Trezorは、配送業者ShipMonkに関するデータ漏洩の影響を受けた米国の顧客がさらに6万7,000人いたことを公表し、本件で露出したユーザーの数が大幅に拡大した。この新たな公表により、暗号資産企業が利用する第三者サービスプロバイダーが保持する顧客情報の保護に対する懸念が強まっている。

チェコのSatoshiLabsが運営するハードウェアウォレットメーカーは9月4日、新たに特定された記録は2019年11月から2021年8月の間に注文を行った米国の顧客のものであると明らかにした。露出した情報には、顧客の氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれていた。

今回の公表により、ShipMonkの漏洩事件の影響を受けたTrezor顧客の総数は80,689人となり、このうち6万7,000人超が米国在住である。

本件は8月13日に最初に発覚した。当時、Trezorによれば、第三者の注文履行プロバイダーであるShipMonkが、顧客情報を含むシステムへの不正アクセスを同社に通知したという。当時の漏洩は、8月8日以前の90日以内に注文が履行された、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客に関係すると報じられていた。

以前の公表は約1万4,000人の顧客が対象

Trezorの最初の公表では、氏名、メールアドレス、電話番号、配送先住所が露出した11,742人の顧客が特定された。さらに1,947人の顧客は、氏名、都市名、メールアドレスを含む部分的な情報が露出したと特定された。

新たに公表された記録により、本件の規模は大幅に拡大した。当初の調査で特定された顧客とは異なり、追加された米国のユーザーははるかに長い期間にわたって注文を行っており、2019年11月から2021年8月の間の取引が対象となっている。

Trezorは、漏洩の影響を受けたと特定されたすべての顧客に連絡を取ったと述べた。同社は、通知メールを受信していない顧客は、新たに特定されたグループには含まれないと示した。

同社はまた、本件によりハードウェアウォレットや内部システムが侵害されたわけではないと強調した。Trezorによれば、外部の配送業者を通じて個人情報が露出したものの、顧客のデバイスは引き続き安全であるという。Trezorのようなハードウェアウォレットはユーザーの秘密鍵をオフラインで保管するため、注文データの漏洩だけでは攻撃者が資産にアクセスすることはできない。

追加攻撃への警戒を呼びかけ

同社はハードウェアデバイスと自社システムは侵害されていないとしているものの、氏名、連絡先情報、配送先住所の露出は、影響を受けた顧客にとって追加のセキュリティリスクを生み出す可能性がある。

Trezorは、同社またはその他の信頼できるサービスからの連絡を装う通信に対して注意を続けるようユーザーに呼びかけた。潜在的な脅威には、漏洩で得られた情報を悪用する詐欺メール、電話、郵便物などが含まれる。配送先住所の入手は、デジタル詐欺以外の懸念ももたらす。特に、価値の高いデジタル資産へのアクセスを保持する暗号資産ハードウェアを所有している可能性のあるユーザーにとっては顕著である。

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezorは、個人情報の流出を受け、影響を受けた顧客に対し、フィッシング、なりすまし詐欺、物理的なセキュリティ脅威への警戒を続けるよう警告した。この懸念には前例による裏付けがある。2020年、競合のハードウェアウォレットメーカーLedgerが電子商取引データベースの漏洩により約100万人の顧客のメールアドレスが露出し、その後顧客に対するフィッシング攻撃の波を引き起こした。これは、流出した注文データが当初の事件から長期間経過した後も武器化されうることを示している。

データ削除の主張に疑問の目

本件はまた、Trezorが削除を要請した後のShipMonkによる顧客記録の取り扱いについても疑問を提起した。Trezorは、関連する顧客情報が削除されるという書面による保証を配送業者から繰り返し得ていたと述べた。

しかし同社によれば、その保証にもかかわらず、データはShipMonkのシステム内に残存していたという。この展開は本件に新たな層を加え、データ保持慣行および第三者サービスプロバイダーが適用する保護策に注目が向けられている。

この一件は、ハードウェアウォレット企業が直面するより広範な課題を浮き彫りにしている。同社は製品のセキュリティと、購入や配送の際に収集される顧客情報の保護とのバランスを取る必要に迫られる可能性がある。ウォレットデバイス自体が侵害されたという報告はないものの、露出した個人情報は攻撃者に、標的型ソーシャルエンジニアリングに利用されうる情報を与える可能性がある。また、注文データがどれだけの期間保持されるのか、誰がアクセスできるのか、そして削除要求が書面の保証を鵜呑みにするのではなく実際に検証されるのかどうかといった、暗号資産企業とそのベンダーに対して顧客がますます問うであろう疑問も提起している。

調査が続く中、影響を受けた顧客はなりすましや詐欺の試みの増加に直面する可能性が高い。拡大する本漏洩事件は、基盤となるハードウェアウォレットシステムが無傷であっても、暗号資産企業自身のインフラの外に保持される顧客データに付随するセキュリティリスクを強調している。