ハードウェア暗号資産ウォレットメーカーのTrezorは木曜日、第三者物流プロバイダーShipMonkのデータ侵害により13,689人の顧客の個人情報が流出したことを受け、フィッシングリスクの高まりについて警告を発しました。流出したデータには、氏名、住所、電話番号、メールアドレスが含まれています。

同社は、ウォレットのバックアップ、暗号資産の保有残高、またはTrezorの社内システムが侵害された証拠はないと表明しました。ただし、Trezorは流出した顧客データが、影響を受けた個人を標的としたより巧妙なフィッシング詐欺に悪用される可能性があると警告しました。

侵害の詳細

ShipMonkは2026年8月10日、不正アクセス者が顧客データを含むシステムにアクセスしたとTrezorに通知しました。米国を拠点とする電子商取引フルフィルメントプロバイダーであるShipMonkは、複数の市場におけるTrezorの製品保管や発送などの物流サービスを担っています。

13,689人の影響を受けた顧客のうち、11,742人は氏名、メールアドレス、電話番号、配送先住所が流出しました。残りの1,947人は氏名、都市名、メールアドレスなど部分的な情報の流出にとどまりました。Trezorは現在、この1,947人の顧客の正確な流出期間を特定するためShipMonkと協議を続けています。

影響を受けた記録は主に、2026年5月10日から8月8日までの間に注文され、アメリカ合衆国、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルに発送された新規顧客の注文に関するものでした。

Trezorは公式Xアカウントを通じてこの件を公表しました：

We have some difficult news to share. Unfortunately, one of our shipping providers has experienced a data breach that exposed sensitive order data. This affects new customers in the US, UK, Sweden, Colombia, Brazil, Italy, and Portugal who received an order within the 90 days…

— Trezor (@Trezor) August 13, 2026

https://x.com/Trezor/status/2087885428313543059

データ保持と顧客への通知

Trezorは、物流パートナーとの90日間のデータ保持方針により、古い注文情報はすでに削除または匿名化されていたため、インシデントの影響範囲を限定できたと述べました。

影響を受けた顧客にはhelp@trezor.ioから個別にメールで通知されました。通知を受け取っていない顧客は影響を受けていないと同社は述べています。

Trezorのシステムおよびウォレットへの侵害はなし

Trezorは、社内システム、ハードウェアウォレット、ウォレットのバックアップが侵害された兆候はないことを確認しました。同社は、顧客に対してウォレットのバックアップをオンラインで入力したり、いかなる人と共有したりしないよう改めて注意喚起しました。

この侵害に伴う主なリスクは、流出した個人情報を利用してTrezorになりすましたり、より説得力のある詐欺メッセージを作成したりする可能性がある点にあります。

流出データによるフィッシングリスク

氏名、電話番号、メールアドレス、配送情報は、標的型フィッシングキャンペーンにおいて攻撃者に追加的なコンテキスト情報を提供する可能性があります。顧客の氏名、最近のTrezor購入履歴、配送詳細を言及するメッセージは、一般的な詐欺よりも信頼性が高いように見える場合があります。

攻撃者はその後、被害者に対して機密情報の開示、悪意のあるリンクのクリック、またはウォレットのバックアップの提示を促そうとする可能性があります。Trezorユーザーは、ウォレットのセキュリティ、アカウントの問題、返金、配送、その他緊急の事柄を装った不審なメッセージに特に注意することが推奨されます。

Trezorの対応と今後の対策

Trezorは今回のインシデントについて、2013年の創業以来初めて顧客の電話番号と配送先住所が流出した事案であると位置づけ、影響を受けたユーザーに謝罪しました。

同社は、専用のチェックアウト、ロッカー受け取り、中立的なパッケージング、配送識別子の自動削除を備えた「Anonymous Delivery（匿名配送）」オプションを導入する予定です。Trezorは2026年9月までにEUで、2026年末までに米国でこのサービスを開始することを目指しています。

過去の第三者インシデント

ShipMonkの侵害は、Trezorの第三者プロバイダーに関わる過去のセキュリティインシデントに続くものです。2024年1月には、Trezorの第三者サポートポータルへの不正アクセスにより、約66,000人のユーザーの氏名とメールアドレスが流出した可能性がありました。2022年には別のMailchimpの侵害がTrezorの顧客に影響を与え、その後暗号資産ユーザーを標的としたフィッシングキャンペーンが発生しました。

他のハードウェアウォレットメーカーも同様のインシデントを経験しています。例えば、Ledgerは2020年に大規模なデータ侵害を受け、100万件以上のメールアドレスと数十万件の顧客記録が流出しました。その情報の一部はその後、暗号資産詐欺に悪用されました。

より広範なセキュリティ上の意味合い

これらのインシデントは、ハードウェアウォレットユーザーが直面するより広範なセキュリティ上の課題を浮き彫りにしています。攻撃者はウォレットやその暗号鍵にアクセスしなくても、その所有者を標的にできます。第三者の侵害を通じて取得した個人情報だけで、詐欺を正当なものに見せることが可能です。ハードウェアウォレット業界全体においてベンダー側の流出が繰り返されているというパターンは、自己管理型ソリューションが秘密鍵を保護する一方で、物理的なサプライチェーンやサービスプロバイダーに依存しており、ウォレット自体以外にもデータ面が存在することを浮き彫りにしています。EU加盟国およびデータ保護規制を有するその他の管轄区域の影響を受けた顧客は、流出した個人データに関して追加的な権利を有する場合があります。