Security

概要 Google Cloudは8月11日、耐量子計算機暗号(Post-Quantum Cryptography, PQC)への移行に関する詳細なロードマップを公開した。ブログ記事はJai Haridas氏(VP/GM, Regulated and Sovereign Cloud)とMichael Bachman氏(VP/GM, Cloud Foundations)が執筆し、2029年までの完全対応を目標に、「Store Now, Decrypt Later(SNDL)対策」「完全性・否認防止」「暗号的敏捷性を備えた基盤・鍵管理」という3つの領域に分けた段階的な移行計画を示している。背景にあるのは「Harvest Now, Decrypt Later(HNDL)」と呼ばれる脅威で、攻撃者が現在のうちに暗号化通信を記録・保存しておき、将来量子コンピュータが実用化された時点でまとめて復号するリスクへの対応が急務となっている。 すでに実装済みの機能も多い。google.comおよび*.googleapis.comのAPIエンドポイントはFIPS 203として標準化されたML-KEMのハイブリッドモードに対応し、Application/Proxy Load BalancerではX25519MLKEM768によるTLS 1.3の量子安全な鍵交換をオプトインで提供している。またCloud KMSでは鍵カプセル化のML-KEM、署名用のML-DSA(FIPS 204)・SLH-DSA(FIPS 205)が一般提供(GA)済みで、Google内部のサービス間通信を暗号化するALTS(Application Layer Transport Security)についても2025年にPQC対応を完了したという。 技術的な詳細 Google CloudはPQCアルゴリズムとして、NISTが標準化した鍵カプセル化メカニズムのML-KEM(FIPS 203)、デジタル署名のML-DSA(FIPS 204)とSLH-DSA(FIPS 205)を採用する。現行のX25519と組み合わせるハイブリッドモード(X25519MLKEM768)を採用することで、既存システムとの互換性を保ちながら段階的にPQCを導入できる設計になっている。またPQC署名はサイズが大きく証明書チェーンの検証に影響を与えるため、ChromeやCloudflareと連携してMerkle Tree Certificatesの実験に取り組んでおり、IETFのPLANTSワーキンググループでの標準化にも関与しているという。 ハードウェア面では、チップレベルの検証を行うCaliptra v2.1、オープンソースのRoot of TrustであるOpenTitan(量子安全ブートは2025年に対応完了)、TPM 2.0 v185などを組み合わせ、2028年までにConfidential ComputingやFIPS 140-3 Level 3準拠のQuantum-Safe Cloud HSMを整備する計画としている。 ロードマップと責任分担 3つの領域それぞれに達成目標年が設定されている。SNDL対策(顧客ワークロード、管理者・開発者フロー、データパイプラインの保護)は2027年完了を目標に、Cloud VPNやCloud Interconnect、GKE Service Mesh、Tinkなどが2026〜2027年にかけて順次対応する。完全性・否認防止(ソフトウェアサプライチェーン保護、証明書発行、Cloud IAM)と、基盤・鍵管理(EKM、Google Workspace Client-Side Encryptionなど)はいずれも2028年完了を目標としている。 移行にあたってはGoogleと顧客の責任分担が明確化されており、Googleはネットワークの量子安全化や転送中暗号化、ハードウェアの完全性保証を担う一方、顧客側はアプリケーションのPQCハンドシェイク対応や鍵のライフサイクル管理、サービス設定の更新を担う「責任共有モデル」となる。この動きは、2030〜2035年に従来型アルゴリズムの段階的廃止を求めるNSAのCNSA 2.0や、移行パスを定めるNIST IR 8547といった規制動向とも歩調を合わせたものだ。 顧客への推奨事項 Google Cloudは顧客に対し、(1) Cloud Asset InventoryやWizの暗号資産評価ツールを用いた暗号資源のインベントリ把握、(2) BoringSSLやChrome、各種SDKなどPQC対応ソフトウェアへの更新、(3) 量子安全なAPIやロードバランサーを用いた検証、という3段階での準備を推奨している。今後数年で主要クラウドサービスの量子安全化が段階的に進む見通しであり、企業側も自社システムの暗号資産棚卸しを早期に始めることが求められそうだ。

