Trezorは、一部のTrezor注文の発送を担当する第三者物流プロバイダーShipMonkに関わるデータ漏洩について顧客に通知した。暗号通貨ウォレット、秘密鍵、Trezorの内部システムは侵害されなかったが、漏洩した個人情報により、影響を受けたユーザーに対するより巧妙なフィッシングキャンペーンが可能になるおそれがある。

ShipMonk漏洩の詳細

8月10日、ShipMonkはTrezorに対し、顧客の注文データを含むシステムに不正な第三者がアクセスしたことを通知した。Trezorは調査が進行中であると述べた。

Trezorの推計によると、11,742人の顧客の氏名、メールアドレス、電話番号、配送先住所が漏洩した。さらに1,947人の顧客について、氏名、都市レベルの位置情報、メールアドレスがアクセスされた可能性がある。

影響を受けた注文は、対象期間内に注文を受け取ったアメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客が当初の対象である。

Trezorは90日間のデータ保持ポリシーを維持しており、ShipMonkがアクセスできた履歴データは90日間の範囲に限定されるはずである。ただし同社は、1,947件の部分的に漏洩した記録の中に古い注文が含まれている可能性があると警告しており、この点については物流プロバイダーと確認中である。

help@trezor.ioから公式メール通知を受け取った顧客は、自身の情報が漏洩したと見なすべきである。Trezorは、該当するメールを受信していない個人は影響を受けていないと述べた。

ウォレットセキュリティは無事

今回の漏洩は、Trezorの内部システム、ハードウェアデバイス、ウォレットバックアップには影響を与えていない。秘密鍵やリカバリーシードがアクセスされることはなかった。

主なリスク：標的型フィッシング

盗まれた個人データにより、犯罪者は極めて説得力のある詐欺を仕掛けることが可能になる。被害者の本名、電話番号、配達先住所は、Trezor、暗号通貨取引所、銀行、その他の信頼できる組織を装うために悪用されるおそれがある。攻撃者はメール、電話、さらには郵便物を利用して、ユーザーに機密情報の開示を迫る可能性がある。

このリスクは、漏洩したリストの性質によってさらに増幅される。ハードウェアウォレットを購入した顧客は、事実上自らが暗号通貨保有者であることを示しており、ソーシャルエンジニアリングキャンペーンの格好の標的となっている。このパターンはハードウェアウォレット業界で以前にも観察されている—2020年のLedgerでの漏洩では270,000人以上の顧客の個人データが流出し、その後数年にわたって持続的なフィッシング攻撃と恐喝が続いた。

Trezorは、影響を受けた可能性のある顧客に対し、緊急性を煽ったり個人情報の開示を求めるメッセージに特に注意するよう勧告している。何よりも、ユーザーは自身のウォレットバックアップやリカバリーシードをいかなるウェブサイトにも入力すべきではない。Trezorは、正当なカスタマーサポートがウォレットバックアップの開示を求めることは決してないと強調した。

今後の注文に向けたプライバシー対策

本件への対応として、Trezorはハードウェアウォレット購入時に個人情報の漏洩を軽減するための措置を強調している。同社は、本名に紐づかないメールアドレスの使用、可能な場合の暗号通貨での支払い、配送先として私書箱の利用を推奨している。

さらに、Trezorは配送詳細の漏洩を最小限に抑える匿名配送機能を開発中である。計画されている機能には、ロッカー受け取り、中立的なパッケージ、一般的な差出人情報、配送完了時の配送識別子の自動削除などのオプションが含まれる。実装されれば、このような措置はハードウェアウォレットベンダー間の新たな運用プライバシー基準を確立する可能性がある。現在でも多くのベンダーは、識別可能な顧客記録を保持する従来型のeコマースフルフィルメントチェーンに依存している。

出典：Trezor公式声明