暗号資産のハードウェアウォレット（秘密鍵をオフラインで管理する専用端末）を提供するTrezorにおいて、配送パートナーのデータ侵害により追加で米国のユーザー6万7,000人が影響を受けたことが明らかになりました。流出した記録の一部は2019年のものにまで遡り、提携パートナーが合意していたとされる90日間のデータ保持期間を何年も超過していた実態が判明しています。流出したデータが悪用されることで、影響を受けたユーザーがフィッシング攻撃やソーシャルエンジニアリング詐欺にさらされる危険性が高まっています。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
配送パートナーのデータ侵害による詐欺リスクの拡大
Trezorの公表によると、同社の配送パートナーにおけるデータ侵害によって、新たに米国のユーザー6万7,000人が影響を受けました。この侵害により、対象となったユーザーがフィッシング攻撃やソーシャルエンジニアリング詐欺（人間の心理的な隙や誤認を利用して機密情報を騙し取る詐欺手口）に狙われる道が開かれたとされています。ハードウェアウォレットを保有する顧客情報が外部に漏れることで、巧妙な標的型詐欺の標的となるリスクが懸念されます。
90日間の合意を超過したデータ保持の実態
今回の侵害で流出した記録の中には、2019年にまで遡るデータが含まれていることが明らかになりました。Trezorは提携パートナーとの間で90日間のデータ保持期間に合意していたと説明していますが、実際にはその合意期間を何年も超過したデータが外部パートナーの手元に保管され続けていました。委託先におけるデータ保持ルールの不徹底が、長期にわたる顧客情報の露出を招く結果となったと見られます。
ポイント
- Trezorの配送パートナーで発生したデータ侵害により、追加で米国のユーザー6万7,000人が影響を受けた点
- 漏洩した記録の一部は2019年のものにまで遡り、合意されていた90日間のデータ保持期間を何年も超過して保管されていた点
- 流出情報が悪用され、フィッシング攻撃やソーシャルエンジニアリング詐欺の対象となる危険性があり、サプライチェーンセキュリティの観点から注目される点