概要 Fortinetは2026年8月13日、月例のセキュリティアップデートとして8件の脆弱性に対するパッチを公開した。中でも注目されるのが2件の高深刻度な認証関連の脆弱性で、いずれも悪用されれば管理機能への不正アクセスを許す恐れがあった。FortiWebでは「ワイルドカード」設定を有効にした管理者アカウントに対して、ランダムなユーザー名とパスワードでもGUI・CLIにログインできてしまう不具合(CVE-2026-26035)が見つかった。FortiManagerでは特定のCLI設定と有効な証明書へのアクセスを前提に、配下で管理している任意のFortiGate機器になりすませる認証バイパスの脆弱性(CVE-2026-70468)が確認されている。現時点でFortinetはこれらの脆弱性が実際に悪用された証拠は確認していないとしている。 技術的な詳細 CVE-2026-26035はFortiWebのバージョン8.0.3、7.6.7、7.4.12、7.2.13で修正されており、アップデートが適用できない場合の暫定策としてワイルドカード設定の無効化が案内されている。FortiManagerのCVE-2026-70468は、攻撃者が正規のFortiGate機器になりすまして管理通信を行える点が懸念されており、大規模な管理環境ほど影響範囲が広がりやすい性質を持つ。あわせて、FortiClient(Windows版)にはクラフトされたDNS応答を通じて任意コード実行につながるバッファオーバーフローの脆弱性(CVE-2026-70465)も高深刻度として報告され、修正されている。このほかFortiWeb WAF、FortiOS、FortiSIEMにまたがる中〜低深刻度の複数の不具合も同時に対応されたほか、HTTP/2の実装を狙った「HTTP/2 Bomb」攻撃(CVE-2026-49975)に関するガイダンスも公開された。 今後の対応 Fortinet製品はこれまでもゼロデイ攻撃の標的として繰り返し狙われてきた経緯があり、今回のように悪用報告がない段階でも早期のパッチ適用が強く推奨される。特にFortiManagerやFortiWebのような管理・境界防御製品は侵害された場合の影響が大きいため、管理者はワイルドカード設定の見直しやCLI・証明書アクセスの棚卸しを含め、Fortinetが公開したPSIRTアドバイザリに沿った対応を速やかに実施することが望ましい。

概要 トランプ政権は2026年8月13日、国家安全保障に関する大統領覚書に署名し、審査を通過した民間企業が政府の監督下でランサムウェア集団や金銭詐欺、セクストーションなどを行う国外のサイバー犯罪組織に対して、監視や妨害といった攻撃的な対抗措置を取ることを初めて認める制度を創設した。かつて国家が私人に敵船拿捕の権限を与えた「私掠船(privateer)」になぞらえ、「サイバー私掠船」とも呼ばれている。米国政府がこうした攻撃的な民間サイバー作戦を正式に制度化するのは今回が初めてだが、被害企業が独自に反撃する従来の「ハックバック」とは一線を画す制度とされる。 制度の仕組みと参加条件 制度に参加する企業には複数の要件が課される。まず、規則違反があった場合に没収される保証金として100万ドルをエスクロー(第三者預託)することが求められる。作戦の実施には司法省と国土安全保障省の承認が必須で、重大インフラに対する脅威を発見した場合には政府への報告義務も課される。対象となる企業規模は大企業から小規模企業まで幅広く検討される見通しだ。米国政府は2ヶ月以内に詳細なガイダンスを発行し、参加要件をさらに具体化する予定という。なお、米国民や国内システムを標的とした作戦は禁止されており、あくまで国外の犯罪組織を対象とした制度と位置づけられている。 懸念される点 業界専門家からは早くも懸念の声が上がっている。セキュリティ専門家のジェイク・ウィリアムズ氏は、こうした作戦に関与した米国人が海外政府に逮捕される口実を与えかねないと警告し、政策の法的根拠が不十分であると指摘した。