「Trezorの情報流出のニュース、前に見た気がするけど…もう終わった話じゃないの?」
「実はこの前の続報で、被害人数が大きく増えたらしいんだよね」
結論から言うと、ハードウェアウォレット大手Trezor（トレザー）が2026年8月に公表した配送委託先ShipMonk社の情報流出事案について、9月上旬、新たに米国の顧客およそ6万7,000人分のデータ流出が判明し、被害者数が当初の約1万3,689人から合計8万人超へ、約6倍に拡大したと発表されました。原因は前回と同じくShipMonk社が使う分析ツールの脆弱性ですが、今回は「本来なら削除されているはずだったデータが、実際には削除されていなかった」ことが分かった点が新しい要点です。ウォレット本体や秘密鍵、Trezor社自身のシステムは今回も影響を受けていません。この記事では、この続報から読み取れる「発表直後の数字を鵜呑みにしない」という視点と、初心者が仮想通貨と向き合ううえで押さえておきたい心構えを解説します。
※ 本記事は情報提供を目的としたものであり、特定の暗号資産・製品・サービスの購入や利用を推奨・否定するものではありません。仮想通貨は価格変動が大きく、ハッキングや詐欺、操作ミスによる資産消失のリスクもあるハイリスクな資産です。投資判断は自己責任で、余剰資金の範囲で行ってください。
ニュースの要点整理 被害人数はなぜ6倍に増えたのか
まず、報じられている事実関係を整理します。
📰 出典：Yahoo!ニュース（NADA NEWS配信）「暗号資産ウォレットTrezor、顧客情報流出6倍に」
Trezor社は2026年9月上旬、8月に公表した配送委託先ShipMonk社の情報流出について、追加調査の結果、米国の顧客およそ6万7,000人分のデータが新たに流出対象として判明したと発表しました。これにより、当初発表の約1万3,689人と合わせ、被害者数は合計で8万人超（約6倍）に拡大しています。
📰 出典：CRYPTO TIMES「鍵は無事でも住所が流出｜仮想通貨ウォレット大手の6.7万人に被害」
新たに判明した約6万7,000人分のデータは、2019年11月から2021年8月にかけての過去の注文に関するもので、氏名・メールアドレス・電話番号・配送先住所・注文番号が含まれていたと報じられています。原因は前回同様、ShipMonk社が利用するデータ分析ツール「Metabase」に存在したSQLインジェクションの脆弱性で、これを突かれて管理者権限を奪われ、データを大量にダウンロードされたとされています。
注目したいのは、Trezor社がShipMonk社との契約上、配送完了から90日が経過した注文データは削除・匿名化するというルールを定めていたにもかかわらず、今回流出が確認されたデータには2019〜2021年という、本来ならとっくに削除されているはずの古い注文データが含まれていた点です。前回の記事執筆時点では、この90日ルールがあるからこそ流出範囲が約1万3,689人にとどまっている、という説明がされていましたが、今回の続報でその前提が崩れた形になります。
Trezor社は今回も、ウォレット本体やファームウェア、秘密鍵・シードフレーズなど資産に直結する情報は影響を受けていないとしています。そのうえで、流出した個人情報を悪用したフィッシングメールやなりすまし電話・郵便物、さらには実際に自宅を特定されるような物理的な接触のリスクにも改めて注意を呼びかけ、対策として、注文時に配送先を伏せられる「匿名配送」オプションを2026年内にヨーロッパ・米国で順次導入する方針も明らかにしています。
※ 被害人数・詳細はいずれも報道時点（2026年9月上旬）の情報であり、調査の進展により今後さらに変動する可能性があります。最新の状況はTrezor社の公式発表でご確認ください。
今回の一連の経過を時系列で整理すると、次のようになります。
| 時期 | 発表内容 | 被害人数（累計） | |—|—|—| | 2026年8月13日（第一報） | ShipMonk社のシステムへの不正アクセスを公表。90日データ削除ルールにより被害は限定的と説明 | 約1万3,689人 | | 2026年9月上旬（続報） | 追加調査で、本来削除されているはずの2019〜2021年分の古い注文データが流出していたと判明 | 約8万人超（約6倍） |
こうして数字を並べてみると、「第一報の説明」と「実際の被害範囲」の間に、1か月足らずで大きな開きが生じたことが分かります。
筆者の私見・考察 「公表直後の数字」は最終結果とは限らない
ここからは筆者の私見です。今回の続報で個人的に一番印象的だったのは、被害人数そのものの多さ以上に、「最初の発表内容が、後になって大きく塗り替えられた」という経過そのものです。
8月の第一報では、被害者は約1万3,689人、しかも90日でデータが削除される契約ルールのおかげで範囲が限定的だった、という説明がされていました。ところが1か月弱でその前提そのものが誤りだったことが判明し、被害人数は6倍に膨らみました。これは、Trezor社や関係者を非難する趣旨ではありません。サイバーセキュリティ事案では、発覚直後の調査だけでは全体像をつかみきれず、フォレンジック調査（原因・被害範囲を詳しく調べる作業）が進むにつれて後から被害が拡大するケースが珍しくない、という業界共通の構造の問題だと筆者は捉えています。
もう一つ注目したいのは、「契約でルールを決めていたから安心」という説明が、実際には守られていなかったという事実です。企業間の契約やポリシーは、あくまで「そう定められている」というだけで、実際に運用されているかどうかは別問題であることを、この一件は示しています。これは仮想通貨のセキュリティに限らず、私たちが日常的に「規約に書いてあるから大丈夫」と思い込みがちな場面全般に通じる教訓だと感じます。
