SafePalの顧客注文情報が外部から閲覧される｜約39,798人、住所と電話番号が対象【2026年8月】

暗号資産を自分で保管する機器「ハードウェアウォレット」を作っている SafePal（セーフパル）が、2026年8月16日、商品を注文した人の氏名・住所・電話番号・メールアドレス・購入した内容が、外部から見られる状態になっていたと発表しました。

原因は、注文の配送状況を追う機能に、他人の注文を見られてしまう不備があったことです。対象はおよそ39,798人。2025年3月2日から2026年4月11日までに注文した人が該当します。

機器の中身にあたる復元用の単語（シードフレーズ）や暗号資産そのものは対象外で、資産が盗まれた証拠は見つかっていないと説明されています。

一方で SafePal は、この情報を使った偽サイトやフィッシングのリンクをすでに30件以上削除したとしています。

この記事で分かること

• 何が、どこから漏れたのか
• 対象になっている期間と人数
• 自分が対象かどうかの確かめ方として案内されている内容
• SafePal が挙げている詐欺の手口
• 資産を移す必要があるかについて書かれていること
• 8月に公表された Trezor の件との違い
• 現時点で未確定の事項

本記事は公表資料の整理です。特定の製品の購入・買い替えを推奨するものではありません。

何が、どこから漏れたのか

SafePal は2026年8月16日、公式ブログに「Unauthorized Access To A Subset Of Customer Order Information」（顧客の注文情報の一部への不正アクセスについて）を掲載しました。

発表によると、顧客の注文情報を扱うプラグインの、注文追跡の機能に不備がありました。特定の条件のもとで、第三者が別の顧客の注文情報にアクセスできる状態だったと説明されています。

不備の性質は「権限の確認」の問題です。ログインの仕組みが破られたのではなく、本来なら見せてはいけない他人の注文を、確認しないまま表示してしまう種類の欠陥だという説明になっています。

漏れた項目として挙げられているのは次の5つです。

• 氏名
• メールアドレス
• 配送先住所
• 電話番号
• 購入した内容

一方、対象に含まれないものとして、シードフレーズ、秘密鍵、ウォレットのパスワード、その他のウォレットの認証情報、銀行口座の情報、決済カードの番号、公的な身分証の番号が挙げられています。SafePal は、これらの情報はそもそも顧客から求めておらず、収集も保存もしていないと記載しています。

また、この事案によって SafePal のウォレットや資金へのアクセスが侵害された証拠は見つかっていない、としています。

対象になっている期間と人数

発表に記載されている範囲は次のとおりです。

項目	発表に書かれている内容
対象の人数	約39,798人
対象期間	2025年3月2日〜2026年4月11日に注文した人
漏れた項目	氏名、メールアドレス、配送先住所、電話番号、購入内容
対象外	シードフレーズ、秘密鍵、ウォレットのパスワード、銀行口座情報、決済カード番号、身分証番号

🔴 発表には、対象を国で絞る記載がありません。示されているのは注文日の期間だけです。したがって、日本から注文した人が含まれるかどうかも、発表の文面からは判断できません。

期間が約13か月に及んでいる理由として書かれていること

対象期間は2025年3月2日から2026年4月11日までで、約13か月分の注文が含まれます。

SafePal は今回の対応の一環として、注文処理を行う環境における個人情報の保持期間を、法令上の要件に従いつつ90日に短縮したと記載しています。短縮前の保持期間が何日だったのかについては、発表に記載がありません。

自分が対象かどうかの確かめ方として案内されている内容

SafePal は、対象となった顧客の全員に、2026年8月16日に個別のメールで連絡したとしています。

• 送信元アドレス: security@safepal.com
• 件名: [Important] Your SafePal Order Information Has Been Affected

あわせて、顧客が自分で確認できるページを公開したと記載しています。確認には注文ID番号と配送先の国を使う、と説明されています。確認と報告の窓口は SafePal の事案専用ページ にまとめられています。

SafePal が挙げている詐欺の手口

SafePal が挙げているのは、機器や資産そのものへの攻撃ではなく、漏れた情報を使った標的型のフィッシングとなりすましです。

氏名・連絡先・配送先住所・注文内容がそろっているため、内容が本物らしく見えやすい、という整理になっています。発表で名指しされている手口は次のとおりです。

• 偽の電話
• 偽のメール
• 偽のショートメッセージ（SMS）
• 偽の郵便物
• 返金の申し出
• ファームウェア更新の要求
• サポート窓口をかたる連絡
• 悪意のあるウェブサイト

また、漏れた情報が公開のフォーラムに出回る可能性にも触れています。

偽サイトは既に30件以上削除されている

SafePal は対応状況として、今回の詐欺活動に結びついた偽のウェブサイトとフィッシングのリンクを30件以上特定し、削除したと記載しています。新たなものについても監視を続けているとしています。

