Trezorの発送代行パートナーであるShipMonkがシステムへの不正アクセスを受け、約1万4,000人の顧客情報が漏洩したと、同コールドストレージ型暗号資産ウォレット企業が木曜日に報告した。
Trezorによれば、1万1,742人の顧客の氏名、メールアドレス、電話番号、配送先住所が流出したほか、1,947人の氏名、居住都市、メールアドレスも侵害され、被害は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客に及び、合計で約1万4,000人にのぼる。
Trezorは木曜日、X（旧Twitter）で「難しい知らせがあります。残念ながら、我々の発送業者の一つでデータ流出が発生し、機密の注文情報が漏洩しました」と発表した。
今回のTrezorに関連したセキュリティ侵害は、米国サイバーセキュリティ企業SentinelOneによると、世界的にデータ流出が過去最高の水準に達している状況下で発生した。今年のデータ流出件数は2022年と比べて17％増加し、世界で週平均2,090件もの攻撃が観測されている。さらに1月以降、世界のデータ流出は毎月3％ずつ増加していると推計されている。
Trezorは被害を受けた顧客全員にメールで通知を行い、通知を受けていない顧客の情報は漏洩していないことを明らかにした。現時点で漏洩した情報が公開・共有・販売されたとの確認はなく、本件に関連する詐欺やハッキングの試みも把握していないという。また、Amazon経由での購入顧客は別の発送パートナーが担当しているため、影響はないと付け加えた。
さらにTrezor自身のシステムは侵害されておらず、ウォレットデバイスの安全性も保たれていると説明。今回のリスクは間接的なものであり、漏洩した顧客がメールや電話、郵便を用いたフィッシング攻撃の標的にされる可能性が高まっていると警告している。詐欺師は漏洩情報を使い、銀行や暗号資産取引所、Trezorを装う可能性がある。
データ流出で情報を盗まれた被害者は、ハッキングリスクに長期間さらされ続ける。物流記録が売買またはオンラインで公開されると、サイバー犯罪者は詐欺にそのデータを繰り返し悪用する。身代金要求者は自宅住所を使い700ドルから1,000ドルの恐喝を行い、偽造デバイスを被害者に直接郵送する事例もある。大規模な顧客情報流出への法的対応や修復、ブランドダメージ対応には、ハードウェア企業で3,300万ドル以上の費用がかかると推計されている。
また暗号資産保有者は物理的な襲撃のリスクも増している。サイバーセキュリティ企業Certikによると、2024年上半期だけで対面での強要攻撃の被害額は1億2,400万ドルに達しており、これがすべてデータ流出に起因するわけではないものの深刻な問題となっている。DeepStrikeは年間のデータ流出による金銭的損失が数百億ドル規模に達すると推測している。
Trezorは、設立から13年の歴史のなかで顧客の電話番号や配送先住所が流出したのは今回が初めてだと述べた。ただし、Trezorの背後にあるSatoshi Labsは、2024年1月に第三者のサポートポータルのセキュリティ侵害により66,000人分の顧客情報が漏洩したことを報告している。さらに2022年4月にも10万6,856人分の顧客情報が流出した。Trezorの内部ファームウェアやデバイス上の暗号技術は遠隔からの不正アクセスを受けたことはなく、資産の盗難も起きていない。
暗号資産用ハードウェアウォレット大手のLedgerも1月に第三者ECパートナーGlobal-eに関連したデータ流出を経験した。2020年には約30万人の利用者情報が漏洩し、翌年には詐欺師がその流出被害者に偽のLedgerデバイスを送りつけるフィッシングキャンペーンを展開した事例がある。