暗号資産を自分で保管するための機器「ハードウェアウォレット」を作っている Trezor（トレザー）が、2026年8月13日、注文した人の氏名・住所・電話番号・メールアドレスが外部に漏れたと発表しました。
漏れたのは Trezor 自身のシステムからではなく、商品を発送していた外部の配送代行会社からです。機器そのものや、機器の中に入っている暗号資産には影響がないと説明されています。
対象はおよそ1万3,689人。発表で示された対象国は米国・英国・スウェーデン・コロンビア・ブラジル・イタリア・ポルトガルの7か国で、日本は入っていません。期間は2026年5月10日から8月8日までに商品を受け取った人です。
自分が対象かどうかは、Trezor からの通知メールが届いているかどうかで分かる、と案内されています。
この記事で分かること
- 何が、どこから漏れたのか
- 対象になっている国・期間・人数
- 自分が対象かどうかの見分け方として発表されている内容
- Trezor が挙げているリスク（機器ではなくフィッシング）
- 現時点で未確定の事項
本記事は公表資料の整理です。特定の製品の購入・買い替えを推奨するものではありません。
何が、どこから漏れたのか
Trezor は2026年8月13日、公式ブログに「Recent customer data exposed in shipping provider incident」（配送業者の事案で顧客データが流出した件）を掲載しました。
発表によると、2026年8月10日（月）、Trezor の配送を担う ShipMonk から、顧客データを保持しているシステムへ第三者による不正アクセスがあったと連絡を受けたとしています。ShipMonk は、Trezor の製品を保管し、米国・英国およびそのほかいくつかの国の顧客へ商品を発送している物流委託先だと説明されています。
漏れた項目として挙げられているのは、氏名（フルネーム）、電話番号、メールアドレス、配送先住所です。
Trezor は発表の中で、自社のシステムは侵害されておらず、Trezor の機器は安全だとしています。漏れたのは注文と配送に使われる情報であり、リカバリーフレーズや暗号資産そのものではありません。
対象になっている国・期間・人数
発表に記載されている範囲は次のとおりです。
| 項目 | 発表に書かれている内容 |
|---|---|
| 対象の人数 | 約13,689人 |
| うち全項目が漏れた人 | 11,742人（氏名・メール・電話番号・配送先住所） |
| うち一部が漏れた人 | 1,947人（氏名・都市名・メール。配送先住所は含まない） |
| 対象国 | 米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガル |
| 対象期間 | 2026年5月10日〜8月8日に注文品を受け取った人 |
この対象国のリストに日本は含まれていません。
なお発表には後日の追記があり、一部だけが漏れた1,947人については、これより古い注文が含まれている可能性があるため、期間を ShipMonk と確認中だとしています。
範囲が限定された理由として書かれていること
Trezor は、被害の範囲が限られたのは自社のデータ保持方針によるものだと説明しています。注文に関する個人情報は配送完了から90日後に削除または匿名化する方針で、同じ条件を配送委託先にも適用しているため、それより古い注文のデータは ShipMonk 側にすでに残っていなかった、という説明です。
発表では、2026年8月8日より前の90日以内に受け付けた注文だけが対象になったと記載されています。
自分が対象かどうかの見分け方として発表されている内容
Trezor は、対象となった顧客全員に個別にメールで連絡したとしています。そのうえで、発表には次の一文があります。
If you did not receive an email from noreply@trezor.io then you are not affected by this data breach.
