Trezor

仮想通貨ハードウェアウォレットメーカーのTrezorは、同社の配送・物流業者であるShipMonkで8月に発生したデータ漏洩により、さらに6万7,000人の米国顧客が影響を受けたと発表しました。

Trezorが8月13日に、攻撃者が約1万4,000人の顧客の氏名、配送先住所、メールアドレス、電話番号などのデータにアクセスしたと最初に公表して以来、この情報漏洩の影響を受けた顧客数は計8万1,000人に上ることとなった。

同社が当時説明したように、このインシデントは、2026年5月10日から8月8日までの間に注文を受けたブラジル、コロンビア、イタリア、ポルトガル、スウェーデン、および英国の顧客にも影響を及ぼしていた。

金曜日、同社は更新情報を公開し、ShipMonkがTrezorの契約およびデータポリシーで義務付けられていた通り、漏洩したデータを自社システムから削除しなかったため、情報漏洩の影響が拡大したことを確認した。

「2019年11月から2021年8月の間に注文した米国の顧客6万7,000人も影響を受け、氏名、メールアドレス、電話番号、配送先住所、注文番号といった詳細情報がすべて流出した」とTrezorは述べた。

「ShipMonkとの取引関係を通じて、当社は契約、データポリシー、および過去のやり取りに沿って、データの削除を確認する書面による保証を繰り返し要求し、受領していました。この確認を受けたにもかかわらず、同社のシステムからデータが削除されていなかったことに、大変失望しています。」

同社はさらに、この情報漏洩が自社の業務やサービスに影響を及ぼしておらず、システムが侵害されたわけでもなく、すべてのTrezorデバイスは安全であると付け加えた。

また、影響を受けた顧客に対し、個人情報の提供を求めるメッセージには警戒するよう警告した。フィッシング攻撃の標的となる可能性があるためだ。

「フィッシング攻撃のリスクが高まっていることにご注意ください。漏洩した情報は、詐欺メールや不正な電話・手紙に悪用される可能性があり、影響を受けた個人が物理的な安全上のリスクにさらされる恐れもあります」とTrezorは述べた。

ShinyHunters身代金要求グループに関連するMetabaseキャンペーン

同社はShipMonkのシステムがどのように侵害されたかについてはまだ明らかにしていないが、影響を受けた顧客に送信され、本メディアが入手した侵害通知メールによると、攻撃者はサードパーティの分析プラットフォーム「Metabase」の脆弱性を悪用したとのことである。

以前報じられた通り、Metabaseは、攻撃者が重大なSQLインジェクションのゼロデイ脆弱性を悪用して顧客インスタンスに侵入し、侵害されたインスタンスへの管理者権限を取得した後、データ窃取攻撃を実行したことを明らかにした。

また、ShipMonkが「ShinyHunters」という恐喝グループから恐喝メールを受信していたことも判明した。

Metabaseを標的とした攻撃キャンペーンの影響を受けた企業のリストには、オンラインフォーム作成プラットフォームのTallyやノートパソコンメーカーのFrameworkが含まれており、これらもインスタンスが乗っ取られた後、顧客にデータ侵害を通知している。

2024年1月、Trezorは、脅威アクターが同社のサードパーティ製サポートチケットポータルを侵害し、約66,000人のユーザーのデータ（氏名、ユーザー名、メールアドレスなど）にアクセスしたことを受け、別のデータ侵害を公表した。

この盗まれたデータは、後に、受信者の24語からなるウォレットの復元シードを盗み出そうとするフィッシング攻撃に利用された。