3年前に埋もれていた物流データベースから、さらに6.7万人のユーザーが巻き込まれていたことが判明した。Trezorは、以前明るみに出たShipMonkのセキュリティ事故について、さらなる調査の結果、新たに6.7万件の影響を受けた記録を確認したと発表した。対象期間は2019年から2021年にわたる。

今回新たに確認されたデータには、氏名、メールアドレス、電話番号、配送先住所、注文番号が含まれている。ShipMonkはTrezorが出荷業務を委託していた第三者物流業者であり、つまり流出したのは秘密鍵やウォレットの内容そのものではなく、ハードウェアウォレット購入時に登録した配送・連絡先情報である。

Trezorのデバイスを所持するユーザーにとって、この種の情報の組み合わせがもたらす最も直接的なリスクは、公式カスタマーサポートや物流通知になりすました標的型フィッシング攻撃に悪用されることだ——攻撃者の手元にはすでに実在する注文番号や配送先住所という「裏付け」があるためだ。Trezorは、影響を受けたユーザーへの連絡や、さらなる対策の提供を行っているかどうかについて、まだ公式に説明していない。