攻撃的サイバー作戦は本質的に誤爆や巻き添え被害のリスクを伴うほか、民間企業が国家の代理として国外で活動することの外交的・法的な責任の所在も不透明なままだ。 今後の見通し 制度の詳細なガイダンス発行までにはまだ時間があり、実際にどの企業が参加を認められるか、政府の監督がどこまで実効性を持つかは今後の運用次第となる。専門家が指摘するように、法的異議申し立てや国際的な反発が生じる可能性もあり、民間企業による「ハックバック」がサイバーセキュリティの新たな規範として定着するのか、それとも混乱を招く実験に終わるのか、注視が必要な局面が続く。

概要 Appleは8月13日、傭兵スパイウェア(mercenary spyware)の標的にされたと判断したユーザーに対し、新形式の「脅威通知(Threat Notification)」を110カ国で一斉送付した。2021年後半に開始したこの警告プログラムにおいて、これまでに150カ国以上のユーザーに通知を行ってきたが、今回は約1年前に確認された100カ国規模の通知を上回る広範な一斉送信となった。通知はiPhoneのロック画面や設定画面へのプッシュ通知として表示されるほか、“threat-notifications@email.apple.com” からのメール、Apple Accountのページ上のバナーなど複数の経路で届く。ロック画面には「Apple detected a mercenary spyware attack targeted at your iPhone」というメッセージが表示され、通知から直接セキュリティ情報にアクセスできる新しいUXが導入された。真正性を確認したい場合は account.apple.com にログインし、ページ上部に表示される警告を確認できる。 技術的な詳細 Appleはこれらの通知を、社内の脅威インテリジェンス調査に基づく「high-confidence alerts(高確度の警告)」と位置づけている。一方で、検出手法の具体的な詳細は意図的に非公開としており、これは攻撃者が公開情報をもとに手口を調整することを防ぐためだと説明している。また、特定の攻撃者や地域への攻撃の帰属(アトリビューション)も行わない方針を貫いている。過去の事例では、フォレンジック調査によって一部の通知がPegasus(NSO Group製)への感染に関連していたことが確認されている。Appleは対策として、ロックダウンモードの有効化、ソフトウェアの最新化、生体認証セキュリティの利用、二要素認証と盗難デバイス保護の有効化、信頼できないアプリ配布元の回避、不審なリンクの無視などを推奨している。同社によれば、ロックダウンモード有効時にスパイウェア攻撃が成功した事例はこれまで報告されていない。 標的とされる層と背景 Appleは傭兵スパイウェア攻撃について、「現存する最も高度なデジタル脅威の一つ」であり、その「極めて高いコスト、洗練度、世界規模での展開」を特徴として挙げている。標的は主にジャーナリスト、活動家、政治家、外交官など、個人の立場や職務に基づいて狙われる非常に限定的な層であり、Apple自身も「大多数のユーザーが標的にされることは決してない」と強調している。こうした攻撃には数百万ドル規模の費用がかかる一方、検出を逃れるための「寿命の短さ」を特徴とし、発見が難しいとされる。 専門家の見解と今後の展望 市民社会の監視活動で知られるCitizen Labの研究者は、Appleの通知プログラムについて「通知は、あるコミュニティが標的にされているという重大なシグナルを生み出す」とコメントしている。実際に、同通知システムがきっかけとなってポーランドで旧政権が野党関係者に対してスパイウェアを乱用していた問題など、重大な調査につながった例も報告されている。専門家は、Appleから脅威通知を受け取った場合は誤報や過剰反応として片付けず、真剣に受け止めてセキュリティ専門家に相談することを勧めている。今回の110カ国という広範な一斉送付は、傭兵スパイウェア産業の拡大と、それに対抗するプラットフォーム側の検知・警告能力の強化という両面を示すものといえる。

