ハードウェアウォレットメーカーのKeystoneは2026年10月24日、オンラインストアへの不正アクセスによって顧客情報が流出したと公表しました。同社は10月20日に不正アクセスを検知し、ShopifyのAPI活動を調べたうえで、10月23日に第三者が顧客情報を取得したと確認しています。569

流出したのは、氏名やメールアドレス、電話番号、配送先住所、購入した商品や価格などの注文情報です。Keystoneによると、決済情報やウォレットの秘密情報は対象外でした。ただし、影響した人数や侵入方法など、解明されていない点も少なくありません。

何が流出し、何は流出していないのか

流出した情報には、顧客の氏名、メールアドレス、電話番号、配送先住所のほか、購入した商品とその価格を含む注文内容が含まれていました。56

Keystoneは、クレジットカードや銀行の情報、ウォレットのパスワード、リカバリーフレーズ、秘密鍵は流出していないと説明しています。56 今回報告されているのは、オンラインストアが保有する顧客・注文情報の流出であり、ウォレットの復元に使う情報が漏れたという発表ではありません。

それでも、住所や実際の購入履歴が知られると、詐欺メッセージに本物らしい内容を織り交ぜられるおそれがあります。511

Keystoneが説明した対応と、まだ分からないこと

Keystoneは謝罪し、不正アクセスを遮断して脆弱性を修正したうえで、調査を開始し、影響を受けた顧客にメールで連絡していると説明しました。915 より詳しい報告書を公表する意向も示していますが、今回確認できる報道には、その報告書は含まれていません。1215

現時点で、影響を受けた顧客の人数、攻撃者が使った具体的な手口、侵入が続いた期間は明らかになっていません。10月20日は同社が不正アクセスを検知した日であり、侵入が始まった日を示すものではありません。712

調査ではShopifyのAPI活動が確認され、KeystoneのオンラインストアはShopifyを利用しています。56 ただし、Shopifyの仕組みを調査に使ったことだけで、Shopifyの基盤そのものが侵害されたとは言えません。確認できる情報からは、Shopifyのプラットフォームが不正アクセスの発生源だったとは判断できません。

「180日で削除」の説明に残る食い違い

Keystoneは、注文から180日後に配送情報を完全に削除すると説明してきました。一方、プライバシーポリシーでは、直近180日間に注文していない顧客の注文情報を削除するとしています。1 この2つは同じ条件ではありません。ポリシーの文面では、注文ごとに180日が経過した時点ではなく、一定期間注文がないことが削除の条件になります。

報道によると、同社のプライバシーポリシーは2021年5月に最終更新されています。15 顧客からは、180日より前、なかには2年以上前の注文に関する通知を受け取ったとの声も出ています。17 ただし、こうした顧客の報告は独立して確認されておらず、Keystoneも削除方針を順守していたかどうかを公に確認していません。15

確認できるのは、公開されていた削除の説明とポリシーの文面に違いがあること、そして古い注文情報が含まれていたという顧客の申し立てがあることです。これだけで、Keystoneがポリシーに違反したと断定することはできません。

顧客が気をつけたい詐欺と安全上のリスク

Keystoneは、同社の関係者を名乗る相手にもリカバリーフレーズを教えないよう注意を促しています。1112 返金、交換品の送付、注文内容の修正、ウォレットの復旧などを理由に連絡が来ても、リンクを開いたり、パスワードや支払いを求める指示に応じたりする前に慎重に確認してください。

氏名や住所、購入内容が知られていると、詐欺の連絡が本物らしく見える可能性があります。セキュリティ研究者のテイラー・モナハン氏は、配送先住所の流出が強盗や誘拐を含む身体的な危険につながる可能性にも言及しました。これは潜在的なリスクへの警告であり、Keystoneの顧客に実際にそうした被害が起きたという証拠ではありません。711

流出を理由にした連絡が疑わしい場合は、メッセージ内のリンクや連絡先を使わず、自分で正当性を確認した別の窓口から問い合わせましょう。リカバリーフレーズは、誰にも伝えてはいけません。

TrezorやSafePalの事例と比べると

今年のハードウェアウォレット関連の情報流出では、TrezorとSafePalについては影響人数が報告されています。Trezorでは、物流会社ShipMonkに関連する流出で、当初13,689人が影響を受けたとされ、その後、米国の顧客約67,000人が追加で特定されました。2回の発表を合わせると、報告された人数は約80,689人です。38 Trezorは、流出した情報がフィッシングなどの詐欺に悪用される危険性を警告しています。38

SafePalでは、注文追跡機能に関連する問題から情報が流出し、影響を受けた顧客は約39,798人と報じられています。3537 Keystoneは影響人数を公表していないため、これらの事例と規模を数字で比較することはできません。512

一方、提示された情報だけでは、Ledgerの2020年の事案について、影響人数やその後の詐欺被害を確かな数字で比較できません。Ledgerの別の、より後の事案に関する数字を2020年の出来事と混同しないことが重要です。

共通する懸念は、顧客情報が詐欺をより個別化する材料になりうることです。Keystoneのケースでも、決済情報やウォレットの認証情報は流出していないという同社の説明と、住所・注文履歴が露出したリスクは分けて考える必要があります。56

