Keystone、公式サイトへの不正アクセスを確認し顧客情報流出を発表

Keystoneがサイト侵害を正式認める

エアギャップ方式のハードウェアウォレットを手がけるKeystoneが、公式オンラインストアから顧客の配送関連情報が外部の第三者に盗まれたことを認めた。公式アカウントから10月24日に公開された発表によれば、同社は10月20日にウェブサイトへの不正アクセスを検知。電子商取引基盤を提供するShopifyとともにアプリケーションプログラミングインターフェース(API)の通信記録を検証した結果、10月23日時点で第三者がデータを取得していたことを確認したという。発表文は謝罪の言葉から始まり、個人情報の保護を託された顧客の信頼を裏切る結果となったことを認めている。ハードウェアウォレット購入時に盗まれた記録には、氏名、連絡先、配送先住所、注文された製品とその価格が含まれる。一方、決済用カード情報、銀行口座情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワードは露出しなかったとされる。同社は不正アクセスの遮断と脆弱性の修正を済ませ、調査を開始した。影響を受けた顧客へのメール通知も始めており、詳細なインシデント報告書の作成を進めている。ただし発表は複数の点で具体性を欠く。攻撃者の名前、影響を受けた顧客数、侵入の起点となった日時、悪用された脆弱性の種類はいずれも明らかにされていない。盗まれたAPI認証情報が使われたのか、ストアフロント側の欠陥なのか、それとも別のインフラ上の弱点なのかも公開段階では判別できない。ShopifyのAPI通信に言及した点は、調査担当者が何を検証して流出を確定したかを示すものだが、Shopifyの基盤そのものが侵害されたことを意味するわけではない。Shopifyは店舗のインフラと、加盟店や許可されたアプリケーションが顧客記録や注文を管理するためのプログラムインターフェースを提供しており、接続されたアプリケーションに付与された権限の範囲が到達できるデータの量を決める。今回どの認証情報や権限が関わったのかは、依然非公開のままだ。

@KeystoneWallet · Xの投稿

発表.

Xで見る

フィッシング警告と物理的脅威

流出の直接的な危険は、Keystoneのシステムの外で顕在化する。氏名と自宅住所はハードウェアウォレットを購入した実在の人物を特定でき、正確な注文情報が添えられると詐欺メッセージの説得力は格段に上がる。同社は、Keystoneを装った電子メール、電話、ショートメッセージ、実宛て郵便による詐欺に注意するよう顧客に呼びかけた。想定される手口には、偽の返金、代替端末の提供、配送情報の修正依頼などがある。利用者には、リカバリーフレーズを決して共有しないこと、注文していない端末にリカバリーフレーズを入力しないこと、不審な連絡が来た場合は公式サポートに直接確認することが求められている。セキュリティ開発者のTaylor Monahanはさらに踏み込んだ警告を発し、物理的脅威に関する警告の中で強盗や誘拐にも言及した。業界ではレンチ攻撃と呼ばれる手口で、犯人が暴力によって資産の引き渡しを強要する。ただし公表された資料の中に、盗まれた記録と実際に発生した攻撃を結びつける確証はない。Binanceの元最高経営責任者であるChangpeng Zhaoは発表に短いメッセージで反応し、「Stay SAFU!」と書いた。この事件は、2020年に競合メーカーのLedgerで起った侵害を想起させる。攻撃者はAPIキーを使い、同社の電子商取引とマーケティング関連データベースの一部に到達した。当時の公表では約100万件のメールアドレスと、約9,500人の顧客の詳細な個人情報が漏洩したとされた。ところが盗まれたデータベースが2020年12月に公に流出すると、同社は氏名、郵送先住所、電話番号を含む約272,000件というより大規模な露出を認めた。Ledgerを装った偽の手紙は2025年4月になっても顧客に届いており、受取人にQRコードを読み取りリカバリーフレーズを入力するよう指示していた。別件として、Ledgerは東南アジアの代理店から端末を購入した利用者の資産消失を調査中で、予防措置として当該代理店に販売と出荷の停止を求めている。

@tayvano_ · Xの投稿

物理的脅威に関する警告.

Xで見る

Keystoneが答えていない問い

今回の発表で最も重い事実は、盗まれなかったものの存在だ。コールドウォレット型の設計が機能し、暗号資産ウォレットの資格情報は流出データの中に一切含まれておらず、露出は完全に個人情報にとどまる。したがってリスクは人間の層へ移る。攻撃者は実在の注文履歴を、電話や手紙と組み合わせて使うことになる。Keystoneの今後の報告書が答えるべき未解決の問いは三つある。影響を受けた顧客の数、アクセスの始まった時期、そして侵入者が使用した認証情報の種類だ。Ledgerの2020年のデータベースが、前年の時点まで詐欺の燃料として6年間使われ続けた事実は、身に覚えのない返金、代替品提供、配送メッセージを、メーカーとの直接確認が済むまですべて敵性のものとして扱うべき理由を示している。