イスラエル最大手の暗号資産ブローカーであるBits of Goldは、利用しているデータ分析用サポートシステムへの不正アクセスにより、顧客の個人情報が流出した可能性があると発表しました。今回の事象は同社が利用するソフトウェア会社で発生した世界規模のサイバーセキュリティインシデントの一環とされており、同社が直接の標的ではないとみられています。顧客の資産や秘密鍵は影響を受けておらず、サービスも通常通り継続していますが、同社はフィッシング詐欺などの二次被害への警戒を呼びかけています。
インシデントの経緯と影響範囲
Bits of Goldの発表によると、数日前に発生した外部ソフトウェア企業へのサイバーインシデントにより、同社が利用するデータ分析用システムへの不正アクセスが確認されました。同社は問題を特定後、直ちにアクセスを遮断し、システムを情報源から切り離して不正アクセスを停止させました。現在は専門調査会社の支援を受けながら調査を進めており、関連当局への通知も完了しています。
不正アクセスの対象となった可能性がある情報は、氏名、ID番号、メールアドレス、電話番号といった本人確認・連絡先情報に加え、IPアドレス、銀行口座情報、暗号資産の公開ウォレットアドレスなどです。現時点でこれらの情報が悪用された形跡は確認されておらず、利用者側のパスワード変更などの対応も不要とされています。
また、同社は顧客の秘密鍵やクレジットカード情報を保管していないため、顧客の資金やデジタル資産への影響はないと説明しています。アカウントのパスワードや本人確認書類の画像データについても流出は確認されていません。ただし、流出の可能性がある情報を利用したなりすましやフィッシング詐欺などのリスクがあるため、不審なリンクのクリックや送金要求に応じないよう注意が促されています。
サプライチェーンを経由したセキュリティリスクの顕在化
Bits of Goldは2013年創業で、約30万人の登録顧客を持つイスラエルの主要事業者です。2022年にイスラエル資本市場・保険・貯蓄局からVASP（仮想資産サービスプロバイダー：暗号資産などの取引仲介を行う事業者）ライセンスを取得し、2026年4月にはイスラエルの法定通貨シェケルに連動するステーブルコイン「BILS」の発行承認を得ています。
暗号資産業界では、サービス提供元そのものではなく、業務を委託している第三者企業を経由した情報流出が相次いでいます。ハードウェアウォレット大手のTrezorでは、出荷・物流を委託するShipMonkのデータ侵害により約1万4,000人分の顧客情報が流出したことが公表されたほか、競合のLedgerでもeコマースパートナー企業への不正アクセスによる情報流出が発生しています。
自社の資産管理システムが強固であっても、外部パートナー企業や分析ツールのセキュリティ侵害から顧客情報が漏洩し、ソーシャルエンジニアリングなどの二次被害につながるケースがあることから、サプライチェーン全体のセキュリティ対策が業界共通の課題として浮き彫りになっています。
ポイント
- Bits of Goldが利用する外部のデータ分析システムへの不正アクセスにより、約30万人の登録顧客の一部個人情報が流出した可能性があります。
- 顧客資産や秘密鍵、パスワードは同社システム上で安全に保たれており、取引サービスも通常通り継続されています。
- 今回の事象は数百社が影響を受けたと推定される世界規模のソフトウェア侵害の一環であり、同社が直接の標的ではないとみられています。
- 業界内では委託先企業を経由した情報漏洩が続いており、流出データを悪用したフィッシング詐欺などの二次被害への警戒が重要視されています。