暗号資産ハードウェアウォレット大手のTrezor（トレザー）は13日、提携する配送業者ShipMonk（シップモンク）でデータ侵害が発生し、顧客の個人情報が流出したと発表した。流出したのは最大で約1万3,600人分の顧客データであり、同社は対象者に個別の通知を行っている。

端末の安全性は維持も、フィッシング詐欺に警戒を

トレザー社によると、原因はシップモンクのシステムに対する不正アクセスだ。流出したデータには顧客の氏名、配送先住所、電話番号などが含まれる。すべての情報が流出した顧客は1万1,742人で、一部のみ流出した顧客も1,947人に上るという。

今回の影響を受けたのは、2026年5月10日から8月8日までの間に米国、イギリス、スウェーデン、ブラジルなど一部の国で、注文した商品を受け取った顧客である。日本は含まれていない。同社は配送業者に対して配送から90日後に顧客データを削除するよう義務付けており、古いデータはすでに破棄されていたため、被害は限定的だったと説明している。

トレザー社は、自社のシステム自体が侵害されたわけではなく、ハードウェアウォレット端末の安全性は保たれていると強調している。しかし、流出した情報を悪用した巧妙なフィッシング詐欺や、銀行や取引所を装った連絡が増加する可能性があるとして、警戒を呼びかけている。

同社は、即時の行動を促したり、個人情報を要求したりするような連絡には疑いを持ち、公式の発信内容と照らし合わせるよう求めている。また、ウォレットのバックアップ（リカバリーフレーズ）は絶対にオンラインで入力しないよう注意喚起している。

今後の対策とプライバシー保護

今後の対策として、同社は商品をより安全に受け取れる「匿名配送」オプションを導入すると発表した。このオプションは専用のチェックアウトやロッカー受け取りなどを採用するもので、欧州では2026年9月、米国では2026年末までに順次提供が開始される予定だとしている。

また、トレザー社は商品購入時のデータ共有を制限するユーザー側の対策も提示している。同社は、匿名メールアドレスの使用や、暗号資産による決済を推奨している。暗号資産が難しい場合は、使い捨てのデジタルカードを利用することも有効な対策の一つに挙げている。

今回の事案は、強固なセキュリティを誇るハードウェアウォレット企業であっても、外部のサプライチェーンを介した情報漏洩リスクから完全に逃れることは難しい実態を示している。ユーザーは端末自体の安全性と個人情報の管理を切り離して考え、不審な連絡への自己防衛を徹底する姿勢が求められる。

関連：26年上半期の暗号資産レンチ攻撃、33%増──被害額は前年の11.8倍に
関連：2025年の暗号資産レンチ攻撃、前年比75％増──被害総額は約63億円