概要 クラウド型ビジネス通話サービスを提供するRingCentralが、恐喝グループ「ShinyHunters」による攻撃を受け、約160万件のアカウント情報が流出した。同社は7月28日にこのセキュリティインシデントを公表し、「巧妙なソーシャルエンジニアリングキャンペーンの標的になった」と説明している。漏洩したデータは氏名、メールアドレス、電話番号、住所などの連絡先情報で、8月に入りダークウェブのリークサイト上で一般に公開された。データ漏洩情報の確認サービスHave I Been Pwnedもこのデータを分析し、約160万件のアカウントレコードが含まれていることを確認した。 侵害の経緯 今回の侵害は、RingCentralの従業員を標的としたビッシング(音声フィッシング)攻撃が起点となった。攻撃者は電話を通じて従業員をだまし、認証情報を窃取することでシステムへの不正アクセスに成功したとみられる。ShinyHuntersは7月27日に犯行声明を出し、623GB相当のデータを窃取したと主張。7月30日を期限とする身代金要求を行ったが、RingCentralが支払いを拒否したことを受け、8月3日に約280GB分のファイルをダークウェブ上のリークサイトで公開した。同グループは「同社は我々の多大な忍耐にもかかわらず、合意に至ることができなかった」と犯行声明で述べている。 RingCentralの対応と被害範囲 RingCentralは声明で「侵入を検知後、直ちに対応し、不正な活動を停止するための措置を講じた」とし、第三者のフォレンジック専門会社と連携して調査を進めたことを明らかにした。同社は、コアとなるRingCentralプラットフォーム自体には影響がなく、サービスは継続して稼働していると強調している。また、修復措置後には新たな不正アクティビティは検出されていないとし、直接連絡を受けた顧客のみが影響を受けたとの見解を示した。 今後のリスクと背景 流出した連絡先情報は、氏名や電話番号、メールアドレス、住所が組み合わさっているため、今後のビッシング攻撃や標的型フィッシングに悪用される懸念が指摘されている。攻撃者が実在する氏名や連絡先を把握した状態で電話をかけてくることで、被害者が詐欺と気づきにくくなるリスクがある。ShinyHuntersは2026年初頭以降、教育テクノロジー企業や医療機関、さらには最近ではAbbottのがん診断事業部門など、100以上の組織を侵害してきた「トップクラスの脅威グループ」として、セキュリティアナリストから警戒されている。数百のSalesforce顧客や複数のSnowflake顧客への侵害にも関与しているとされ、今回のRingCentral事件も同グループによる一連の大規模な恐喝キャンペーンの一部と位置づけられる。

概要 macOSの標準リモートデスクトップ機能「画面共有(Screen Sharing)」に存在する認証バイパスの脆弱性CVE-2026-65400が実際の攻撃で悪用され、Monero(モネロ)の暗号資産マイナーを設置する事例が確認された。オランダの国家サイバーセキュリティセンター(NCSC)によると、画面共有が利用するTCPポート5900をインターネットに公開しているシステムで能動的な悪用が観測されており、攻撃者は正当な認証情報なしにroot権限を取得しているという。CVSSスコアは7.1で、Appleは8月6日付でmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9として修正版を配布済みだが、未適用の端末は依然としてリスクにさらされている。 技術的な詳細 画面共有機能はVNCプロトコルをベースにポート5900で通信を行う。今回の脆弱性は状態管理メカニズムの不備に起因し、正しい認証情報の検証を回避できてしまう問題だった。影響を受けるのはmacOS Tahoe 26.6.1以前、Sequoia 15.7.9以前、Sonoma 14.8.9以前で、Appleは修正版で認証試行時の状態管理を強化し、不正な認証試行を防止する対応を行った。攻撃者はこの欠陥を突いてroot権限を獲得し、複数のシステムにMoneroマイナーを配置していることが確認されている。現時点では攻撃の主目的は暗号資産マイニングにとどまっているが、専門家は今後マルウェア配布や認証情報窃取など、より深刻な悪用に発展する可能性も懸念している。 推奨される対策 Appleおよびセキュリティ専門家は、まず該当のセキュリティアップデートを速やかに適用することを推奨している。パッチ適用が困難な場合の緊急措置としては、「システム設定」→「一般」→「共有」から画面共有機能自体を無効化することが挙げられる。また、画面共有をどうしても利用する必要がある場合でも、ポート5900をインターネットに直接公開せず、VPNやSSHトンネリングを経由してアクセスするようネットワーク構成を見直すことが強く推奨されている。NCSCの報告以降、攻撃の開始時期や被害システムの規模、マイニング以外への悪用の有無といった詳細情報は明らかになっていないが、ポート5900が外部に露出したMacは引き続き標的になり得るため、継続的な警戒が必要とされている。

