配送委託先ShipMonkの侵害、当初想定を大きく上回る規模に
仮想通貨ハードウェアウォレット大手Trezor（トレザー）は9月4日、配送パートナーShipMonk（シップモンク）で発生したデータ侵害について、新たに約6万7,000人の米国顧客が影響を受けたと発表した。
Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought.
Another 67,000 customers from the US who ordered between November 2019 and August 2021… https://t.co/yDQvTlAA2S
— Trezor (@Trezor) September 4, 2026
2日前、配送業者であるShipMonkから最新情報を受け取りました。最近のデータ漏えいにより、当初想定していたよりも多くの顧客が影響を受けていることをお伝えするのは大変残念です。2019年11月から2021年8月の間に注文した米国の顧客67,000人が影響を受け…
当初は被害が限定的とみられていたが、過去の注文データが削除されずに残っていたことが判明し、影響を受けた顧客は合計で8万人を超える規模に拡大した。
削除されたはずの過去データが残存、被害範囲が拡大
今回の問題は8月、ShipMonkのシステムへの不正アクセスによってTrezor顧客の個人情報が流出したことから明らかになった。当初Trezorは、影響を受けた顧客を1万3,689人としており、配送後90日以内にデータを削除または匿名化する運用によって被害は限定されていると説明していた。
しかし9月2日、ShipMonkから追加情報が伝えられ、2019年11月から2021年8月までの注文データも漏えいしていたことが判明した。これにより、新たに約6万7,000人の米国顧客が対象となり、氏名、メールアドレス、電話番号、配送先住所、注文番号などが流出した。
Trezorは、ShipMonkとの契約やデータポリシーに基づき、古い注文データが削除されていることを書面で繰り返し確認していたと説明している。それにもかかわらず実際にはデータが残されていたとして、同社は強い失望を表明した。
当初の想定を大きく超えて被害が広がった背景には、削除されたと確認されていた過去の注文データが、実際にはShipMonkのシステムに残されていたことがある。
ウォレット自体は安全、フィッシングやなりすましに警戒
一方、Trezorは今回侵害されたのはShipMonk側のシステムであり、自社システムやTrezorデバイスそのものは影響を受けていないと強調している。
ただし、漏えいした氏名や住所、連絡先などがフィッシング詐欺やソーシャルエンジニアリングに利用される可能性があるとして、利用者に警戒を呼びかけた。攻撃者がTrezorや金融機関、仮想通貨取引所などを装い、メールや電話、郵便を通じて接触する可能性もあるという。
Trezorは対象となった顧客へすでに直接メールで通知しており、ウォレットのバックアップ情報をウェブサイトに入力したり、第三者と共有したりしないよう求めている。また、漏えいした住所情報などによって身体的なセキュリティリスクが生じる可能性についても注意を促した。
同社は今回の事案を受け、配送パートナーへの追加監査を進めるとともに、顧客情報の共有を抑える匿名配送の導入を計画している。
