Coinbase、顧客データ侵害により少なくとも6件の訴訟を起こされる

米国最大の暗号通貨取引所であるCoinbaseは、2025年5月13日から5月16日にかけて連邦裁判所で少なくとも6件の訴訟を起こされており、原告らは取引所が機密性の高いユーザーデータを保護しなかったこと、および生体認証プライバシー法に違反したと非難しています。

この法的攻撃は、Coinbaseが 明らかにした 先週木曜日に、サイバー犯罪者が複数のカスタマーサポートエージェントを賄賂によって買収し、内部システムにアクセスしたと発表した直後のものでした。5月11日に発生したと報告されているこの侵害により、数千人のユーザーのデータが漏洩し、攻撃者は現在2000万ドルの身代金を要求しています。

Coinbaseによると、盗まれたデータには、氏名、住所、電話番号、メールアドレス、社会保障番号の下4桁、銀行口座の詳細、運転免許証、パスポート、残高のスナップショットや取引履歴などのアカウント関連情報が含まれています。 

同社は、この侵害が月間800万人の取引ユーザーの1%未満、つまり8万人未満の個人に影響を与えたと述べています。

S&P 500上場を前に、複数の訴訟が発生

5月16日にニューヨークの連邦裁判所に提起されたPaul Bender氏による訴訟の一つは、Coinbaseが適切なセキュリティプロトコルを実装および維持しなかったため、ユーザーが「深刻かつ継続的なリスク」にさらされたと主張しています。 

この 苦情 また、同氏は取引所が侵害後の対応を不適切に行い、その対応を「不十分で断片的、かつ遅延していた」と非難しています。

“ユーザーは侵害について迅速かつ完全に通知されませんでした. Coinbaseは、さらなる被害を軽減するための意味のある措置を直ちにとらず、アイデンティティ保護サービスを提供せず、影響を受けた個人に対して実行可能なガイダンスを提供しませんでした。「と訴状は記載されています。

Bender氏の訴訟は、漏洩したデータがユーザーを身元盗難や金融詐欺に対して脆弱にし、一度公開された個人情報を守ることはできないため、回復不可能な損害を引き起こす可能性があると主張しています。

Coinbaseは、同じ理由でニューヨークで2件の追加訴訟を起こされ、さらに4件目の事件では、最初の事件を拡大して不当利得を含めています。その訴訟は、Coinbaseがデータセキュリティインフラに「十分」投資せず、ユーザーの安全を犠牲にして利益を得ていると主張しています。 

イリノイ州のユーザー、生体認証データ法違反に関する集団訴訟を提起

別の法的戦線において、Coinbaseは集団訴訟にも直面しています は 5月13日にイリノイ州の連邦裁判所に提起されました。原告のScott Bernstein氏、Gina Greeder氏、James Lonergan氏は、Coinbaseの本人確認プロセスが州の生体情報プライバシー法（BIPA）に違反していると主張しています。 

訴訟によると、Coinbaseはユーザーに政府発行のIDと自撮り写真をアップロードして本人確認を行うことを要求しています。この情報は、生体識別情報を抽出するために顔認識ソフトウェアを使用して処理されます。 

原告らは、Coinbaseがこの収集についてユーザーに適切に通知しなかったこと、およびデータがどの程度保持され、どのように破棄されるかを開示しなかったと主張しています。

Coinbase、侵害および内部の妨害行為への対応

侵害開示と同じ日に公開されたブログ記事において、 Coinbase 同社は2000万ドルの身代金を支払うことを拒否し、攻撃の背後にある者の特定と逮捕につながる情報に対して2000万ドルの報奨金基金を設立したと述べています。 

Coinbaseのチーフセキュリティオフィサー、Philip Martin氏は、侵害されたカスタマーサービスエージェントがインドに所在しており、すでに解雇されたと確認しました。最近のインタビューで、Martin氏は同社が法執行機関および業界パートナーと協力して、責任者たち、特に「小規模な内部グループ」に対して訴追を進めていると強調しました。

“残念ですが、このような問題が見つかれば、私たちは責任を持って是正したいと考えています,”と彼は推測しました。

同社は、この侵害への対応および影響を受けた顧客への補償にかかる費用が1億8000万ドルから4億ドルの範囲になると推定しています。

その間、Coinbaseは 調査 米国証券取引委員会（SEC）によって、過去の開示におけるユーザー指標の「虚偽表示」で