Trezorは、8月に配送・物流業者ShipMonkで発生したデータ侵害の範囲が、米国の追加6万7,000人の顧客に拡大し、影響を受けた顧客の総数が約8万1,000人に達したと発表した。同社は8月13日、約1万4,000人の顧客のデータに不正アクセスがあったことを明らかにしていた。
Trezorによると、漏えいしたデータには、完全な氏名、配送先住所、メールアドレス、電話番号に加え、2019年11月から2021年8月の間に購入を行った米国の顧客グループについては注文番号も含まれていた。最初の発表で影響を受けた顧客は、2026年5月10日から8月8日の間に注文を受け取っており、米国に加えてブラジル、コロンビア、イタリア、ポルトガル、スウェーデン、英国も含まれていた。
事件の範囲はどのように拡大したのか？
Trezorは、両社の契約とデータポリシーが削除を義務付けていたにもかかわらず、ShipMonkが漏えいしたデータをシステムから削除しなかったと述べた。同社はShipMonkに対し、削除が完了したことを示す書面による確認を繰り返し求め、その確認を受け取っていたが、その後、データが同業者のシステム内に残っていたことが判明したという。
BleepingComputerが確認した通知メールによると、攻撃者は第三者の分析プラットフォームであるMetabaseの脆弱性を悪用した。Metabaseは、脅威グループがzero-dayとして分類されたSQLインジェクション型の重大な脆弱性を悪用し、侵害された環境で管理者権限を取得した後にデータを窃取したと述べていた。
Trezorは、ShipMonkのシステムが具体的にどのような方法で侵害されたのかをまだ明らかにしていない。また、報告によると、ShipMonkはShinyHuntersから恐喝メッセージを受け取った。同グループは、フォーム作成プラットフォームのTallyやノートパソコンメーカーのFrameworkなど、他社にも影響を与えたMetabase悪用キャンペーンとの関連が報告されている。
Trezorユーザーにとって何を意味するのか？
Trezorは、この事件が自社の業務やサービスに影響を与えておらず、同社のシステムは侵害されていないほか、Trezorデバイス自体も安全だと確認している。しかし、漏えいしたデータの性質上、攻撃者は実際の注文に関連しているように見えるフィッシングメッセージを個別に作成したり、電話や詐欺を行ったりするのに十分な情報を得ている可能性がある。そのため同社は、個人情報を求めるあらゆるメッセージに注意するよう顧客に警告し、影響を受けた個人の物理的な安全に関するリスクの可能性も指摘した。
この事件は、Trezorが2024年1月にも、第三者が運営するサポートチケットポータルで別の侵害を経験し、約6万6,000人のユーザーデータにアクセスされたことから、さらなる重要性を持つ。これらのデータはその後、24語で構成されるウォレットのリカバリーフレーズを盗むことを目的としたフィッシングキャンペーンに利用された。
編集部の見解
今回実際に変化したのはTrezorのデバイスやサービスが侵害されたことではなく、削除されるはずだったデータが保持されていたことにより、サプライチェーン上で発生した事件の影響が拡大した点である。これは、第三者のシステムを削除可能な状態にし、監視できる検証可能な能力を伴わなければ、契約上のコンプライアンス確認だけでは不十分であることを示している。
情報源は、Metabaseの脆弱性が悪用された時期や、実際に転送されたデータ量について詳細を示していない。また、影響を受けたすべての記録が詐欺キャンペーンに利用されたかどうかも明らかにしていない。これらの点は未解決の問題として残っているが、顧客にとって最も明確な実務上の対応は、Trezorの注文や過去の配送情報に関連していると主張するあらゆる連絡に慎重に対応することである。