トレザーの顧客情報流出、米国6万7000人に拡大 名前・住所・注文内容まで漏えい、暗号資産狙うフィッシング被害に警戒

ハードウェアウォレット企業トレザー（Trezor）のデータ流出問題は、当初の想定よりも深刻だった。新たに米国の顧客6万7000人が影響を受けていたことが判明した。

トレザーは金曜日のX投稿で、配送業者シップモンク（ShipMonk）からの最新報告を引用し、2019年11月から2021年8月の間に注文した米国ユーザーが新たに危険にさらされている可能性があると明らかにした。

今回流出したのは、氏名、メールアドレス、電話番号、配送先住所、注文内容などを含む顧客の詳細情報だ。トレザーは、これらの注文データについて、シップモンクから削除済みとの書面による保証を受けていたにもかかわらず、実際には削除されていなかったと説明している。

トレザー本体のシステムが侵害されたわけではない。だが、それで安心できる話ではない。流出した情報は、6万7000人の顧客が保有する暗号資産を狙う“入口”になり得るからだ。攻撃者はトレザーを装ったフィッシング攻撃を仕掛け、ウォレットを支配するシードフレーズを盗み取ろうとする可能性がある。

トレザーは8月時点で、配送業者を通じて情報が流出したユーザー数を1万4000人と見積もっていた。また2024年1月には、2021年12月以降に同社サポートへ連絡した約6万6000人のユーザーが、フィッシング攻撃のリスクにさらされていると公表していた。

フィッシング攻撃やソーシャルエンジニアリングは、コードの脆弱性を突く必要がない。だからこそ厄介だ。ブロックチェーンセキュリティ企業ハッケン（Hacken）によれば、なりすまし型の詐欺は今年第1四半期における暗号資産業界の損失の大半を占めた。損失総額4億8200万ドル（約752億円）のうち、3億600万ドル（約477億円）がこうした手口によるものだった。

7月には、ある暗号資産投資家がイーサリアム上で悪意あるフィッシング用トークン承認トランザクションに署名し、約100万ドル（約1億5600万円）を失った事例も報告されている。