トレザーに偽メール攻撃「34.7万人が対象」外部メール基盤が侵害

Brevo侵害でトレザーに偽メール攻撃

ハードウェアウォレット大手のTrezor（トレザー）は2026年9月10日、ニュースレター配信に利用する外部メール基盤「Brevo（ブレボ）」が攻撃を受け、約34.7万人の登録者に偽のメールが送信されたと公表しました。

同社によると、トレザーの製品やウォレット、アカウントシステムへの侵入は確認されておらず、これらの基盤は影響を受けていないとしています。

一方、送信された偽メールではアプリの導入とウォレットのバックアップ（リカバリーフレーズ）の入力を促しており、応じた場合には保有する仮想通貨（暗号資産）を失うおそれがあると警告しています。

トレザーは攻撃を把握してから20分以内に問題のドメインをDNSレベルで無効化し、その後Brevoのアカウントを停止したうえで、登録者への注意喚起を行いました。

「削除済み」データが残存

トレザー、顧客データ漏洩が約8万人に拡大「削除済み」データが残存

SSO認証の穴、Brevo138件が不正利用被害

招待機能を足がかりに他組織のアカウントへ

Brevoの説明によると、攻撃者はシングルサインオン（一度の認証で複数のサービスにログインできる仕組み）の認可処理に残っていた欠陥を悪用していました。

攻撃者はまずBrevo上に自らのアカウントを作成してSSOを有効にし、そこへ正規のBrevo利用者を招待することで、不正アクセスの足がかりを築いたとしています。

その利用者になりすまして攻撃者側のIDプロバイダーからログインすると、本来はSSOを設定した組織内に限られるはずのアクセス権限が、利用者が所属する別の組織にも及ぶ状態になっていたといいます。

Brevoは、認証後のアクセス範囲を組織ごとに適切に制限できていなかったことが、複数の顧客アカウントへの侵入を許した原因だったと分析しています。

138件が被害、43件で連絡先データ流出

この欠陥を突いた不正アクセスにより、影響を受けたBrevoの顧客アカウントは計138件にのぼったと、同社は事後報告で明らかにしました。

このうち6件はフィッシングメールの送信に悪用され、43件では保存されていた連絡先データが外部へ持ち出されたと説明しています。

トレザーのアカウントは偽メールの送信に使われた6件のうちの1件で、約34.7万人の登録者にウォレットのバックアップ入力を促すメールが送られました。

トレザーによると、Brevoのシステムにはパスワードやウォレットデータなどは保存されておらず、メールアドレスの一覧そのものが外部へ持ち出されたかどうかは確認できていないとしています。

侵入経路は約2時間で遮断、再発防止も着手

Brevoは9月10日15時30分（日本時間）に不正アクセスを把握し、約2時間後には攻撃に使われていた侵入経路を遮断したと発表しています。

あわせて全利用者のセッションを強制的に終了させ、その後は同じ手法による新たな不正アクセスは確認されていないとしています。

再発防止に向けては、SSO経由でアクセスできる範囲をSSO設定が有効な組織内に限定する修正を進め、一時停止したSSO招待機能も修正完了後に再開する方針を示しています。

Brevoは「顧客はオーディエンスへのアクセスを私たちに委ねており、その信頼を守れなかった」と謝罪し、法的措置を進めるとともに当局へ全面的に協力する考えを表明しました。

20分で遮断もリンク開封は約2,500人

一方、問題のドメインが遮断されるまでに偽サイトへのリンクを開いた利用者は約2,500人にのぼったとトレザーは説明しています。

警告はメールだけでなく、公式サイトやTrezor Suite、サポート窓口にも掲示され、複数の経路を通じて利用者への注意喚起が行われました。

利用者に対しては、トレザーを名乗るメールであっても記載されたリンクを開かず、ウォレットのバックアップや個人情報を入力しないよう求めています。

偽サイトでバックアップ（リカバリーフレーズ）を入力した場合には、直ちに新しいウォレットへ資産を移すよう促し、そのための公式手順も案内しています。

トレザーは、自社がメールでウォレットのバックアップ入力を求めることは一切ないと改めて強調し、外部のメール配信事業者との関係やセキュリティ要件を見直す方針を示しています。

AppleやGoogleなどの情報が流出

160億件のログイン情報流出で問われるセキュリティ｜仮想通貨ホルダーが取るべき7つの対策

正規基盤からの偽メール、見抜く手段は限られる

暗号資産を狙うフィッシングでは、企業名やメールアドレスを偽装する手口だけでなく、今回のように外部サービスの正規アカウントを侵害し、正規の配信基盤から偽メールを送り付ける手法も確認されています。

今回のメールもBrevoの正規インフラから送信されたため、SPFやDKIMといった通常の認証を通過しており、送信元や認証結果だけでは偽物と判断しにくい状態になっていました。

そのためトレザーは、正規の送信元に見えるメールであっても、ウォレットのバックアップやリカバリーフレーズの入力を求める内容には応じないよう利用者に警告しています。

>>ウォレット関連の最新ニュースはこちら

関連の注目記事はこちら

メタマスク「ウォレットから金融プラットフォームへ」運営元が2社に分割

2億DL超のトラストウォレット、Xと連携か｜ファンCEOが新機能示唆

仮想通貨ウォレットSafePal、約4万人の住所流出｜詐欺悪用の恐れも

Source：Trezor公式ブログ / Brevo事後報告
サムネイル：AIによる生成画像