ハードウェアウォレット大手のTrezor（トレザー）は13日、出荷・物流を委託するパートナー企業ShipMonkでデータ侵害が発生し、顧客の個人情報が流出したと公式に発表した。Trezorは10日にShipMonkからシステムへの不正アクセスの報告を受け、現在も調査を進めている。
影響を受けた顧客は合計1万3,689人で、このうち1万1,742人は氏名・メールアドレス・電話番号・配送先住所が、残る1,947人は氏名・都市名・メールアドレスが流出した。
侵害を受けたのは、主に2026年5月10日から8月8日の間に注文を受け、米国・英国・スウェーデン・コロンビア・ブラジル・イタリア・ポルトガル向けに出荷された「新規顧客」の注文データ。Trezorは物流パートナーにも90日間のデータ保持ポリシーを適用しており、配送完了から90日でデータを削除・匿名化している。このため古い注文は既に削除されており、被害規模は限定的だったという。
なお部分的な侵害を受けた1,947人には、90日を超える古い注文が含まれる可能性があり、TrezorはShipMonkとともに正確な期間を確認中だ。
また、影響を受けた顧客にはTrezor（help@trezor.io）から個別にメールで通知されており、通知メールを受け取っていない場合は、今回のデータ侵害の影響を受けていない。
Trezorは、今回の不正アクセスはパートナー企業で発生したものであり、Trezor社のシステムは侵害を受けていないことから、「ハードウェアウォレット自体の安全性は保たれている」と強調した。
一方で、影響を受けた顧客に対する高度なフィッシング詐欺のリスクが高まると警告。漏洩情報を悪用した偽メール、偽電話、偽の郵便物や、銀行・取引所・Trezorを装ったなりすましが行われる可能性があると注意を促した。
Trezorは「2013年創業以来、電話番号と配送先の住所が流出するようなセキュリティ侵害は初めてだ」と述べ、深く謝罪した。今後の再発防止策として、専用チェックアウトやロッカー受け取り、無地梱包などを組み合わせた「匿名配送」オプションを導入する予定であると付け加えた。
Trezorに関するデータ侵害は、以前にも発生している。
2024年1月、Trezorは、顧客サポートを担う外部サービスプロバイダーにおけるセキュリティ侵害を公表した。第三者サービスプロバイダー「サポート チケット発行ポータル」で2021年12月以降にTrezorに関するサポートを利用した約66,000人の「名前／ニックネーム」および「メールアドレス」が露出した可能性があると報告した。
2022年4月には、Trezorがメルマガ配信等に利用していたサードパーティ製マーケティングツール「Mailchimp」が侵害を受け、Trezorの顧客情報が流出した。Trezorによると影響を受けた顧客は10万6,856人に上り、流出したメールアドレスなどの情報を悪用したフィッシングメールが送信される被害が発生した。
Trezorと競合するウォレット最大手のLedger社でも、今年1月、同社のeコマースのパートナー企業「Global-e」への不正アクセスにより、顧客の氏名や配送先住所などの個人情報が流出するデータ侵害が発生した。
Ledger社では2020年に、大規模な顧客情報流出事件が発生している。
100万件超のメールアドレスに加え、氏名や住所、電話番号など約27万2,000件の顧客情報が流出した。これらの顧客データはダークネット上で公開されるなど、情報漏洩は拡大し、フィッシング攻撃に悪用された。2021年には、Ledgerの正規品を装った偽のハードウェアウォレットを顧客の住所に送り付ける攻撃も確認された。
2025年9月には、Ledgerユーザーを狙った別のフィッシング詐欺も発生した。
米コネチカット州の住民に「Ledgerセキュリティ＆コンプライアンス」を名乗る偽の書簡が届き、「Ledgerデバイスの必須セキュリティチェックが必要」として手続きを促した結果、約23万4,000ドル相当の暗号資産（仮想通貨）が盗まれた。
FBIとコネチカット州警察はブロックチェーン上で資金を追跡し、2026年3月、詐欺やマネーロンダリングに関与したとされる約60万ドル相当のステーブルコインUSDTを差し押さえた。米司法省は4月、これらの資産の没収を発表した。
これらの事件に共通するのは、デバイスそのものの脆弱性ではなく、ユーザーの心理や信頼につけ込む「ソーシャルエンジニアリング」の手口だ。
TrezorとLedgerの両社は、シードフレーズを第三者と絶対に共有しないよう、繰り返し注意喚起している。
