Trezor、メール配信業者Brevoの侵害で約34万7千件のアドレスが流出の恐れ — 偽の脆弱性警告でフィッシング、20分でドメイン停止

要点

• ハードウェアウォレット大手のTrezorは、ニュースレター配信を委託しているBrevo（第三者のメール配信基盤）が2026年9月9日に不正アクセスを受けたと公表した。攻撃者はBrevoの120件の顧客アカウントに侵入し、各社の名義でメールを送信した。Trezorの名義でもフィッシングが送られた。
• 影響を受けたのはTrezorのオプトイン方式のニュースレター用データベース、約34万7千件のメールアドレスである。リスト自体が外部に持ち出されたかは確認できていないが、Trezorは全件が攻撃者に知られたものとして扱い、今後のフィッシングに再利用される恐れがあると説明している。Brevo側にはパスワードやウォレットのデータは保持されておらず、Trezorの製品や口座システム自体への侵害はないとしている。
• 攻撃者が送ったフィッシングの件名は 「Critical Security Alert: STM32 Entropy Vulnerability」 で、本文のリンクはアプリのダウンロードに誘導し、ウォレットのバックアップ（復旧用フレーズ）の入力を迫る内容だった。Trezorは悪性ドメインを20分以内にDNSレベルで停止し、リンクを無効化した。停止前にクリックしたのは約2,500人にとどまったとしている。

委託先の侵害が顧客への直接攻撃に転化した経緯

Trezorの説明によると、攻撃者はBrevoの仕組みを悪用し、同社の正規ドメイン経由でメールを送った。受信者には正規のTrezorからの連絡に見えるため、開封とクリックのハードルが下がる。Trezorは事態の把握後、Brevoのアカウントを凍結して追加送信を止め、メール送信機能も無効化した。Trezorのウェブサイト、Trezor Suite（同社の管理アプリ）、コミュニティとサポート窓口、直接のメール通知など複数の経路で警告を出している。

Trezorは今回の件を「Trezorの侵害ではなく、ニュースレター用に使う第三者基盤の侵害」と位置付けている。委託先に預けた連絡先リストが、そのまま顧客への攻撃材料になるという、サプライチェーン経由の情報漏えいの典型例である。

Trezorが示す利用者への呼びかけ

Trezorが公表している利用者向けの呼びかけは以下の通り。対策の記載は同社の発表内容に限定する。

• Trezorを名乗る不審なメールが届いたら、リンクをクリックせず、個人情報を入力せず、速やかに削除すること。
• リンクをクリックしただけで何も入力しなければ、資金に危険はないと同社は説明している。
• ウォレットのバックアップをアプリやオンラインのどこかに入力してしまった場合は、直ちに資金を新しいウォレットへ移すこと。デバイス上での復旧操作以外でバックアップを入力した覚えがなければ、資産は安全だとしている。
• Trezorがバックアップの提出を求めて連絡することは決してないため、そのような要求はすべて詐欺と見なすこと。

日本の利用者への影響

Trezorは日本でも暗号資産の自己管理手段として使われているハードウェアウォレットの一つである。今回流出した恐れがあるのはメールアドレスに限られ、資産そのものへの直接の影響はない。ただし攻撃者が約34万7千件のアドレスを保有している可能性があるため、今後Trezorや他の暗号資産関連を装うフィッシングが届く恐れがある。心当たりのないセキュリティ警告メールは開かず、ウォレットのバックアップをオンラインで入力しないことが重要だ。すでに不審なアプリに入力してしまった場合は、Trezorの呼びかけ通り新しいウォレットへの資金移動を検討する必要がある。

出典

• Trezor, “Security incident at Brevo, our third-party email provider”（2026年9月9日のBrevoへの不正アクセス、約34万7千件への影響、20分以内のドメイン停止、利用者への呼びかけを公表）: https://trezor.io/blog/news/security-incident-at-brevo-our-third-party-email-provider