Trezorのマーケティング基盤が侵害、34万7,000人にフィッシングメール被害の恐れ

ChainCatcherによると、ビットコインのハードウェアウォレットを手がけるTrezorは、ニュースレター配信に利用していた第三者マーケティングプラットフォーム「Brevo」でデータ侵害が発生し、攻撃者がTrezorの顧客34万7,000人を狙ったフィッシングメールを送信できる状態になったと明らかにした。 攻撃者はTrezorのドメインを悪用してメールを送信し、正規の案内を装って信ぴょう性を高めたという。メールには悪意のあるリンクが含まれ、アプリのダウンロードを促したうえで、ウォレットのバックアップ情報の入力を誘導する内容だった。 Trezorは、侵害されたドメインをDNSレベルで20分以内に無効化し、リンクへの追加アクセスを遮断したとしている。一方で、約2,500人のユーザーがすでにリンクをクリックしていた。Brevoアカウントは停止し、これ以上のメール配信を止めたほか、Trezorの他システムへの影響は確認されていないと説明した。あわせて、Trezorが顧客にウォレットのバックアップ提供を求めることはないと注意喚起した。 なお、Trezorは先月、第三者の物流パートナーShipMonkが侵害され、1万1,742人の顧客データが流出したと開示。先週には、米国の顧客6万7,000人分の個人情報（氏名、メールアドレス、電話番号、配送先住所、注文番号）が追加で漏えいしたことも明らかにしている。 同様の事例として、今年に入り、暗号資産ウォレットLedgerの決済処理業者Globaleや、ウォレット提供元SafePalでもデータ侵害が発生。SafePalは約3万9,800人の顧客の注文情報に不正アクセスがあったと報告している。