Trezor顧客34万人にフィッシング攻撃、メール業者侵害で
原題: Scammers target hundreds of thousands of crypto owners after Trezor confirms data breach of email provider
なぜ重要か
サードパーティ経由の連鎖侵害は暗号資産業界全体の信頼を揺るがし、ウォレットメーカーのベンダー管理の甘さに厳しい視線が向く。
ハードウェア暗号資産ウォレットメーカーのTrezorは2026年9月、同社がニュースレター配信に利用するマーケティング企業Brevoがサイバー攻撃を受け、約34万7,000件のフィッシングメールが顧客に送付されたと発表した。メール内のリンクを踏むと偽アプリがダウンロードされ、ウォレットのバックアップパスワードを窃取しようとする。同社は8月に別の委託業者侵害も公表しており、2か月連続の被害となった。
Trezorは公式ブログで、同社が利用するマーケティングテック企業Brevoへのサイバー攻撃により、顧客宛てに約34万7,000件のフィッシングメールが送信されたと明らかにした。問題のメールはTrezorからの公式通知を装っており、件名の一例は「Critical Security Alert: STM32 Entropy Vulnerability」。リンクをタップすると悪意あるアプリがインストールされ、ウォレットのバックアップパスワードの入力を求める。パスワードが盗まれれば、攻撃者はパブリックブロックチェーン上の資金を不可逆的に奪うことができる。
Brevoは自社のインシデント報告で、攻撃者がBrevoの138アカウントに不正アクセスして大量フィッシングを実行したと説明。アクセス権限の「スコープが適切に制限されていなかった」設計上の欠陥を悪用され、攻撃者アカウントが到達できる全組織に「誤って権限が付与された」状態だったと認めた。Trezorは、製品・ウォレット・アカウントシステム自体への影響はないと強調している。
今回は8月の別事案に続く2か月連続の被害だ。8月には配送委託先ShipMonkがデータ侵害に遭い、少なくとも8万1,000人分の氏名・電話番号・メールアドレス・住所が流出。その後、流出した住所宛てにTrezorを装った偽QRコード付きの郵便物が届き、スキャンすると偽ページに誘導されてパスワードを盗む試みも確認されている。流出した個人情報は、物理的な暴力でパスワードを強要する「レンチ攻撃」のリスクも高める。Trezorは取引業者との関係を見直すとともに、今後もメールアドレスが再利用されたフィッシング攻撃が起きうると顧客に警告している。