概要 ファイル同期ツールrsyncの新バージョン3.5が2026年8月13日にリリースされた。今回のリリースでは合計33件のセキュリティ問題が修正されており、その中にはproxy protocol = trueを有効にしたrsyncデーモンに影響する重大な脆弱性CVE-2026-53791が含まれる。この脆弱性は、デーモンに直接接続した攻撃者が独自のPROXYヘッダーを送信できてしまう問題で、送信元IPアドレスを偽装し、ホストベースのアクセス制御を回避される恐れがある。影響範囲の広さと深刻度から、利用者・管理者には速やかなアップグレードが推奨されている。 修正されたセキュリティ問題 33件の修正の中には、シンボリックリンクの扱いに起因する深刻度「High」の複数の脆弱性が含まれており、任意のファイルの読み取りや書き込みにつながる可能性がある。また、フィルタ処理・引数解析・ハードリンク処理においてヒープ領域の範囲外書き込み(heap out-of-bounds write)が発生する問題や、デーモンプロトコル経由で到達可能なメモリ安全性の問題も修正された。このほか、細工されたチェックサムチェーンによってCPUリソースを消費させる二次関数的(quadratic)なDoS攻撃の手法や、悪意のあるピアがクライアントのI/Oタイムアウトを操作できる問題も対処されている。rsync-sslについては証明書検証とホスト名バインディングの強化も行われた。 その他の改善点 セキュリティ修正に加え、いくつかの防御的な機能強化も導入された。制限付きSSHラッパーであるrrsyncには、ディレクトリからの脱出を防ぐ追加の保護機能が加わった。また、ファイル名に含まれる制御文字はログ出力前にエスケープされるようになり、ターミナルインジェクションを防止する。シンボリックリンクされた宛先ディレクトリは、rootまたはrsyncユーザーが所有する場合のみ辿られるよう制限され、proxy protocol = trueが設定されているにもかかわらず信頼するプロキシホストが構成されていない場合は接続が拒否されるようになった。全体として、複数の操作にわたりアクセス制御の検証とパスの閉じ込め(path confinement)が強化されている。 今後の対応 今回のリリースは、ネットワーク越しにアクセス可能な脆弱性を含む大規模なセキュリティ修正パッチであり、特にデーモンモードでrsyncを運用している環境では影響が大きい。CVE-2026-53791はアクセス制御の根幹に関わる問題であるため、proxy protocolを有効にしている管理者は優先的に3.5へのアップグレードを検討すべきである。

概要 SAP Commerce Cloud(旧SAP Hybris)のData Hub Adapter拡張機能に存在する最大深刻度の脆弱性CVE-2026-58231(CVSS 10.0)が、SAPによるパッチ公開からわずか3日後の2026年8月14日に、実際の攻撃で悪用され始めたことが明らかになった。この脆弱性は認可不備に起因するもので、未認証の攻撃者がデフォルトの認証クライアントを悪用し、十分な検証を経ていない特定の機能に細工した入力を送り込むことで、任意コード実行を達成できる。攻撃には特権を必要とせず、複雑さも低いため、脆弱なシステムを持つ企業にとって極めて深刻なリスクとなっている。 脅威インテリジェンス企業Defusedは、自社のハニーポットに対してCVE-2026-58231を狙った最初の悪用試行が「パッチ公開日から3日後」に検知されたと報告した。この時点で本脆弱性の公開PoC(概念実証コード)は存在しておらず、攻撃者が独自にエクスプロイトを開発した可能性が高いとみられている。 技術的な詳細 SAPは2026年8月11日の月例パッチデー(August Patch Day)において、セキュリティノート#3771065を通じてCVE-2026-58231の修正を公開した。