ShipMonkのセキュリティ侵害で、さらに67,000人のTrezorユーザーが暴露

配送業者ShipMonkでのセキュリティ侵害により、さらに67,000人のTrezor顧客の情報が漏洩しました。漏洩した記録の総数は13,689件から約80,700件に増加しました。漏洩した情報には、名前、メールアドレス、電話番号、自宅住所、注文番号が含まれていました。影響を受けたすべての顧客は米国に在住しており、2019年11月から2021年8月の間に注文を完了しています。一部の漏洩記録は7年近く前のものです。Trezorは、ShipMonkが2日前にこの事実を通知したと述べています。Trezorは、契約およびデータポリシーに基づき、記録が削除されたことを複数回書面で確認していたと述べています。Trezorは、記録が削除されていなかったことを知り失望したと述べています。Trezor自身のシステムは侵害されていません。この侵害はデバイス、秘密鍵、ウォレットのバックアップには影響していません。漏洩した記録は、特定の自宅住所に住むハードウェアウォレット所有者を特定するものです。Trezorは、影響を受けた顧客に対し、偽のメール、電話、手紙による物理的セキュリティリスクについて警告しました。また、Trezorは顧客に対して、ウォレットのバックアップを共有したり、ウェブサイトに入力したりしないよう繰り返し呼びかけました。2月には、Trezorおよび競合他社のハードウェアウォレットLedgerの所有者に対し、偽の手紙が送付されていました。その手紙にはホログラム、QRコード、偽造された経営陣の署名が含まれており、ウォレットへのアクセス喪失を防ぐための架空のセキュリティチェックを要求していました。サイバーセキュリティコンサルタントのDavid Sehyeon Baek氏は、名前と自宅住所が記載された手紙は、送信者が受信者を特定できることを示していると述べています。Baek氏は、個人が移動したり電話番号を変更したりすることはめったにないため、盗まれたデータは数年間有効であると指摘しました。この侵入は、アナリティクスツールMetabaseにおける重要なSQLインジェクション脆弱性に起因しています。この脆弱性は8月6日に公表されました。この脆弱性により、認証されていない攻撃者が接続されたデータベースの資格情報を盗むことが可能でした。ラップトップメーカーFrameworkとフォームビルダーTallyも同様の攻撃の影響を受けました。ShipMonkは、ShinyHuntersによる脅迫メールを受け取ったと報告されていますが、この帰属は未確認です。Trezorは、匿名配送をできるだけ迅速に実施するための対応を進めています。このオプションではロッカー受取、中立的なパッケージング、一般的な送信者情報を利用し、購入者が自宅住所を提供する必要がありません。