Trezor、配送委託先ShipMonk経由のデータ漏洩で約1万4000人に影響 原因はMetabaseのゼロデイ脆弱性

概要

ハードウェアウォレットメーカーTrezorは、配送委託先であるフルフィルメント事業者ShipMonkが不正アクセスを受けたことにより、約1万3689人（同社発表では「ほぼ1万4000人」）の顧客情報が流出したと発表した。侵害が発生していたのは2026年5月10日から8月8日までの期間で、ShipMonkは月曜日にTrezorへ通知し、Trezorは水曜遅くに公式ブログで顧客への告知を行った。Trezor自身のシステムやファームウェア、ハードウェアウォレット本体は侵害を受けておらず、同社は「デバイスは引き続き安全」と強調している。同社にとっては2013年の創業以来3件目となる情報漏洩であり、氏名や住所、電話番号といった配送関連の個人情報が流出したのは今回が初めてだという。

侵害の経緯とMetabaseの脆弱性

侵害の原因は、ShipMonkが利用していた分析基盤Metabaseに存在したSQLインジェクションのゼロデイ脆弱性が悪用されたことだとされている。攻撃者はこの脆弱性を突いてShipMonkのデータへ不正アクセスした。このMetabaseの脆弱性は今回のTrezorの一件に限らず、PC・ガジェットメーカーのFrameworkやオンラインフォームビルダーのTallyなど、他の複数企業でも侵害の原因になったと報じられており、業界横断的な影響が出ている。さらにShipMonkは、データ漏洩に関連して犯罪グループ「ShinyHunters」から金銭を要求する恐喝を受けたとも伝えられている。

漏洩したデータと想定されるリスク

流出した個人情報の内訳は、氏名・メールアドレス・電話番号・配送先住所が漏洩した顧客が1万1742人、氏名・都市名・メールアドレスのみが漏洩した顧客が1947人で、合計すると約1万3689人に上る。影響を受けたのは米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客で、Amazon経由で発送された注文は対象外だった。Trezorは、現時点で流出データが公開・売買・悪用された証拠は確認されていないとしつつも、顧客に対しては銀行や暗号資産取引所を装ったフィッシング詐欺への警戒を呼びかけている。ハードウェアウォレットの利用者は保有資産と個人の住所情報が結び付けられることで、過去には偽装デバイスの送付や、住所を特定した上での金銭要求・強盗といった物理的な被害も報告されており、今回の漏洩も同様のリスクを高める可能性が指摘されている。

Trezorの対応と過去の侵害歴

Trezorは影響を受けた顧客全員にメールで個別通知を行い、公式ブログでも経緯を説明した。同社は過去にも2022年4月にMailchimp経由の侵害で約10万6856人、2024年1月にはサポートチケットシステムへの不正アクセスで約6万6000人の顧客情報が流出する事件を経験しており、今回が3度目の大規模な情報流出となる。競合のLedgerも過去に同様のサードパーティ経由の侵害を受け、長期にわたるフィッシングキャンペーンの標的にされた経緯があり、暗号資産のハードウェアウォレット業界全体でサプライチェーンを狙った攻撃への対策強化が課題となっている。