暗号資産（仮想通貨）を保管するハードウェアウォレットを製造する「トレザー」は、ニュースレターの配信を委託している企業がサイバー攻撃を受け、顧客のデータが危険にさらされたと発表しました。同社が委託先のデータ侵害について顧客に警告するのは、過去2か月間で2回目となります。
トレザーが今週公開したブログ記事によりますと、マーケティング技術会社の「ブレボ」がサイバー攻撃を受けたということです。この攻撃により、ハッカーはトレザーを装った悪意のあるリンクを含むフィッシングメールを、トレザーの顧客に向けておよそ34万7000件送信したとしています。
メールに記載されたリンクをクリックすると、ウォレットのバックアップ用パスワードを要求するアプリがダウンロードされる仕組みになっています。トレザーによりますと、不審なメールの件名の一部には「重大なセキュリティ警告：STM32エントロピーの脆弱性」などと記されていたということです。
ウォレットのパスワードが盗まれると、ブロックチェーン上にある個人の資産が不可逆的に盗み出されるおそれがあります。
一方、ブレボ社は今回の事案について、ハッカーが自社の138のアカウントにアクセスし、大量のフィッシングメッセージを送信したと説明しています。同社によりますと、ハッカーはアクセス権限が「適切に制限されていない」というシステムの欠陥を悪用し、ハッカーのアカウントが到達可能なすべての組織に対して「誤ってアクセス権が付与された」状態になっていたということです。
今回の事案は、商品の注文や購入に必要なデータを管理する第三者企業がハッキングされるという、近年の典型的なセキュリティインシデントの危険性を浮き彫りにしています。なお、トレザーは自社の製品やウォレット、アカウントシステム自体には影響はないとしています。
トレザーに関連するデータ侵害は、ここ数週間で2回目となります。今年8月には、配送業務の委託先である「シップモンク」でデータ侵害が発生し、トレザーの製品を購入した少なくとも8万1000人の氏名、電話番号、メールアドレス、住所などの個人情報が流出したと顧客に警告していました。
こうしたデータの流出は、暗号資産の保有者や富裕層が、パスワードを物理的な暴力によって奪われる標的型犯罪の危険にさらされるおそれがあるということです。
実際、シップモンクでのデータ侵害から数週間後には、トレザーを装った手紙が郵送で届く事案も確認されています。この手紙にはQRコードが印刷されており、スマートフォンなどで読み取ると暗号資産ウォレットのパスワードを盗み出そうとする偽のウェブサイトに誘導される仕組みになっていました。
トレザーは今後の対応方針として、委託先企業との関係を再評価しているとしたうえで、流出したメールアドレスが将来的に再びフィッシング攻撃に悪用される可能性があるとして、顧客に注意を呼びかけています。
