ハードウェアウォレットを販売するKeystoneは日本時間10月25日未明、公式Xで、公式サイトの顧客の氏名・連絡先・配送先住所・注文内容が第三者に取得されたと公表した。決済情報やリカバリーフレーズ、秘密鍵は含まれていないが、暗号資産を自分で管理する道具を買った人の名前と届け先が、まとめて外に出たことになる。
鍵が無事でも、届け先が漏れると、攻撃は画面の外からやってくる。身に覚えのない返金の電話や、頼んでいない交換用の端末が届いたとき、それをどう扱うかを、届く前に決めておけるだろうか。
Keystoneが公表したこと
公表によると、Keystoneは10月20日に公式サイトへの不正アクセスを検知した。Shopifyとともに、APIの操作履歴を確かめたうえで、23日に第三者が顧客の配送情報を取得したことを確認したという。
公表文が挙げた範囲は次のとおりだ。
- 漏れたもの: 氏名、連絡先、配送先住所、注文内容(購入した品目と価格)
- 漏れていないもの: 決済カードや銀行の情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワード
Keystoneはアクセスを遮断して脆弱性を修正し、調査を始め、影響を受けた顧客にメールで連絡しているとしている。一方で、影響を受けた人数や、どこから入られたかの詳細はまだ出ていない。公表文には、詳しい報告を近く出すとだけ書かれている。
住所が漏れたあとに届くもの
攻撃者が手にしたのは、ハードウェアウォレットを買った人の名前と届け先、そして何をいくらで買ったかだ。この名簿があれば、本物らしい連絡を作るのはたやすい。
先例がある。同じくハードウェアウォレットを売るLedgerは2020年7月、ECとマーケティング用のデータベースの一部が、APIキーを使った第三者に読み出されたと公表した。対象はメールアドレス約100万件と、そのうち約9,500人分の氏名・住所・電話番号・注文製品だった。翌2021年6月には、一部のLedgerの顧客のもとに、CEOを名乗る手紙と偽の交換用端末が郵送されたとセキュリティ企業のBitdefenderが報じている。端末には偽のアプリが仕込まれ、24語のリカバリーフレーズを入力させる作りだった。
Keystoneも、電話・SMS・メール・郵便でKeystoneを名乗り、返金や交換用の端末、注文や住所の修正を持ちかける連絡がありうると警告し、どれも自社からではないと書いている。相手が自分の注文内容を正確に言い当てても、本物の証明にはならない。注文内容そのものが、漏れた情報だからだ。
自分の注文で、先に決めておけること
Keystoneの公式サイトで買った覚えがあるなら、公表文に沿って次の線を先に引いておける。
- リカバリーフレーズと秘密鍵は、誰にも伝えない。Keystoneは自社から求めることはないと明言している
- 注文していない端末には、リカバリーフレーズを入力しない。箱が本物そっくりでも同じだ
- 突然届いたメッセージのリンクは開かず、公式サイトのアドレス(keyst.one)を自分で入力する
- おかしいと感じたら、公表文が示した窓口(support@keyst.one)に自分から問い合わせる
厄介なのは、本物の通知もメールで届くことだ。本物と偽物が同じ経路で来る以上、メールの中のリンクからは動かず、自分で公式の入口を開き直すほかに見分ける手はない。
手間も続く。住所はパスワードのように取り替えられないので、一度漏れた名簿は長く使われうる。Ledgerの例では、流出の公表から偽の端末の郵送まで1年近く空いていた。数週間だけ気をつければ済む話とは考えにくい。しかも、これは暗号資産を持つ人だけの話でもない。防犯や身の回りの安全のための道具をネットで買えば、そうした道具を持つ家の住所が、売り手のサーバーに残る。
まだ分かっていないことも多い。影響を受けた人数、侵入の経路、名簿がどこかで売りに出されているかどうか。次に確かめる先は、Keystoneが予告した詳しい報告だ。公表文は時期を示していないので、KeystoneのX公式アカウントと公式サイトのお知らせを、報告が出るまで見ておきたい。
ことば
- ハードウェアウォレット — 暗号資産を動かすための秘密鍵を、ネットにつながるパソコンやスマホの外で保管する専用の端末。鍵を手元に置ける一方、端末を買った事実と届け先は、売り手の記録に残る。
- リカバリーフレーズ — ウォレットを別の端末で復元するための、12〜24語の英単語の並び。これを知った人は誰でも資産を動かせるため、端末そのものよりも重い、本当の鍵にあたる。
あなたの家に次に届く「Keystoneから」の連絡を、どこで本物かどうか確かめるだろうか？
