トレザーは木曜日、配送業者の情報流出により1万3689人分の顧客個人情報が外部に漏えいしたことを確認した。氏名、自宅住所、電話番号、メールアドレスが持ち出された。
暗号資産は移動していない。トレザーによれば、自社システム、デバイス、顧客のウォレットバックアップは一切影響を受けていない。被害は外部ベンダーに限定される。
トレザーの情報漏えいで明らかになった内容
シップモンクはトレザーの受注品を保管・配送する企業である。8月10日、顧客記録を保管する同社のシステムに侵入者がアクセスしたとトレザーに通知した。
漏えいは2種類ある。1万1742人の購入者は、氏名、メール、電話番号、配送先住所のすべてが流出した。残る1947人は氏名、市区町村、メールアドレスのみだった。
流出した対象は時期によって異なる。今回の漏えいは、米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルに5月10日から8月8日まで配達された注文が該当する。
それ以前の購入者はルールにより対象外だった。トレザーは、出荷から90日後には注文データの削除か匿名化をパートナー企業に義務付けており、古い出荷記録はすでに消去済みだった。
シンプルな判別法がある。該当者には[email protected]からメールが届いている。届いていなければ流出対象外となる。
見逃せない事実がある。シップモンクは監査済みのセキュリティ基準であるSOC 2 Type II認証を取得していたが、それでも侵害が発生した。
なぜ住所の漏えいはメールだけより深刻か
メールだけでは犯罪者の得るものは少ない。しかし、氏名、自宅住所、電話番号が揃うと、特定の顧客が暗号資産購入者であることを示せる。
トレザーは被害パターンを明示した。詐欺師は偽のメールや電話、偽装した文書を郵送し、銀行、取引所、あるいはトレザー自体を装うことができる。
こうした攻撃は過去にも発生している。レジャーは2020年7月、顧客100万件分のメールが流出した。そのうち9500人は住所情報も含まれ、偽のリカバリーフレーズ通知が数年後に自宅へ届いた例もあった。
規模を比べると、トレザーの流出は1万1742人分の住所が含まれ、2020年のレジャー被害（9500人）を上回る。
レジャーのパスカル・ゴーティエCEOは2020年当時、同様の懸念に「そのロジックは今も変わらない」と答えている。
「流出情報とウォレット内の資産を紐付ける手段は存在しない」と、レジャーの告知に一節が掲載された。
犯行グループは以前からターゲットを定めていた。トレザーを狙った最近のフィッシング広告は今回の公表直前にも確認されている。別件では、偽のサポート電話詐欺により今年数百万ドル規模の資産が失われている。
ベンダーが弱点となるケースが続いている。レジャーの決済処理業者での情報流出も今年1月に発生し、顧客注文データが漏れた。
トレザー保有者がとるべき対応
結論はシンプルかつ効果的だ。緊急性を訴える連絡は警告と考える。違和感があれば必ず公式チャンネルで確認する。ウォレットのバックアップは決してウェブサイトへ入力しない。
「ウォレットバックアップはウェブサイトに入力しない、誰にも教えないこと」とトレザーは公式ブログで記載した。
今後の対策としては、実名と直接紐付かないメールで注文する、可能な限り暗号資産で支払うなどがある。
トレザーはまた、ロッカー受取と中立梱包による「匿名配送」オプションの提供も予告した。EUでは9月、米国では2026年末までの導入を計画している。
トレザーによれば、顧客の電話番号や配送先住所が流出したのは2013年以来初めてである。ハードウェア自体は堅牢なまま。弱点はあくまでも商品の「箱」の部分であった。
