ハードウオレットのキーストーンで顧客情報流出、配送先や購入履歴が露出

暗号資産のハードウエアウオレットを手がけるキーストーン（Keystone）で、顧客の個人情報が外部に流出するセキュリティー事故が発生した。

10月25日付のザ・ブロックによると、キーストーンは公式Xで、オンラインショップへの不正アクセスにより、顧客の氏名や連絡先、配送先住所、購入商品、価格情報などが流出したと明らかにした。

キーストーンは10月20日に公式サイトで異常なアクセスを検知した。10月23日には、電子商取引基盤のショッピファイ（Shopify）のアプリケーション・プログラミング・インターフェース（API）の活動を確認する過程で、第三者による情報窃取を把握したという。一方、決済カードや銀行口座情報、ウオレットのリカバリーフレーズ、秘密鍵、パスワードなどは流出していないと説明した。

同社は問題となったアクセス経路を遮断し、セキュリティー上の脆弱性を修正した。影響を受けた顧客には電子メールで通知している。被害人数と攻撃経路の詳細はなお判明していない。追加調査を経て、詳しい事故報告書を公表する予定だ。

今回の事故を受け、キーストーンの個人情報保管方針にも疑問が浮上した。キーストーンはこれまで、製品注文から180日が過ぎれば配送情報を永久に削除すると案内してきた。ただ、一部の利用者は、購入から2年超が経過していたり、最後の注文から214日が過ぎていたりしたにもかかわらず、個人情報流出の通知を受け取ったと主張している。

別の利用者は、2024年の購入時の注文情報を知る人物から、なりすまし電話を受けたと明かした。もっとも、こうした主張は独立して確認されておらず、キーストーンも180日の情報削除方針を実際に履行していたかどうかについて、具体的な立場を示していない。

ハードウエアウオレット業界では、同様のセキュリティー事故が最近相次いでいる。8月にはトレザー（Trezor）が配送協力会社からの情報流出により、約1万4000人の顧客情報が露出したと発表した。その後、米国の顧客約6万7000人にも追加で影響が及んだことが分かった。セーフパル（SafePal）も、注文照会システムの脆弱性により約4万人の個人情報が流出したと明らかにしている。

キーストーンは、流出した個人情報がなりすまし詐欺やフィッシング攻撃に悪用される可能性があると警告した。とりわけ、返金や機器交換、注文情報の修正を名目に接触してくる連絡には注意が必要だと訴えた。出所が不明なリンクをクリックしたり、ウオレットのリカバリーフレーズを入力したりしないよう呼びかけている。