SafePal、注文追跡プラグインの不備で3万9798人のデータが露出したと発表

SafePalは、2025年3月2日から2026年4月11日までに注文した3万9798人の顧客について、注文追跡プラグインの認可上の不備により個人情報と購入情報が露出したと明らかにした。一方で、シードフレーズ、秘密鍵、暗号資産は侵害されていないとした。同社はこの事案を、ウォレットのカストディや暗号設計ではなく、ウォレット販売を取り巻く業務上のコマース層における不具合として位置付けたが、影響を受けた記録が自社システムに保管されていたのか、第三者のフルフィルメント事業者にあったのかについては、公には明らかにしていない。氏名、メールアドレス、配送先住所、電話番号、購入の詳細が露出し、ウォレット自体が直接侵害されていなくても、重大なフィッシング、偽配達、より広範なソーシャルエンジニアリングのリスクが生じた。SafePalによると、5月上旬のフィッシング報告を受けてこの問題を重大事案として扱い、7月に注文処理パイプラインの見直しと再構築を進める中で不備を確認し、さらに2025年9月から2026年4月にかけて予定されていたデータ削除を停止させていた別の設定ミスも特定した。その後、同社はユーザーへの通知、注文確認ツールの追加、30件超のフィッシングサイトとリンクの削除、影響を受けた環境でのデータ保存期間の90日への短縮、修正内容とより広範な注文処理システムを検証するための独立系セキュリティ企業の起用を実施した。この開示は、Trezorが配送パートナーのShipMonkでの侵害により1万3689人の顧客情報が露出したと発表してから数日後に行われたもので、2件の合計は5万3487件に達し、ハードウェアウォレット購入者データがフィッシングや、さらには物理的な標的化にも利用され得るとの懸念を改めて強めた。