ハードウエアウオレットのキーストーンで顧客情報流出、配送先や購入履歴が露出

暗号資産のハードウエアウオレットを製造するキーストーン（Keystone）で、顧客の個人情報が外部に流出するセキュリティー事故が発生した。

10月25日にザ・ブロックが報じた。キーストーンは公式Xを通じ、オンラインショップで不正アクセスが発生し、顧客の氏名や連絡先、配送先住所、購入商品、価格情報などが流出したと明らかにした。

キーストーンは10月20日、公式サイトで異常なアクセスを検知した。10月23日には、電子商取引プラットフォームのショッピファイ（Shopify）のアプリケーション・プログラミング・インターフェース（API）活動を確認する過程で、第三者による情報窃取を把握したという。一方で、決済カードや銀行口座の情報、ウオレットの復元フレーズ、秘密鍵、パスワードなどは流出していないと説明した。

同社は問題のアクセス経路を遮断し、セキュリティー上の脆弱性を修正した。被害を受けた顧客には電子メールで通知している。被害者数や攻撃経路の詳細はなお確認されていない。追加調査を経て、詳しい事故報告書を公表する予定だ。

今回の事故を受け、キーストーンの個人情報保管方針にも疑問が浮上している。キーストーンはこれまで、製品注文から180日が過ぎれば配送情報を永久に削除すると案内してきた。だが一部利用者は、購入から2年超が経過していたり、最後の注文から214日が過ぎていたりしたにもかかわらず、個人情報流出の通知を受けたと主張している。

別の利用者は、2024年の購入時の注文情報を知る人物から、なりすまし電話を受けたと明らかにした。もっとも、こうした主張は独立して確認されておらず、キーストーンも180日で情報を削除する方針を実際に履行していたかについて、具体的な立場を示していない。

ハードウエアウオレット業界では、同様のセキュリティー事故が相次いでいる。トレザー（Trezor）は8月、配送協力会社からの情報流出により、約1万4000人の顧客情報が露出したと発表した。その後、米国の顧客約6万7000人にも追加で影響が及んだことが確認された。セーフパル（SafePal）も、注文照会システムの脆弱性によって約4万人分の個人情報が流出したと明らかにした。

キーストーンは、流出した個人情報がなりすまし詐欺やフィッシング攻撃に悪用される可能性があると警告した。特に、返金や機器交換、注文情報の修正を名目に接触してくる連絡に注意するよう求めた。出所が不明なリンクをクリックしたり、ウオレットの復元フレーズを入力したりしないよう呼びかけている。