脆弱性はData Hub Adapter拡張機能の認可処理に存在し、デフォルトで設定されている認証クライアントを悪用することで、未認証のリモート攻撃者が内部コンポーネントを侵害し任意コードを実行できてしまう。SAPはこの脆弱性を最大深刻度であるCVSS 10.0と評価しており、対象顧客およびパートナーに対して「直ちにシステムにパッチを適用する」よう強く呼びかけている。 インターネットに公開されたSAP Commerce Cloudインスタンスの実態調査を行うShadowserverによれば、脆弱性の影響を受けうる公開インスタンスは4,200件以上確認されており、その多くは欧州および北米に集中しているという。パッチが公開されてから攻撃が観測されるまでの期間がわずか3日と極めて短かったことは、攻撃者側の脆弱性解析・武器化の速度が年々向上していることを改めて示す事例といえる。 今後の対応 現時点で公開されたPoCは確認されていないものの、既に実際の攻撃が観測されている以上、パッチ未適用の環境は速やかにリスクにさらされる可能性が高い。SAP Commerce Cloudを運用する企業は、SAPのセキュリティノート#3771065の内容を確認し、対象拡張機能の適用状況を点検した上で、至急アップグレードを実施することが強く推奨される。あわせて、インターネットに公開されたインスタンスの棚卸しや、Data Hub Adapterへのアクセス制御の見直しも合わせて検討すべきだろう。

概要 Go言語の開発チームは8月13日、セキュリティリリースとなる「Go 1.26.6」を公開した。今回のリリースでは、html/templateパッケージのクロスサイトスクリプティング(XSS)脆弱性や、cmd/goのモジュール検証を回避可能な脆弱性など、CVE番号が割り当てられた複数の深刻な問題が修正されている。あわせてnet、net/http、encoding/xml、crypto/tlsといった標準ライブラリの脆弱性や、コンパイラ・ランタイムのバグも修正された。 セキュリティ修正の詳細 最も注目すべき修正の一つが、html/templateパッケージのtransition.go内tJS()関数に存在したXSS脆弱性だ。トップレベルの{に続く/を、本来「正規表現リテラル」として扱うべき文脈で誤って「除算演算子」と解釈してしまうバグが原因で、<script>if(true){/{{.}}/g.test("x")}</script>のようなテンプレートに攻撃者が制御可能な値を埋め込むと、任意のJavaScriptが実行される恐れがあった。 モジュール管理まわりでは2件のCVEが修正されている。CVE-2026-56864は、悪意のあるGOSUMDBが透明性ログに記録されていない任意のモジュールコンテンツをクライアントに提供できてしまう問題で、cmd/goとx/mod/sumdbが対象。CVE-2026-56865は、悪意のあるGOPROXYがsumdbタイルの検証をバイパスし、最大2つのタイルを偽造できてしまう問題で、x/mod/sumdb/tlogに関わる。いずれも、Goプロキシ経由でのモジュール取得時に透明性ログの検証をすり抜けて不正なコードが混入し得る点で深刻度が高い。このほか、encoding/asn1のUnmarshal処理で深くネストした構造を解析する際にスタック枯渇を招きかねない問題(CVE-2026-33818)も修正され、DoS攻撃のリスクを低減している。 標準ライブラリでは他にも、encoding/xmlの(*Decoder).DecodeElementが再帰深度のガードを迂回できてしまう問題、net/httpでサーバー側のUnencryptedHTTP2を有効化すると最初のヘッダ読み込みタイムアウトが無効化されてしまう問題、netおよびx/net/dns/dnsmessageで不正なSVCBレコードを解析した際にパニックが発生する問題が修正された。またcrypto/tlsでは、FIPS 140-3モードで拡張マスターシークレット(EMS)非対応の古い機器との互換性を確保するため、GODEBUG=fips140ems=0によって当該要件を選択的に無効化できるエスケープハッチが追加された。 コンパイラ・ランタイムの修正 セキュリティ修正に加え、コンパイラとランタイムのバグ修正も含まれる。