暗号資産ウォレットSafePal、注文追跡機能の不備で顧客約4万人分の情報流出

概要

暗号資産ハードウェアウォレット大手のSafePalは8月16日、顧客約39,798人分の個人情報が流出したことを確認したとメールで通知した。原因は、同社のEコマースシステムに組み込まれた注文追跡プラグインの認可不備で、この不具合により特定の条件下で「ある顧客が別の顧客の注文情報を閲覧できる」状態になっていたという。流出したのは2025年3月2日から2026年4月11日の間に注文した顧客の氏名、メールアドレス、配送先住所、電話番号、購入内容などで、シードフレーズや秘密鍵、ウォレットのパスワード、銀行口座情報、クレジットカード番号、政府発行の身分証明書番号は含まれていないとSafePalは説明している。同社は「この事案によってSafePalウォレットや資金へのアクセスが侵害された証拠は見つかっていない」と強調した。

同時に、脅威アクターがサイバー犯罪フォーラム上で今回の侵害と同一とみられる39,798件のデータを販売用として公開していることが、DarkWebInformerなどにより確認されている。購入希望者はSafePal自身が提供する検証ツールを使って、データの真正性を確認できる状態になっていたと報じられており、皮肉にも同社の顧客対応ツールが窃取データの裏付けに利用された形だ。

原因と発覚の経緯

問題の根本原因は、SafePalのEコマースシステムに追加されたプラグインの注文追跡機能における認可制御の不備だった。加えて、2025年9月から2026年4月にかけて設定ミスがあり、本来削除されるべき顧客データが想定より長期間保持され続けていたことも被害拡大の一因となった。

タイムラインを見ると、SafePalは2026年5月初旬の時点で今回の侵害に符合する報告を受け取っていたが、当初は孤立した事案として扱っていた。同じ5月には、複数の顧客がフィッシングメールや詐欺的な電話を受けたと報告している。同社は7月に注文処理システムの全面的な見直しと再構築に着手し、外部のセキュリティ企業による検証を経て、8月16日に対象顧客へメールで通知するとともにセキュリティアドバイザリを公表した。

SafePalの対応と今後の影響

SafePalは脆弱性を修正した上で追加のセキュリティ対策を実施し、第三者セキュリティ企業による検証を受けたとしている。また、個人データの保持期間を90日に短縮するなど再発防止策を講じたほか、この事案に関連する30件以上の詐欺的なウェブサイトやフィッシングリンクを特定し停止させた。対象顧客向けには専用のサポート窓口も開設している。

もっとも、氏名・住所・電話番号・購入履歴といった情報は、資金へ直接アクセスするための鍵とはならないものの、正規の取引内容を装った説得力のあるフィッシング攻撃や偽サポートを騙る詐欺電話に悪用されやすい。実際に5月時点で被害者からの報告が上がっていたことからも、対象となった顧客は自身への不審な連絡に一層の警戒が求められる。今後、闇市場で販売されているとされるデータの真正性や、追加の悪用事例が明らかになるかが焦点となりそうだ。