トレザー、顧客データ漏洩が約8万人に拡大「削除済み」データが残存

この記事の要点

トレザー情報漏洩、被害が約8万人規模に

ハードウェアウォレット大手のTrezor（トレザー）は2026年9月4日、物流パートナーShipMonk（シップモンク）で発生したデータ侵害について、当初の公表よりも被害範囲が拡大したことを明らかにしました。

新たに影響が確認されたのは約6万7,000人の米国顧客で、8月に公表されていた1万3,689人と合わせ、被害規模は約8万人に拡大しています。

新たな漏洩には氏名・メールアドレス・電話番号・配送先住所・注文番号が含まれており、トレザーはフィッシング詐欺や物理的な安全上のリスクに警戒するよう呼びかけています。

ただし、トレザーのシステムや製品・サービスは侵害されておらず、ハードウェアウォレット本体も安全性が維持されているとしています。

SafePal、約4万人の個人情報が流出

仮想通貨ウォレットSafePal、約4万人の住所流出｜詐欺悪用の恐れも

トレザーの発表によれば、シップモンクは2026年8月10日、同社のシステムへの不正アクセスをトレザーに通知し、トレザーは影響を受けた顧客の特定を開始しました。

8月13日の最初の公表では1万3,689人への影響が報告され、このうち1万1,742人は氏名・メールアドレス・電話番号・配送先住所、残る1,947人は氏名・都市名・メールアドレスが漏洩したとされています。

当初の影響範囲は米国・英国・スウェーデン・コロンビア・ブラジル・イタリア・ポルトガルの7か国で、2026年5月10日から8月8日までの注文が対象とされていました。

トレザーは注文完了から90日後に顧客データを削除または匿名化するポリシーをシップモンクにも適用しており、当初公表した影響範囲はこの保存方針を前提としていました。

しかし8月14日の追加公表では、部分的な漏洩が確認された1,947人に90日を超える古い注文データが含まれていたことも明らかになっています。

9月2日の追加報告では、トレザーとシップモンクが協業していた2019年11月から2021年8月までの注文データが、シップモンクのシステム上に残っていたことが明らかになりました。

トレザーは契約やデータポリシーに基づいてシップモンクにデータ削除を繰り返し要請し、同社から書面で削除完了の確認を受けていたと説明しています。

トレザー側では、こうした確認をもとに対象データはすでに削除されたものと認識しており、同社は今回明らかになったデータの残存について「非常に失望している」と述べています。

トレザーは対象となった顧客全員に「noreply@trezor.io」から通知メールを送付しており、メールを受け取っていない場合は今回の漏洩対象ではないと説明しています。

なお、今回の侵害では、購入した製品など注文内容そのものは流出していないと報告されています。

BTCウォレット「Coldcard」流出

BTCウォレット「Coldcard」流出140億円規模に、3波目を確認

トレザーは今回のデータ漏洩について、流出した氏名や住所が詐欺やなりすましに悪用される可能性があるとして、利用者に警戒を呼びかけています。

また同社は今回の発表で、新機能「匿名配送（Anonymous Delivery）」をEU域内で2026年9月、米国で年末までに導入する方針を明らかにしました。

匿名配送では、専用のチェックアウト画面やロッカーでの受け取り、中立的な梱包、一般的な差出人情報などを採用する予定としています。

配送に使用した識別情報についても、製品の到着後に自動で削除する仕組みが導入される見通しです。