配送パートナーの情報漏洩により、Trezorの顧客14,000人のデータが流出

ハードウェアウォレットメーカーであるTrezorの配送パートナーであるShipMonkがハッキングされた結果、約1万4000人のTrezor購入者の氏名と連絡先情報が盗まれた。. 

影響を受けた人々は、フィッシング詐欺のリスクが高まり、フランスのユーザーが経験したように、場合によっては自宅での窃盗被害に遭う可能性もある。.

Trezorの情報漏洩で明らかになった内容はどのようなものだったのか？ 

Trezorは ブログ記事 、ShipMonkが8月10日（月）に自社の注文データを保持するシステムへの侵害について情報を共有したことで、その事実を知ったと報告した。 

具体的には、5月10日から8月8日の間に発送された注文が影響を受けましたが、Trezor自身のインフラは影響を受けておらず、ユーザーのウォレット自体も安全な状態を維持しています。. 

同社によると、氏名、メールアドレス、電話番号、配送先住所がすべて盗まれた人は11,742人、氏名、居住地、メールアドレスのみが盗まれた人は1,947人いるという。これにより、被害者の総数は13,689人となる。. 

Trezorは、購入者が米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの7カ国に及んでいることを明らかにした。. 

ShipMonkは配送後3ヶ月で注文記録を削除または匿名化する方針をとっていたため、被害は多少軽減された。Trezorによると、Amazon経由で購入した顧客は、注文が別の配送チャネルを経由したため被害を免れたという。.

同社は過去にも同様のdentを経験しているが、顧客の電話番号と配送先住所が漏洩した攻撃は今回が初めてだとTrezorは述べている。同社のサードパーティサポートポータルは2024年1月に侵害され、6万6000人のユーザーに影響が出たほか、2022年には別の事件で10万6000人以上が影響を受けた。.  

Trezorのハッキングはどのようにして起こったのか？ 

ShipMonkによると、攻撃者は同社が利用している分析プラットフォームであるMetabaseの脆弱性を悪用したという。Metabase自身も8月6日にこの問題を公表していた。. 

このバグは、侵入者に管理者権限を付与する重大なSQLインジェクションのゼロデイ脆弱性であり、同様の攻撃はノートパソコンメーカーのFrameworkやフォーム作成ツールのTallyなど、他の企業にも影響を与えた。. 

それ以来、Trezorは盗まれた記録が公開されたり、販売されたり、詐欺に使用されたりした証拠は今のところないと述べているにもかかわらず、ShipMonkはShinyHuntersグループから恐喝メールを受け取っている。.

Trezorの主なライバルであるLedgerは、2020年に数十万人のユーザーのデータが漏洩する事態に見舞われ、 Cryptopolitan 報じたように、2026年5月時点でも詐欺師がLedgerの所有者に対し、悪意のあるQRコード付きの偽の「量子耐性セキュリティアップデート」の手紙を郵送していた。Ledgerは1月に、決済処理業者であるGlobal-eを通じて発生した別の情報漏洩についても公表している 。

憂慮すべきことに、犯罪者たちは流出した個人データを利用して、誘拐や住居侵入の標的を選定し、被害者から仮想通貨を奪い取ろうとしている。Chainalysisの報告によると、2026年上半期には trac的な攻撃によって3000万ドル以上が奪われ、2025年の年間被害額5800万ドルを超える勢いだという。. 

Trezor社は、影響を受けた顧客にはメールで通知したと述べた。また、ロッカー、中立的な梱包、配達後の住所データのmatic 削除など、よりプライバシーに配慮した配送オプションを提供する予定で、9月までにEUで、年末までに米国でサービスを開始することを目指している。.

仮想通貨ニュースを読むだけでなく、理解を深めましょう。ニュースレターにご登録ください。 無料です。