Trezor、物流委託先のハッキング被害を確認顧客1万4000人分の氏名・住所・電話番号が全流出

デバイス自体が遠隔操作で破られたことは一度もない。だが今回流出したのは配送先住所と電話番号――つまり「ここにハードウェアウォレットを買った人間が住んでいる」と悪意ある者に直接教えるようなものだ。Ledgerの実店舗型詐欺の前例が、リスクをより具体的なものにしている。

ハードウェアウォレットメーカーが最も恐れるのは、秘密鍵が解読されることではなく、自宅の住所や電話番号、前回のネット通販の配送先が誰かに知られることだ。Trezorは木曜日、提携物流会社ShipMonkのシステムがハッカーに侵入され、約1万4000人分の顧客の機密個人情報が全て流出したことを確認した。被害者はアメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルにまたがっている。

流出規模を細かく見ると、1万1742人分の氏名・メールアドレス・電話番号・配送先住所が完全に露出。さらに1947人分の氏名・居住都市・メールアドレスも流出した。Trezorはソーシャルプラットフォームのxで「重大な発表をしなければなりません」と投稿し、既にメールで全ての影響を受けたユーザーに通知済みだという――メールが届いていなければ個人情報は無事とのこと。Amazon経由で製品を購入した消費者は、別の独立した物流パートナーを利用しているため影響を受けない。

Trezorは自社の内部システムはハッキングされておらず、デバイス側の暗号技術による防御は「これまで一度も遠隔で突破されたことがない」と強調、暗号資産そのものが盗まれたわけではないとしている。しかし問題はまさにこの隙間にある。住所と電話番号が一度流出すれば、詐欺師は何かを解読する必要はなく、配送情報通りにマルウェアを仕込んだ偽のコールドウォレットを自宅に郵送したり、銀行や取引所、あるいはTrezor本人を装って電話をかけ、パスワードや秘密鍵を聞き出したりすればいいだけだ。Ledgerは2020年に約30万人分のユーザーデータが流出した後、翌年には偽造コールドウォレットを実際に郵送する詐欺事件が発生しており、手口はほぼ同じである。

Trezorが第三者のミスで被害を受けたのは今回が初めてではない。親会社のSatoshi Labsは今年1月、カスタマーサービスシステムのハッキングにより6万6000人が被害を受けており、2022年4月には10万人以上の顧客情報が流出している。だが今回は、会社設立13年目にして初めて電話番号と配送先住所まで一緒に流出したケースとなる。デバイス自体が無事でも、デバイスを所有する人間が無事とは限らない――ブロックチェーンセキュリティ機関Certikの統計によれば、今年上半期だけで対面での強要による強盗事件の損失額は1億2400万ドルに達している。

Trezorは現時点で、流出した個人情報が公開されたり売買されたりした形跡はなく、関連する詐欺の通報も確認されていないとしている。しかし配送先住所が一度流出してしまえば、そのリスクはニュースの話題性が薄れても消えることは通常ない。