コインベース、データ漏洩で情報が流出した顧客に「偽者を予想」と警告

仮想通貨取引プラットフォームのCoinbaseは、5月11日に法的に義務付けられた米国規制当局への提出書類の中で、数か月前に発生したランサムウェア攻撃を公表した。攻撃者は攻撃を隠蔽するために2,000万ドルを要求したが、Coinbaseは身代金を支払わなかった。

Coinbaseは、盗まれたデータを利用した攻撃者のソーシャルエンジニアリングによって資金を失った顧客に払い戻しを行う。

内部関係者が顧客情報を脅威アクターに渡したとされる

攻撃者は、Coinbaseのカスタマーサポート担当者（Coinbaseは「海外のカスタマーサポートチームから集まった内部関係者の小グループ」と表現）に賄賂を贈り、少数の顧客に関するデータを収集したとされています。攻撃者はそのデータを使って顧客に連絡を取り、自分がCoinbaseの担当者だと思わせて顧客の暗号資産を盗み出していました。

Coinbaseによると、月間取引ユーザーのうち、データが漏洩したユーザーは1%未満だ。しかし、これらのユーザーは「なりすまし」の存在を覚悟しておくべきだと同社は警告している。Coinbaseは、攻撃者がパスワードや2要素認証（2FA）コードを要求したり、電話で「安全な」ウォレットへの送金を要求したりする可能性があるとユーザーに注意を促した。これらは正規のプラットフォームでは実行されない行為だ。

盗まれたデータの中には運転免許証やパスポートもあった

盗まれたデータには以下が含まれます。

• 名前、住所、電話番号、電子メール。
• 社会保障番号の最後の 4 桁。
• マスクされた銀行口座番号と一部の銀行口座識別子。
• 運転免許証やパスポートなどの政府発行の身分証明書の画像。
• 残高スナップショットや取引履歴などのアカウントデータ。
• 限定された企業データ (サポート エージェントが利用できるドキュメント、トレーニング マテリアル、通信など)。

顧客の資金とウォレット、秘密鍵、2FA情報は侵害されていません。

参照：英国は、EUのより特化した規則よりも米国の政策に近づけて、暗号資産を従来の通貨法に組み込む予定です。

コインベースは影響を受けたユーザーに通知し、サイバーセキュリティへの投資を増加した。

このようなケースでは、企業は身代金を支払わないよう勧告されることが多い。身代金を支払うと、将来のサイバー攻撃の資金源となり、同様の行為を助長する可能性があるためだ。さらに、身代金を支払ったとしても、攻撃者が盗んだデータを実際に返却してくれるとは限らない。

侵害によって可能になったソーシャル エンジニアリング詐欺で失われた資金を返金することに加えて、Coinbase は以下の措置を講じました。

• 影響を受けるユーザーに通知しました。
• 影響を受ける暗号通貨アカウントの大規模な引き出しに対して追加の ID チェックを追加します。
• 必須の詐欺注意アラートを追加します。
• セキュリティ管理を強化し、米国に新しいサポートハブを開設
• 内部脅威の検出、セキュリティ対応の自動化、同様のセキュリティ脅威のシミュレーションへの投資を増やしました。

Coinbaseは、米国および国際法執行機関と協力し、攻撃者に協力した元従業員の追跡を行っています。同社は、主たる脅威実行者の逮捕と有罪判決につながる情報に対し、2,000万ドルの報奨金を提示しています。

コインベースは、攻撃による補償と修復で1億8000万ドルから4億ドルの経済的損失を予想している。

こちらもご覧ください

• TechRepublic独占記事：ハッカーが「心理的圧力」をかけることで、新たなランサムウェア攻撃はより個人的になっている
• 北朝鮮が15億ドル規模のBybitハッキングを実行した経緯 ― 仮想通貨史上最大の強盗
• 2025年に評価された暗号通貨フレンドリーな銀行6選
• サイバーセキュリティ：さらに読むべき記事