Trezorの米顧客データ6.7万人分が流出、配送委託先ShipMonkの脆弱性悪用で――削除確認済みの過去データが残存
要点
- 暗号資産ハードウェアウォレット大手のTrezorは、配送委託先ShipMonkへの不正アクセスにより、米国顧客約6万7000人分の個人情報が流出したと発表した。
- 流出データには2019年11月から2021年8月の注文情報が含まれるが、ハードウェアウォレット製品自体のセキュリティには影響がないとしている。
- Trezorは契約に基づき過去データの削除完了を書面で確認していたものの、委託先のシステム内にデータが残存していたことが判明した。
- 今回の侵害はBIツール「Metabase」の重大なゼロデイ脆弱性を悪用したサプライチェーン攻撃であり、脅迫集団「ShinyHunters」の関与が指摘されている。
- Trezorは対象顧客へ直接通知を行うとともに、流出情報を利用したフィッシング詐欺やなりすまし攻撃への警戒を呼びかけている。
暗号資産（仮想通貨）のハードウェアウォレットを開発・販売するTrezor（トレザー）は、同社の配送サービスを請け負う米ShipMonk（シップモンク）が受けた不正アクセスにより、米国の顧客約6万7000人分の個人情報が外部へ流出したことを明らかにした。
流出が確認されたのは2019年11月から2021年8月にかけて行われた注文データで、氏名や配送先住所、電話番号などが含まれている。Trezorは委託先に対して契約通りのデータ削除を繰り返し要求し、書面で削除完了の保証を受け取っていたが、実際にはシステム内に保管されたままだったという。なお、ハードウェアウォレット製品自体の安全性やセキュリティには一切影響がないと説明されている。
削除合意が交わされていた過去データが流出
Trezorの発表によると、今回流出が確認された情報には、対象期間中にTrezorの公式オンラインショップ（eShop）を通じて注文を行った顧客の氏名、メールアドレス、電話番号、配送先住所、および注文番号が含まれている。ハードウェアウォレットとは暗号資産の秘密鍵をオフラインで安全に管理する専用デバイスだが、製品そのものの安全性は保たれているという。
Trezorは通常、eShopでの購入に関連するすべての顧客データを注文後90日で削除または匿名化するポリシーを採用している。90日という期間は、配送、返品、返金や交換対応など注文の一連のライフサイクルをカバーするために必要な最短期間として設定されており、それ以降は住所や電話番号を保持する理由がないためだ。
同社はShipMonkとの取引期間中、契約やデータポリシーに基づいて過去データの削除を繰り返し要請し、削除を完了したとする書面での保証も受け取っていた。Trezorは公式声明において、確認を受け取っていたにもかかわらず委託先のシステム内にデータが残存していたことに対し、強い失望感を表明している。
8月の公表から拡大した被害規模
今回のデータ露出は、同社が先月（2026年8月）に公表していた1万3689人分の被害に続く追加の判明分となる。先月の時点では、90日間のデータ保持ポリシー期間内に該当する注文データの一部または全部が流出したと説明されていた。
ShipMonkが不正アクセスによるシステム侵害の発生をTrezorに通知したのは、2026年8月10日のことだった。その後の調査の進展に伴い、当初は住所を除く氏名・都市・メールアドレスのみの流出と見られていた1,947件のデータの中に、ポリシー期間外である過去の古い注文情報が含まれている可能性が浮上し、さらなる精査によって今回の約6万7000人規模の残存データ流出が特定されたという。
Metabaseのゼロデイ脆弱性を突いたサプライチェーン攻撃
ShipMonk側は本件について公式な声明を発表していないものの、侵害発生後に対象システムの保護とセキュリティ強化を実施したと伝えられている。
今回の不正アクセスでは、データ分析・BIツールの「Metabase（メタベース）」に存在していた極めて深刻なSQLインジェクション脆弱性「CVE-2026-72898」（CVSSスコア：10.0）が悪用された。SQLインジェクションとはデータベースを不正に操作・閲覧する攻撃手法であり、CVSSは脆弱性の重大度を評価する共通指標である。この脆弱性は、修正パッチが提供される前に悪用されるゼロデイ攻撃として使われた。
ブロックチェーンセキュリティ企業のHolborn（ホルボーン）の分析によると、今回の攻撃の背後には恐喝ハッカー集団「ShinyHunters（シャイニーハンターズ）」が存在するという。攻撃者はMetabaseの脆弱性を突いてShipMonkを含む複数の顧客環境へ侵入し、機密データを窃取して恐喝を行っていたとされる。Trezorにおいては、ShipMonkが運用していたMetabaseインスタンス内に保存されていた顧客の注文詳細が標的となった形だ。Holbornは、この事例が組織におけるサードパーティ（外部委託先）リスクの可視化とセキュリティ管理の重要性を浮き彫りにしたと指摘している。
フィッシングやなりすまし攻撃への警戒を呼びかけ
Trezorは今回のインシデントで影響を受けた顧客に対して直接連絡を行っている。同時に、流出した個人情報が悪用される二次被害への強い警戒を呼びかけた。
流出した連絡先や住所情報は、フィッシングメールや詐欺目的の電話・郵便物、さらにはTrezor公式を装ったなりすましメールなど、標的を騙して意図しない操作を行わせるソーシャルエンジニアリング攻撃に利用されるおそれがある。Trezorは、流出情報が詐欺やなりすましのみならず、該当する個人の物理的なセキュリティリスクにつながる可能性もあるとして、不審な連絡に注意するよう注意喚起を行っている。