暗号資産（仮想通貨）ウォレットを提供するSafePalは8月16日、顧客の注文情報に対する不正アクセスが発生し、約3万9798人が影響を受けたと発表した。対象となった情報には氏名、メールアドレス、配送先住所、電話番号、購入内容などが含まれる。
同社によると、ウォレットのシードフレーズや秘密鍵、ウォレットパスワード、銀行口座情報、決済カード番号、政府発行の身分証番号などは今回の事案の対象ではない。また、不正アクセスによってSafePalウォレットや利用者の資産へのアクセスが侵害されたことを示す証拠も確認されていないという。
原因は、顧客の注文情報に関連するプラグインの注文追跡機能に存在した認証不備だった。特定の条件下で、第三者が別の顧客の注文情報へアクセスできる状態になっていた。影響を受けたのは、2025年3月2日から2026年4月11日までに注文した顧客で、SafePalは問題を発見後に修正し、追加のセキュリティ対策を導入したとしている。
同社は、不正にアクセスされた情報が標的型フィッシングやなりすまし詐欺に悪用される可能性があるとして警戒を呼び掛けている。偽のカスタマーサポートや返金案内、ファームウェア更新通知、メール、SMS、電話、郵便物、悪意あるウェブサイトなどを通じ、ウォレットの認証情報や追加の個人情報を取得しようとする手口が想定されるという。
SafePalは、今回の事案だけを理由に資産を別のウォレットへ移す必要はないとしている。一方、すでに不審なメールやウェブサイト、電話などを通じてシードフレーズや秘密鍵を入力・共有してしまった場合には、そのウォレットを侵害されたものとして扱い、新しいウォレットを作成した上で残存資産を速やかに移すよう推奨している。
同社は問題の修正に加え、第三者のセキュリティ企業を起用し、修正内容の検証や注文処理システム全体のレビューを進める方針だ。関連する注文処理環境における個人情報の保存期間も、法令上の要件を前提に90日間へ短縮した。
また、影響を受けた顧客には8月16日に個別メールで通知し、注文番号と配送先の国を使って対象かどうかを確認できる専用ページを公開した。
｜文・編集：Shoko Galaviz
｜画像：Adobe Stock