つまり、この事案は「漏れる可能性がある」という段階ではなく、漏れた情報を使った働きかけが既に始まっているという説明になっています。

偽サイトの具体例として、発表ではアドレスの小文字の「l」を大文字の「I」に置き換えたものの報告を過去に受けている、と記載されています。この2文字は多くの書体で見分けがつきません。

SafePal が注意点として挙げているのは次の4点です。

• シードフレーズ・秘密鍵・パスワードは、SafePal のサポートを名乗る相手を含め、誰にも渡さない。SafePal から電話・メール等でこれらを尋ねることは一切ない
• 未承諾のメール・SMS・郵便に含まれるリンクやQRコードを開かない
• サイトのアドレスは、リンクをたどらずに手で入力する（この案内自体に含まれるリンクも含む）
• SafePal での購入に言及してくる予期しない連絡や、予期しないハードウェアの配送は、電話・郵便・訪問のいずれであっても疑わしいものとして扱う

資産を移す必要があるかについて書かれていること

SafePal は、注文情報が漏れたという理由だけで資産を移す必要はないとしています。事案そのものではシードフレーズ・秘密鍵・ウォレットのパスワードは露出していない、という説明が根拠です。

ただし例外として、不審なメッセージ・サイト・電話・郵便に応じてシードフレーズや秘密鍵を既に入力・共有してしまった場合は、そのウォレットを侵害されたものとして扱い、信頼できる機器または公式アプリで新しいウォレットを作り、残りの資産を速やかに移したうえで公式のサポート窓口に連絡するよう案内しています。

8月に公表された Trezor の件との違い

ハードウェアウォレットをめぐっては、2026年8月に Trezor の配送代行業者から顧客情報が流出した件 も公表されています。似た事案ですが、発表の内容は次の点で異なります。

	Trezor（2026年8月13日発表）	SafePal（2026年8月16日発表）
漏れた場所	配送を委託していた外部の事業者のシステム	SafePal 側で使っていたプラグインの機能の不備
対象の示し方	対象国のリストあり（日本は含まれない）＋期間	国の限定なし。注文日の期間のみ
対象期間の長さ	約90日分	約13か月分
人数	約13,689人	約39,798人
悪用の状況	発表時点で公表なし	偽サイト・リンク30件超を削除済み

同じ「顧客情報の流出」でも、Trezor は対象国を示していたのに対し、SafePal は国で絞っていません。この違いは、日本から注文した人が自分の状況を判断するうえで意味を持ちます。

なお、機器そのものの不具合としては Coldcard のシード生成に関する件 も2026年8月に公表されています。こちらは機器の中身の問題で、今回の情報流出とは別の事案です。

現時点で未確定の事項

• 日本から注文した人が対象に含まれるかどうか（発表に国別の内訳や対象国の記載がありません）
• 不備のあったプラグインが何だったのか（発表に名称の記載がありません）
• 不備がいつから存在し、第三者に実際にアクセスされたのがいつなのか（発表に記載がありません）
• 漏れた情報が実際に公開のフォーラムへ出回ったかどうか（発表は「可能性がある」との記載にとどまります）
• 第三者のセキュリティ企業による検証の結果（発表時点では実施中とされており、完了していません）
• 流出情報を使った実際の被害の件数や金額（偽サイト30件超の削除は公表されていますが、被害の規模は公表されていません）

この記事のまとめ

• SafePalは2026年8月16日、注文情報を扱うプラグインの不備により、氏名・住所・電話番号・メールアドレス・購入内容が外部から閲覧できる状態だったと公表しました。対象は約39,798人、2025年3月2日〜2026年4月11日に注文した人です
• シードフレーズや秘密鍵、ウォレットのパスワードは対象外で、資産が盗まれた証拠は見つかっていないとしています
• この情報を使った偽サイト・フィッシングリンクを30件以上すでに削除したと発表しています
• 発表には対象を国で絞る記載がなく、日本から注文した人が含まれるかどうかは発表の文面からは判断できません
• 同時期に公表されたTrezorの流出では対象国のリスト（日本は含まれない）が示されていましたが、SafePalは国の限定をしていない点が異なります

この記事に出てくる言葉

---

出典・確認日: 本記事は2026年8月17日（日本時間）に SafePal の発表ページを取得して作成しました。掲載内容はその後変更される場合があります。

運営: 株式会社シンセイサービス

あわせて読みたい

• Trezorの配送代行業者から顧客情報が流出｜対象国と対象期間、自分が対象かの見分け方【2026年8月】
• 口座と個人情報を守る ── フィッシング・出金トラブルから資産を守る基本
• 怪しい勧誘の断り方と、被害に遭わないための習慣

まずは、投資の基礎を無料で学ぶ

AGITOアプリで、解説記事・用語集・市場情報を確認できます。学習コンテンツと市場情報は無料です。

iPhoneで使う Androidで使う

記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。