トレザーの正規メール配信経路を悪用
暗号資産（仮想通貨）ハードウェアウォレットを提供するトレザー（Trezor）が、第三者マーケティングプラットフォーム「ブレボ（Brevo）」で発生したセキュリティインシデントと、その影響について9月10日に発表した。
インシデントは9月9日に発生し、ブレボの120件の顧客アカウントが影響を受けた。不正な第三者がブレボのシステムへアクセスしたとのことだ。
ブレボは、企業による顧客向けメールやニュースレターなどの配信・管理を支援するサービスだ。トレザーはニュースレター配信にブレボを利用していた。このため不正な第三者は、トレザーを含む複数の顧客が実際に利用するメール配信経路からフィッシングメールを送信した。
一方、今回のインシデントでトレザーの製品やウォレット、アカウントシステムは影響を受けていない。またトレザーは、ブレボのシステムにメールアドレス以外の個人情報や、パスワード、ウォレットデータを保存していないとのこと。
トレザーは、メールアドレスのリスト自体が外部へ持ち出されたかは確認できていないと説明している。ただし同社は、ブレボから詳細な情報を得るまでは、ニュースレターに登録された約347,000件すべてのメールアドレスが攻撃者に知られた可能性があるものとして扱うとのこと。これらのメールアドレスは、今後のフィッシング攻撃に再利用される可能性もあるとのことだ。
不正な第三者が送信したフィッシングメールの件名は「Critical Security Alert: STM32 Entropy Vulnerability（重大なセキュリティ警告：STM32エントロピー脆弱性）」だった。メールには悪意のあるリンクが含まれており、リンク先ではアプリのダウンロードを促したうえで、ウォレットのバックアップ情報を入力するよう求める仕組みになっていたとのことだ。
ウォレットのバックアップ情報は、ウォレットへのアクセスを復元するために使用する秘密情報だ。第三者に知られた場合、その情報からウォレットを復元され、暗号資産を移動される可能性がある。このためトレザーは、フィッシング先でバックアップ情報を入力した利用者に対し、直ちに資産を新しいウォレットへ移動するよう呼びかけている。なおトレザーによると、リンクをクリックしただけでバックアップ情報を入力していない場合、資産へのリスクはないとのことだ。
不正な第三者はフィッシングメールを約347,000人に送信し、そのうち約2,500人がリンクをクリックした。トレザーはメール送信から20分以内に対象ドメインを停止し、リンクを無効化した。また同社は、さらなるフィッシングメールの送信を防ぐため、ブレボのアカウントとメール送信機能を停止した。
またトレザーは、同社が利用者にウォレットのバックアップ情報を求めて連絡することはないと説明している。同社は不審なメールに記載されたリンクをクリックせず、個人情報を入力しないよう利用者に注意を呼びかけた。今回のインシデントを受け、トレザーは第三者ベンダーとの関係およびセキュリティ要件を見直している。
Our third-party e-mail provider has been breached. Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link.
— Trezor (@Trezor) September 9, 2026
We have taken down the domain, and we are investigating…