（noreply@trezor.io からのメールを受け取っていないのであれば、あなたはこのデータ流出の対象ではありません）
つまり、通知メールが届いているかどうかが、対象かどうかの判別に使われるという説明です。
Trezor が挙げているリスク
Trezor が挙げているのは、機器や資産そのものではなく、流出した情報を使った標的型のフィッシングです。
発表では、詐欺を行う側が流出情報を使って「偽のメールを送る」「偽の電話をかける」「偽の郵便物を送る」「銀行や暗号資産取引所、あるいは Trezor 自身になりすます」ことがありうるとしています。氏名と住所と電話番号がそろっているため、郵便や電話といった、メール以外の経路も使われうるという整理です。
Trezor が注意点として挙げているのは次の3点です。
- すぐに行動するよう促したり、個人情報を求めたりする連絡は疑わしいものとして扱う
- メールやサイトの内容は、Trezor の公式チャネルやブログの情報と照らし合わせる
- ウォレットのバックアップ（リカバリーフレーズ）を、いかなるサイトにも入力せず、誰にも渡さない
また Trezor は、2013年の創業以来、顧客の電話番号と配送先住所が流出した事案はこれが初めてだとしています。
今後の対応として書かれていること
発表には、注文時に共有する情報を減らすための選択肢として、実名と結びつかないメールアドレスの利用、暗号資産または使い捨てのデジタルカードでの支払い、私書箱の利用が挙げられています。
あわせて「Anonymous Delivery（匿名配送）」という仕組みを準備中で、EUでは2026年9月まで、米国では2026年末までの提供開始を目指すと記載されています。
ハードウェアウォレットをめぐっては、Coldcard のシード生成に不具合が見つかった件も2026年8月に公表されています。こちらは機器の中身の問題で、今回の情報流出とは別の事案です。
現時点で未確定の事項
- ShipMonk のシステムへどのように侵入されたのか（Trezor の発表には記載がなく、「調査は継続中」とのみ書かれています）
- 一部だけが漏れた1,947人の対象期間（Trezor が ShipMonk と確認中としています）
- 流出した情報が実際に悪用された事例があるかどうか（本記事の確認時点で公表されていません）
- 対象国以外に居住する人が、対象国宛に注文していた場合の扱い（発表は対象を国と期間で示しており、この点への言及はありません）
- ShipMonk 側からの公表内容（本記事では Trezor の発表のみを一次資料として扱っています）
この記事のまとめ
- ハードウェアウォレットのTrezorは2026年8月13日、注文者の氏名・住所・電話番号・メールアドレスが外部に漏れたと発表しました
- 流出元はTrezor自身のシステムではなく、配送を委託していたShipMonkからで、機器本体や暗号資産そのものへの影響はないと説明されています
- 対象は約13,689人、対象国は米国・英国・スウェーデン・コロンビア・ブラジル・イタリア・ポルトガルの7か国で、日本は含まれていません
- 対象期間は2026年5月10日〜8月8日に商品を受け取った人で、対象者にはTrezorから個別にメールで通知済みとされています
- Trezorが挙げているリスクは機器や資産そのものではなく、流出情報を使った標的型のフィッシングです
この記事に出てくる言葉
- ハードウェアウォレット
- 暗号資産を動かすための鍵を、インターネットにつながっていない専用の機器の中に保管する道具。取引所に預けず自分で保管する方法のひとつで、Trezor や Coldcard はその製品名です。
- リカバリーフレーズ（シードフレーズ）
- ウォレットを復元するための、12語や24語からなる単語の並び。これを知られると資産を移動されてしまうため、機器の外に出さないことが前提の情報です。
- 物流委託先（フルフィルメント事業者）
- 販売者に代わって商品の保管・梱包・発送を請け負う会社。配送のために、注文者の氏名・住所・電話番号などを預かることになります。
- フィッシング
- 実在する企業や公的機関になりすまして連絡し、パスワードや個人情報を入力させて盗み取る手口。氏名や住所が事前に知られていると、内容が本物らしく見えるため見破りにくくなります。
出典・確認日: 本記事は2026年8月14日14時10分（日本時間）に Trezor の発表ページを取得して作成しました。掲載内容はその後変更される場合があります。
運営: 株式会社シンセイサービス
※本記事は投資に関する一般的な情報・注意喚起を目的としたものであり、特定の個人・団体・商品を指すものではありません。投資の最終判断はご自身の責任で行ってください。元本保証はなく、損失が生じる可能性があります。
運営: 株式会社シンセイサービス
あわせて読みたい
まずは、投資の基礎を無料で学ぶ
AGITOアプリで、解説記事・用語集・市場情報を確認できます。学習コンテンツと市場情報は無料です。
記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。
コメント