約1万3,700人の顧客情報が流出
ハードウェアウォレット大手のトレザー（Trezor）が製品配送で利用する物流委託先「シップモンク（ShipMonk）」が不正アクセスを受け、顧客の個人情報が流出した。トレザーが8月13日に発表した。トレザーのシステムやデバイス自体は影響を受けていないというが、被害に遭った顧客はフィッシング詐欺の標的となる可能性があるとして注意が呼びかけられている。
トレザーによると、8月10日にシップモンクから、顧客データを含む同社システムへの不正アクセスがあったとの連絡を受けたという。現在も調査が続けられている。
発表によれば、これまでに、氏名や電話番号、メールアドレス、配送先住所などの顧客情報が第三者によって不正にアクセスされたことが判明しているという。
被害を受けた顧客のうち、氏名・メールアドレス・電話番号・配送先住所が流出したのは1万1,742人。氏名・市区町村・メールアドレスが流出したのは1,947人で、合計1万3,689人が影響を受けた。
主な対象は、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルで、2026年5月10日から8月8日までに注文商品を受け取った顧客だ。
トレザーでは、購入に関連する顧客データを配達完了から90日後に削除または匿名化するポリシーを設けており、配送提携先にも同様のルールを適用していた。このため、シップモンクが保有するデータが限定され、今回の被害範囲も抑えられたとしている。
ただし、氏名・市区町村・メールアドレスが流出した1,947人については、配達完了から90日を超えた過去の注文が含まれている可能性があるという。トレザーは現在、正確な対象期間についてシップモンクと確認を進めているとのことだ。
影響を受けた顧客には「help@trezor.io」のアドレスから個別に通知メールを送付済みで、同アドレスから今回のセキュリティインシデントに関する通知を受け取っていない顧客は、データ漏えいの対象ではないという。
なお今回のデータ漏えいは、トレザーの第三者物流パートナーであるシップモンクのシステムで発生したものだ。
トレザーは、自社のシステムや製品、サービスには影響はなく、ハードウェアウォレットも引き続き安全だと説明している。一方、流出した氏名やメールアドレス、電話番号、配送先住所などを利用し、銀行や暗号資産取引所、トレザーなどになりすましたフィッシングメールや詐欺電話、偽の郵便物が送られる可能性があるとした。
なおトレザーによると、2013年の創業以来、顧客の電話番号と配送先住所が流出したデータ侵害は今回が初めてだという。
トレザーは影響を受けた顧客に対し、即座の対応を迫る連絡や、個人情報の提供を求める連絡に警戒するよう呼びかけている。
また、メールやウェブサイトの内容は、トレザーの公式SNSやブログで発信されている情報と照合するよう推奨している。さらに、リカバリーフレーズなどのウォレットのバックアップ情報について、ウェブサイトへの入力や第三者との共有を行わないよう注意を促している。
さらにトレザーは、製品注文時に共有する個人情報を抑える方法についても案内している。
具体的には、実際の身元と紐づかないメールアドレスを使用することや、クレジットカードの代わりに暗号資産で支払うことを挙げた。暗号資産を利用できない場合には、オンライン購入用の使い捨てデジタルカードの利用を推奨している。また、住所情報の露出を抑える手段として私書箱の利用も案内した。
また同社は、よりプライバシーに配慮した配送サービス「匿名配送（Anonymous Delivery）」の提供を予定しているという。
同サービスでは、専用のチェックアウトやロッカーでの受け取り、トレザーを示さない梱包、一般的な発送者情報の使用、配送完了後の配送識別情報の自動削除などを採用する。
トレザーは匿名配送をEUで2026年9月までに、米国では2026年末までに提供することを目指している。
参考：発表
画像：PIXTA