資産形成への発展 「解決済み」と報じられた話も、更新される前提で見る
この一件から、資産形成において応用できる学びを考えてみます。それは、ニュースや発表を一度見て「もう終わった話」「解決済み」と判断してしまうと、その後の重要な続報を見落としてしまう可能性がある、という視点です。
投資の世界でも、決算の速報値が後日修正されたり、規制当局の初期発表が後から内容変更されたりすることはめずらしくありません。今回のTrezorの件と同じように、「第一報の数字・説明」と「その後判明した実態」にズレが生じることは十分にあり得ます。だからこそ、一つのニュースに一喜一憂して即断即決するのではなく、続報が出ていないかを時々確認する習慣、そして「今分かっている情報はあくまで現時点のもの」という前提を持っておくことが、冷静な資産形成につながると筆者は考えます。
また、今回のように自分が実際にTrezor製品の利用者であるかどうかによって、取るべき対応は変わります。仮に対象者に該当していなくても、「大手メーカーの委託先ですら、契約上のルールが徹底されない場合がある」という事実は、自分が普段利用している証券会社・暗号資産交換業者・各種サービスに対しても、他人事ではないと捉えておきたいところです。
保管方法によってセキュリティ上のリスクの性質が異なる点も、あらためて整理しておきます。
| 保管方法 | 主なメリット | 主なリスク | |—|—|—| | 金融庁登録の暗号資産交換業者に預ける | 自分で鍵を管理する手間がない、業者側に法令上の管理体制がある | 業者側のシステム障害・不正アクセス、業者の経営状況に左右される可能性 | | ハードウェアウォレット等で自己管理する | 取引所側のリスクから資産を切り離せる | 機器・ファームウェアの不具合、操作ミス、紛失・破損、今回のような周辺サービスからの情報流出 |
どちらか一方が万能というわけではなく、それぞれ性質の異なるリスクを抱えています。金額や目的に応じて保管方法を使い分ける・分散させるという発想自体が、リスク管理の一つの視点になり得ると筆者は考えます。なお、暗号資産の売買を行う際は、無登録の海外業者ではなく、必ず金融庁登録の暗号資産交換業者を利用することが大前提になる点も、あわせて押さえておきたいところです。また、暗号資産の売却によって利益が生じた場合は雑所得として課税対象となり、確定申告が必要になるケースがある点にも注意が必要です。税金の具体的な計算方法については、国税庁や税理士に確認することをおすすめします。
具体的なアクション・心構え 続報こそ公式情報で確認する
今回のようなニュースに接したとき、初心者が意識しておきたい具体的な行動を整理します。
1. 過去に見た「解決済み」のニュースでも、続報が出ていないか時々確認する セキュリティ事案は、初回発表がその後修正・拡大されるケースがあります。自分が関係するサービスについては、公式サイトやアプリの通知を定期的にチェックする習慣を持ちましょう。
2. シードフレーズ・秘密鍵は「誰にも」教えない これはメーカーの公式サポートを名乗る相手であっても例外ではありません。正規のサポートがシードフレーズの入力や送信を求めてくることは基本的にないとされています。
3. 通知メール・電話が来ても、記載のリンクや折り返し先をそのまま使わない 少し手間でも、ブラウザで公式サイトのURLを自分で入力し直してログイン・確認する方が安全です。今回のように配送先住所まで流出している場合、郵便物や電話を装った接触にも注意が必要です。
4. 匿名配送などのプライバシー保護オプションが提供されたら活用を検討する 今回Trezor社が導入を進める「匿名配送」のように、サービス側が個人情報の露出を減らす仕組みを用意している場合は、積極的に利用を検討する価値があります。
短期的な対応だけで終わらせず、こうした習慣を長期的に続けることが、資産を守るうえでの本質的な備えになると筆者は考えます。
注意点・NG行動 やってしまいがちな失敗
最後に、今回のようなニュースに接した際に陥りやすいNG行動を挙げておきます。
- 「前に見たニュースだから」と続報を確認せず、自分は対象外だと思い込んでしまう
- 流出通知メールに記載されたリンクをそのままクリックし、パスワードやシードフレーズを入力してしまう
- 「契約でルールが決まっているから大丈夫」という説明を、実際に守られているかどうか確認せずに信じ込んでしまう
- 逆に過度に不安になり、根拠のない噂や非公式な情報を信じて、慌てて資産を動かしてしまう
- 「大手メーカーの委託先だから信頼できる」と、確認もせず安心してしまう
いずれも、事実を正確に把握せずに思い込みで動いてしまうことが原因です。落ち着いて公式情報を確認し、必要な対策だけを淡々と行う姿勢が大切です。
まとめ 続報にも目を向け、思い込みを更新し続ける姿勢を
今回のTrezorの情報流出は、被害人数が第一報の6倍に拡大し、「契約でデータは削除されるはずだった」という前提すら崩れるという、続報によって状況が大きく変わった事例です。ウォレット本体や秘密鍵は無事とはいえ、個人情報の流出範囲が広がったことで、フィッシング詐欺などの二次被害への警戒は一層必要になったと言えます。
一つのニュースを見て「もう解決した話」と決めつけず、関係するサービスについては続報の有無を時々確認する。契約やルールの存在を鵜呑みにせず、実際にどう運用されているかにも目を向ける。こうした姿勢は仮想通貨に限らず、あらゆる資産形成に共通する、地味だけれど大切な備えだと言えます。焦らず、長期目線で、一つひとつの習慣を積み重ねていきましょう。
