはまれですが、配送、マーケティング、第三者ベンダーといった周辺エコシステムが繰り返し顧客データ漏洩の弱点となってきました。ハードウェアウォレットのセキュリティは秘密鍵とリカバリーフレーズがオフラインに保たれることに依存しているため、攻撃者はしばしば人の側を狙い、漏洩した個人データを使ってデバイス所有者に直接接触します。
Trezorが削除済みと期待していたデータをShipMonkが保持
この発見は、Trezorの顧客データ保持ポリシーと直接矛盾します。同社によると、ShipMonkは契約上の要件、Trezorのデータポリシー、両社間のこれまでのやり取りに従い、古い配送情報は削除されたとの書面による保証を繰り返し提供していました。
このハードウェアウォレットメーカーは、不正な行為者が物流プロバイダーが保有する顧客情報にアクセスしたことを知り、8月13日にShipMonk侵害を初めて公表しました。当初の調査では、氏名、メール、電話番号、配送先住所が漏洩した11,742人の顧客と、部分的に漏洩したさらに1,947人の顧客が特定されました。
最初の公表時点では、90日間の削除義務により侵害は最近の注文に限定されると予想されていました。しかし、新たに発見された2019年〜2021年の記録は、これらの要件にもかかわらず、かなり古い顧客情報がShipMonkのシステム内に残存していたことを示しています。
契約上の削除コミットメントと実際のデータ保持との乖離は、ベンダーリスクマネジメントにおいて繰り返し発生する問題です。フルフィルメントを外部委託する企業は通常、サプライヤーの保証に依存しており、そうした保証が実際に検証されるのは、侵害事案がベンダーのインフラ内にどのデータが残存しているかを露呈させたときです。
Trezorは、自社のシステム、ファームウェア、秘密鍵、ウォレットのバックアップは侵害されていなかったと強調しました。漏洩はハードウェアウォレット自体ではなく、ShipMonkのフルフィルメントインフラ内で発生しました。
配送データが生む標的型フィッシングのリスク
氏名、電話番号、物理的な配送先住所は、攻撃者に、既知のハードウェアウォレット所有者を狙った高度にパーソナライズされたフィッシングを仕掛けるのに十分な情報を与える可能性があります。ある世帯が数年前にハードウェアウォレットを受け取ったことを知っていることは有用なターゲティング情報です。「デバイスのリコール」や「バックアップの確認」を装ったもっともらしいメッセージは、実際の注文履歴を参照できるからです。
被害者は、Trezor、暗号資産取引所、銀行、配送会社を装った詐欺メール、電話、郵便物を受け取る可能性があります。Trezorは、デバイス、アカウント、またはリカバリーフレーズの緊急の確認を要求するいかなる連絡に対しても、ウォレットのバックアップを開示または入力しないよう顧客に指示しています。Trezorは、リカバリーシードを求めることは決してないと長らく表明しており、このルールはいかなる一方的な連絡にも適用されます。
同社は以前にも第三者による漏洩リスクに対応してきました。2025年12月のTrezor.ioに関する別の事案では、外部サービスに関連した不審な活動が確認されましたが、その際にデータベース、デバイス、ウォレットソフトウェアが侵害されることはありませんでした。
匿名配送計画に高まる緊急性
Trezorは、ハードウェアウォレット購入に紐づく個人識別情報の量を減らすことを目的とした「匿名配送（Anonymous Delivery）」オプションを開発しています。計画されている機能には、ロッカー受け取り、中立的な梱包、一般的な差出人情報、配送後の配送識別情報の自動削除が含まれます。
同サービスは2026年9月頃のヨーロッパでの提供と、年内の米国展開が目標とされていました。今回明らかになった保持管理の失敗はこのスケジュールに圧力をかけています。この事案は、顧客の配送データがベンダーが定めた削除期間を超えてどれほど長く残存しうるかを具体的に示しているからです。
新たに発見された過去の記録により、ShipMonk侵害による既知の影響範囲は当初の13,689人を大きく超えて拡大し、2019年11月から2021年8月までの約67,000人の追加の米国人購入者が現在通知を受けています。