cmd/compileのprove最適化パスが無効な間接呼び出しを生成してしまう不具合や、MIPS/MIPS64向けの乗算・除算命令でHI/LOレジスタからのスピルが破損する問題、MIPS64le向けのOffPtr命令で32ビットに収まらない(32ビットを超える)定数を扱う際に誤コンパイルが発生する問題が修正された。さらにランタイムでは、高いパニック発生負荷下でfpTracebackPartialExpandがSIGSEGVを引き起こす問題にも対応している。 アップデート方法 該当するセキュリティ問題の影響を受ける可能性があるユーザーは、速やかに1.26.6へのアップデートが推奨される。ソースからビルドしている場合はgit fetch --tags && git checkout go1.26.6で最新版に切り替えられるほか、公式サイトからバイナリ配布版をダウンロードすることも可能だ。特にモジュール検証に関わる2件のCVEについては、更新後にgo.sumやgo.work.sum、vendorディレクトリを削除してgo mod tidyを再実行し、依存関係を再検証することが望ましい。

概要 ハードウェアウォレットメーカーTrezorは、配送委託先であるフルフィルメント事業者ShipMonkが不正アクセスを受けたことにより、約1万3689人（同社発表では「ほぼ1万4000人」）の顧客情報が流出したと発表した。侵害が発生していたのは2026年5月10日から8月8日までの期間で、ShipMonkは月曜日にTrezorへ通知し、Trezorは水曜遅くに公式ブログで顧客への告知を行った。Trezor自身のシステムやファームウェア、ハードウェアウォレット本体は侵害を受けておらず、同社は「デバイスは引き続き安全」と強調している。同社にとっては2013年の創業以来3件目となる情報漏洩であり、氏名や住所、電話番号といった配送関連の個人情報が流出したのは今回が初めてだという。 侵害の経緯とMetabaseの脆弱性 侵害の原因は、ShipMonkが利用していた分析基盤Metabaseに存在したSQLインジェクションのゼロデイ脆弱性が悪用されたことだとされている。攻撃者はこの脆弱性を突いてShipMonkのデータへ不正アクセスした。このMetabaseの脆弱性は今回のTrezorの一件に限らず、PC・ガジェットメーカーのFrameworkやオンラインフォームビルダーのTallyなど、他の複数企業でも侵害の原因になったと報じられており、業界横断的な影響が出ている。さらにShipMonkは、データ漏洩に関連して犯罪グループ「ShinyHunters」から金銭を要求する恐喝を受けたとも伝えられている。 漏洩したデータと想定されるリスク 流出した個人情報の内訳は、氏名・メールアドレス・電話番号・配送先住所が漏洩した顧客が1万1742人、氏名・都市名・メールアドレスのみが漏洩した顧客が1947人で、合計すると約1万3689人に上る。影響を受けたのは米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルの顧客で、Amazon経由で発送された注文は対象外だった。Trezorは、現時点で流出データが公開・売買・悪用された証拠は確認されていないとしつつも、顧客に対しては銀行や暗号資産取引所を装ったフィッシング詐欺への警戒を呼びかけている。ハードウェアウォレットの利用者は保有資産と個人の住所情報が結び付けられることで、過去には偽装デバイスの送付や、住所を特定した上での金銭要求・強盗といった物理的な被害も報告されており、今回の漏洩も同様のリスクを高める可能性が指摘されている。 Trezorの対応と過去の侵害歴 Trezorは影響を受けた顧客全員にメールで個別通知を行い、公式ブログでも経緯を説明した。同社は過去にも2022年4月にMailchimp経由の侵害で約10万6856人、2024年1月にはサポートチケットシステムへの不正アクセスで約6万6000人の顧客情報が流出する事件を経験しており、今回が3度目の大規模な情報流出となる。競合のLedgerも過去に同様のサードパーティ経由の侵害を受け、長期にわたるフィッシングキャンペーンの標的にされた経緯があり、暗号資産のハードウェアウォレット業界全体でサプライチェーンを狙った攻撃への対策強化が課題となっている。