14,000 Trezorユーザー、データ侵害後にフィッシング警告

ハードウェアウォレットメーカーの配送パートナーであるShipMonkがハッキングされた後、約14,000人のTesor購入者の氏名と連絡先情報が盗まれました。 

影響を受けた人々は、フィッシングのリスクが高まっており、フランスのユーザーが経験したように、場合によっては自宅住所での盗難のリスクにも直面しています。

Tesorの漏洩でどのような詳細が暴露されたのか？ 

Tesorは、 ブログ投稿 を通じて、ShipMonkが8月10日月曜日に注文データを保持するシステムの侵害について情報を共有した際に、侵害に気づいたと報告しました。 

具体的には、5月10日から8月8日の間に発送された注文が影響を受けましたが、Tesor自身のインフラは影響を受けておらず、ユーザーのウォレット自体は安全です。 

会社によると、氏名、メールアドレス、電話番号、配送先住所のすべてが盗まれた人が11,742人おり、氏名、都市、メールアドレスのみが盗まれた人が1,947人います。これにより、被害者の累計は13,689人になります。 

Tesorは、購入者が7か国にまたがっていることを明らかにしました：アメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガル。 

ShipMonkの配送後3ヶ月で注文記録を削除または匿名化するポリシーにより、被害はわずかに軽減されました。Tesorは、Amazonを通じて購入した顧客は、それらの注文が異なる履行チャネルを通過したため、被害を免れたと述べています。

同社は過去に同様の事案を経験していますが、Tesorはこれが顧客の電話番号と配送先住所を暴露した最初の攻撃であったと述べています。同社のサードパーティサポートポータルは2024年1月に侵害され、66,000人のユーザーに影響を与え、2022年の別の事案では106,000人以上が影響を受けました。  

Tesorのハッキングはどのように発生したのか？ 

ShipMonkは、攻撃者が同社が使用する分析プラットフォームであるMetabaseの欠陥を利用したと述べています。Metabaseは8月6日にこの問題自体を公に指摘しました。 

このバグは、侵入者に管理者アクセスを渡した重大なSQLインジェクションのゼロデイ脆弱性であり、同じキャンペーンはラップトップメーカーのFrameworkやフォームビルダーのTallyなど他の企業も襲いました。 

それ以来、Tesorは盗まれた記録がまだ公開、販売、または詐欺に使用されていない証拠がないと述べていますが、ShipMonkはShinyHuntersグループからの恐喝メールを受け取っています。

Tesorの主要な競合他社であるLedgerは、2020年の侵害で数十万人のユーザーに関するデータが漏洩し、 Cryptopolitanは、詐欺師は2026年5月まで最近でも、悪意のあるQRコードを含む偽の「量子耐性セキュリティアップデート」の手紙をLedger所有者に郵送していました。Ledgerは 別の漏洩 を1月に決済プロセッサのGlobal-eを通じて開示しました。

懸念されるのは、犯罪者が漏洩した個人データを使用して、暗号を明け渡すよう被害者を強制することを目的とした誘拐や強盗の標的を選んでいることです。Chainalysisは、2026年の前半に暴力攻撃で3,000万ドル以上が奪われたと報告しており、2025年の年間総額5,800万ドルを上回る見通しです。 

Tesorは、影響を受けた顧客にメールで通知したと述べています。また、配送後の住所データの自動削除、ロッカー、無難なパッケージングを備えたよりプライベートな配送オプションを提供すると約束しており、EUでは9月までに、米国では年末までにリリースされる予定です。