ハードウェアウォレットメーカーのKeystoneは2026年10月24日、オンラインストアへの不正アクセスによって顧客情報が流出したと公表しました。同社は10月20日に不正アクセスを検知し、ShopifyのAPI活動を調べたうえで、10月23日に第三者が顧客情報を取得したと確認しています。569

流出したのは、氏名やメールアドレス、電話番号、配送先住所、購入した商品や価格などの注文情報です。Keystoneによると、決済情報やウォレットの秘密情報は対象外でした。ただし、影響した人数や侵入方法など、解明されていない点も少なくありません。

何が流出し、何は流出していないのか

流出した情報には、顧客の氏名、メールアドレス、電話番号、配送先住所のほか、購入した商品とその価格を含む注文内容が含まれていました。56

Keystoneは、クレジットカードや銀行の情報、ウォレットのパスワード、リカバリーフレーズ、秘密鍵は流出していないと説明しています。56 今回報告されているのは、オンラインストアが保有する顧客・注文情報の流出であり、ウォレットの復元に使う情報が漏れたという発表ではありません。

それでも、住所や実際の購入履歴が知られると、詐欺メッセージに本物らしい内容を織り交ぜられるおそれがあります。511

Keystoneが説明した対応と、まだ分からないこと

Keystoneは謝罪し、不正アクセスを遮断して脆弱性を修正したうえで、調査を開始し、影響を受けた顧客にメールで連絡していると説明しました。915 より詳しい報告書を公表する意向も示していますが、今回確認できる報道には、その報告書は含まれていません。1215

現時点で、影響を受けた顧客の人数、攻撃者が使った具体的な手口、侵入が続いた期間は明らかになっていません。10月20日は同社が不正アクセスを検知した日であり、侵入が始まった日を示すものではありません。712

調査ではShopifyのAPI活動が確認され、KeystoneのオンラインストアはShopifyを利用しています。56 ただし、Shopifyの仕組みを調査に使ったことだけで、Shopifyの基盤そのものが侵害されたとは言えません。確認できる情報からは、Shopifyのプラットフォームが不正アクセスの発生源だったとは判断できません。

「180日で削除」の説明に残る食い違い

Keystoneは、注文から180日後に配送情報を完全に削除すると説明してきました。一方、プライバシーポリシーでは、直近180日間に注文していない顧客の注文情報を削除するとしています。1 この2つは同じ条件ではありません。ポリシーの文面では、注文ごとに180日が経過した時点ではなく、一定期間注文がないことが削除の条件になります。

報道によると、同社のプライバシーポリシーは2021年5月に最終更新されています。15 顧客からは、180日より前、なかには2年以上前の注文に関する通知を受け取ったとの声も出ています。17 ただし、こうした顧客の報告は独立して確認されておらず、Keystoneも削除方針を順守していたかどうかを公に確認していません。15

確認できるのは、公開されていた削除の説明とポリシーの文面に違いがあること、そして古い注文情報が含まれていたという顧客の申し立てがあることです。これだけで、Keystoneがポリシーに違反したと断定することはできません。

顧客が気をつけたい詐欺と安全上のリスク

Keystoneは、同社の関係者を名乗る相手にもリカバリーフレーズを教えないよう注意を促しています。1112 返金、交換品の送付、注文内容の修正、ウォレットの復旧などを理由に連絡が来ても、リンクを開いたり、パスワードや支払いを求める指示に応じたりする前に慎重に確認してください。

氏名や住所、購入内容が知られていると、詐欺の連絡が本物らしく見える可能性があります。セキュリティ研究者のテイラー・モナハン氏は、配送先住所の流出が強盗や誘拐を含む身体的な危険につながる可能性にも言及しました。これは潜在的なリスクへの警告であり、Keystoneの顧客に実際にそうした被害が起きたという証拠ではありません。711

流出を理由にした連絡が疑わしい場合は、メッセージ内のリンクや連絡先を使わず、自分で正当性を確認した別の窓口から問い合わせましょう。リカバリーフレーズは、誰にも伝えてはいけません。

TrezorやSafePalの事例と比べると

今年のハードウェアウォレット関連の情報流出では、TrezorとSafePalについては影響人数が報告されています。Trezorでは、物流会社ShipMonkに関連する流出で、当初13,689人が影響を受けたとされ、その後、米国の顧客約67,000人が追加で特定されました。2回の発表を合わせると、報告された人数は約80,689人です。38 Trezorは、流出した情報がフィッシングなどの詐欺に悪用される危険性を警告しています。38

SafePalでは、注文追跡機能に関連する問題から情報が流出し、影響を受けた顧客は約39,798人と報じられています。3537 Keystoneは影響人数を公表していないため、これらの事例と規模を数字で比較することはできません。512

一方、提示された情報だけでは、Ledgerの2020年の事案について、影響人数やその後の詐欺被害を確かな数字で比較できません。Ledgerの別の、より後の事案に関する数字を2020年の出来事と混同しないことが重要です。

共通する懸念は、顧客情報が詐欺をより個別化する材料になりうることです。Keystoneのケースでも、決済情報やウォレットの認証情報は流出していないという同社の説明と、住所・注文履歴が露出したリスクは分けて考える必要があります。56