Trezorの提携メールサービスがハッキング、偽警告メールを配信
ハードウェアウォレット製造のTrezorは、提携する第三者のメールサービスがサイバー攻撃を受けたと発表した。攻撃者は正規ドメインを不正利用し、TrezorのSTM32チップに存在するとされる「重大なセキュリティ脆弱性」を警告するフィッシングメールをユーザーに送信した。この攻撃は、わずか4週間で同社関連のサプライヤーに起因するセキュリティ問題が発覚した3回目の事例となる。
Trezorは、フィッシングに利用されたドメインを速やかに停止し、攻撃者が正当なドメインを利用した仕組みの解明を進めていると説明。ハードウェアウォレット本体やユーザーの私有鍵、リカバリーフレーズには被害が発生していないと明らかにした。
データ漏えい続発──顧客情報の安全性に影響
2024年8月10日には、Trezorが発送を委託するパートナーShipMonkでデータ漏えいが発生。約8万人分の氏名、電話番号、住所など個人情報が流出し、一部顧客はこれを契機とした詐欺電話や偽郵便物被害を報告している。
同年、Trezorのカスタマーサポートポータルも6.6万人の顧客情報漏えいを経験しているほか、競合のSafePalでも約4万人の顧客データが不正流出している。これらはデバイス自体の安全性に直接影響しないものの、提携先の情報管理体制の脆弱性を浮き彫りにしている。
フィッシングメールの内容――STM32チップのエントロピー脆弱性を偽装
今回のフィッシングメールは、Trezorデバイスに搭載されるSTM32シリーズのマイクロチップに関連する「エントロピーの脆弱性」を警告する内容で送付された。メールは、この脆弱性によってリカバリーフレーズのランダム生成に影響が及び、ウォレットのセキュリティが著しく損なわれると偽って強調している。
リカバリーフレーズの安全性は資産保護の中核であるため、こうした内容は利用者の不安を煽り、悪意あるリンクへの接続を誘導しやすい特徴がある。
Trezorの対応策とユーザーへの注意喚起
Trezorはサプライチェーン全体のセキュリティ強化に注力し、連携先の脆弱性がユーザー情報に波及しないよう監督を強化する意向を示した。さらにユーザーに対し、不審なリンクを含む通知メールは慎重に扱い、正規発信元であるかを十分検証するよう改めて呼びかけている。
今回の件は、ハードウェアウォレットの安全性が単にデバイス本体の保護だけでなく、提携企業の情報管理状況にも大きく依存している現状を浮き彫りにした。利用者は日常的にフィッシングや詐欺メールのリスクに警戒を怠らないことが求められる。