Trezor

ハードウェアウォレットメーカーのTrezorは、同社の配送・物流プロバイダーであるShipMonkがハッキングされたことを受け、約1万4,000人の顧客に影響を及ぼすデータ漏洩を公表した。

この事件により、攻撃者は顧客の氏名、配送先住所、メールアドレス、電話番号などの注文データにアクセスしてしまった。

同社が木曜日のブログ記事で説明したように、今回のデータ漏洩の影響を受けるのは、2026年5月10日から8月8日までの間に注文を受けた、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客です。

image

「2026年8月10日（月）、当社の配送プロバイダーの一つであるShipMonkから、顧客データを含む同社のシステムへの不正アクセスがあったとの連絡を受けました」とTrezorは述べた。 「このインシデントにより、11,742人の顧客の個人情報（氏名、メールアドレス、電話番号、配送先住所）がすべて漏洩し、1,947人の顧客の個人情報（氏名、居住地、メールアドレス）が一部漏洩しました。」

同社はさらに、この情報漏洩により自社の業務やサービスに影響は生じておらず、システムも侵害されておらず、すべてのTrezorデバイスは安全であると付け加えた。

また、フィッシング攻撃が増加する可能性があるため、影響を受けた顧客に対し、個人情報を要求するメッセージには警戒するよう警告した。

「明確にしておきますが、当社のシステムは侵害されておらず、お客様のTrezorデバイスは安全です。しかし、影響を受けたお客様は、より巧妙なフィッシング攻撃の標的となる可能性があります」と同社は指摘した。 「詐欺師は、漏洩した情報を利用して、偽のメールを送信したり、偽の電話をかけたり、詐欺的な手紙を送ったり、あるいは銀行、仮想通貨取引所、さらにはTrezorを装う可能性もあります。」

本日、本件に関する詳細情報を得るためTrezorの広報担当者に連絡を取ったが、直ちにはコメントを得られなかった。

Trezor tweet

Metabaseにおけるゼロデイデータ窃取攻撃

Trezorは配送業者のシステムがどのように侵害されたかについては明らかにしなかったが、影響を受けた顧客に送信され、本メディアが確認した侵害通知メールの中で、ShipMonkは顧客に対し、攻撃者がサードパーティの分析プラットフォーム「Metabase」の脆弱性を悪用したと説明していた。

「2026年8月6日、Metabase社より、不正な第三者がMetabaseのソフトウェアの脆弱性を悪用し、
」とShipMonkは述べた。

「ベンダーの説明によると、同社はその後、当該脆弱性へのパッチを適用し、すべてのアクティブなセッションを無効化したと理解しています。また、
外部のIT専門家の協力を得て、徹底的かつ詳細な技術的調査を開始しました。」

以前報じられた通り、Metabaseは、攻撃者が重大なSQLインジェクションのゼロデイ脆弱性を悪用して顧客のインスタンスに侵入し、侵害されたインスタンスへの管理者権限を取得した後、データ窃取攻撃を実行したことを明らかにした。

影響を受けた企業のリストには、ノートパソコンメーカーのFrameworkやオンラインフォーム作成ツールのTallyも含まれており、これらもMetabaseのインスタンスが乗っ取られた後、顧客にデータ侵害を通知している。

その後、ShipMonkもShinyHuntersという恐喝グループから恐喝メールを受け取っていたことが判明した。

Trezorは2024年1月、脅威アクターが同社のサードパーティ製サポートチケットポータルへのアクセス権を取得したことを受け、別のデータ侵害を公表した。

このハードウェア暗号資産ウォレットベンダーは当時、2021年12月以降にTrezorサポートとやり取りを行った6万6,000人のユーザーについて、本件の発生時に氏名、ユーザー名、メールアドレスが漏洩した可能性があることを明らかにした。

この情報漏洩事件後、Trezorは、攻撃者が盗んだ情報を利用してフィッシング攻撃を仕掛け、Trezorウォレットの設定時に付与された24語の回復シードを被害者に騙し取ろうとしたことを確認した。

また、ビデオゲーム配信大手のValveも月曜日、欧州のSteamハードウェアユーザーに対し、同社の配送パートナーであるCEVA Logisticsがハッキングされ、ユーザーのデータが盗まれたことを通知した。