Trezor : 13,000 顧客が物流事業者のデータ侵害により影響を受ける

ハードウェアウォレットメーカーのTrezorは、物流サービスプロバイダーにおける脆弱性により、13,000人の欧州顧客のデータ（名前、住所、メールアドレス）が流出したことを確認した。ハードウェアのサプライチェーン攻撃が再び発生した。

コンテキスト

Trezor（暗号資産用ハードウェアウォレットのメーカー）は、欧州の13,000人の顧客のデータ流出を確認した。流出したデータには、名前、住所、メールアドレスが含まれる。流出元はTrezor自体ではなく、サプライチェーンの物流サービスプロバイダー（第三者委託先）によるもの。

データ

• 対象顧客：13,000人（欧州）
• 流出したデータ：名前、住所、メールアドレス
• 経路：第三者の物流サービスプロバイダー（Trezor自体ではない）
• ソース：The Register

分析

The Registerの記事は、この教訓を的確に表現している。 "Even if your hardware is secure, quantum-ready, encrypted, and future-proof, no one is immune to a supplier letting the side down."

ハードウェアウォレットの皮肉な現実だ。最大限のセキュリティを求めて購入するデバイス（鍵の隔離、ネットワーク攻撃への耐性、検証可能なファームウェア）だが、顧客の住所が流出する原因は配送業者だった。暗号的な脅威ではなく、物流上の脆弱性だったのだ。

このパターンは、ハードウェアのサプライチェーン監視においてすでに確認されている。弱点は製品自体ではなく、物流、アフターサービス、販売代理店などの第三者委託先であり、顧客データを同等のセキュリティ基準で扱っていない。

13,000人のリスク：標的型フィッシング。攻撃者はあなたの住所と「暗号資産のハードウェアウォレットを所有している」事実を知ることで、保有資産を狙った攻撃が可能になる。Trezorをかたるフィッシングメールが続くだろう。

Trezor顧客の対応

• Trezorを装うメールや郵便物には最大限の注意を払う
• シードフレーズ（24語）をTrezor本体以外のデバイスに入力しない
• まだ設定していない場合は、パスフレーズ（25番目の単語）を有効化する。デバイスが盗まれても追加の保護となる