正規ドメインから届く偽の脆弱性警告 — Trezorがメール配信事業者侵害によるフィッシングを公表

暗号資産ハードウェアウォレット大手のTrezor（トレザー）は2026年9月9日、同社が利用する第三者のメール配信事業者が侵害され、正規ドメインから偽のセキュリティ警告メールが送信されたと公表した。メールはウォレットに使われるSTM32マイクロコントローラーの脆弱性を口実に緊急対応を装い、受信者を悪性リンクへ誘導してシードフレーズ（復元用秘密鍵）の詐取を狙う。同社はリンクを無効化し、ニュースレター用データベースを保護したと説明している。

暗号資産の利用者以外にも、正規ドメインを悪用したフィッシングは企業のメール運用全体への教訓になる。送信元表示だけでは真偽を判断できない攻撃が現実に起きている。

正規ドメインから送信された「緊急警告」

Trezorの説明によると、攻撃者は侵害した第三者のメール配信サービス事業者を経由してフィッシングメールを送信した。差出人は同社の正規ドメインとなり、件名は**「Critical Security Alert: STM32 Entropy Vulnerability（緊急セキュリティ警告：STM32エントロピー脆弱性）」**だった。

メールの内容は、Trezorのウォレットに搭載されるSTM32マイコンにハードウェアの脆弱性があり、シードが総当たり攻撃で解読される恐れがあるというものだ。受信者に緊急のファームウェア更新が必要だと信じ込ませ、悪性のリンクからシードフレーズを入力させる構成だった。公式ブログは、このメールが同社からのものではなくフィッシングであると明言している。

同社の対応 — リンク無効化とデータベース保護

Trezorは公式ブログで次の対応を公表している。

• 悪性リンクを速やかに無効化した
• ニュースレター用データベースを保護し、さらなる不正アクセスを遮断した
• 攻撃者が正規ドメインを利用できた経緯を含め、状況を調査中である
• 利用者に対し、メール内のリンクをクリックしないよう呼びかけている

同社は調査の進展に応じて情報を更新するとしている。

委託先を狙う攻撃が続く — 8月は物流事業者が侵害

今回の侵害は単発ではない。Trezorは8月にも、物流・配送委託先のShipMonkが侵害され、顧客の注文データが窃取されたことを開示している。当初の発表では約1.4万人とされた影響者は、その後の調査で米国を中心に最大8.1万人に拡大した。氏名、配送先住所、メールアドレス、電話番号が流出した。2024年1月にも第三者のサポート受付システムが侵害され、約6.6万人のデータに影響が出ている。

一連の事案に共通するのは、攻撃者がTrezor本体ではなく、顧客データや配信経路を持つ委託先を狙っている点だ。今回もメール配信事業者が侵入口となり、正規の送信基盤がフィッシングに転用された。

利用者と事業者が取るべき対応

Trezorの利用者は、同社を名乗る「緊急」の脆弱性警告メールが届いても本文中のリンクを開かず、公式サイトや公式アプリから直接情報を確認することが求められる。同社はメール内のリンクをクリックしないよう呼びかけている。シードフレーズは資産そのものであり、いかなる理由があってもメール経由で入力してはならない。

事業者側の教訓も明確だ。メール配信や物流など顧客接点を持つ委託先の侵害が、そのまま自社ドメインの信頼失墜と顧客への直接被害につながる。委託先の選定時にセキュリティ体制を確認し、侵害時の連絡体制と送信停止手順を事前に定めておく必要がある。