Trezorを購入した際の配送情報が漏洩した場合、まず取るべき行動はフィッシング詐欺への警戒と、自宅住所を知られている前提での物理的セキュリティ見直しだ。デバイス自体や秘密鍵が漏れたわけではないが、購入者情報と配送先住所が結びついた漏洩は、サイバー攻撃と現実の脅威の両方につながる。
今回の情報漏洩で何が起きたのか
2026年8月、Trezorの配送業務を委託していたShipMonkという物流企業でデータ漏洩が起きた。影響を受けたのは約14,000人。名前、メールアドレス、電話番号、そして多くの場合は配送先住所まで流出している。
重要なのは、Trezor本体のシステムやハードウェアウォレット、リカバリーフレーズが侵害されたわけではないという点だ。漏れたのは購入に伴う顧客情報であり、デバイスの中身ではない。それでも危険が大きいのは、この情報が「誰がハードウェアウォレットを持っているか」と「その家がどこか」を結びつけてしまうからだ。
ハードウェアウォレットは秘密鍵をネットワークから隔離して保管するためのデバイスで、購入者＝暗号資産を保有している可能性が高い人、と見なされる。配送先住所まで分かれば、犯罪者は物理的に接触する手段を得ることになる。
Trezorを購入した人はどんな危険にさらされるのか
漏洩した情報を使った攻撃は、大きく分けて二種類ある。一つはオンラインでのフィッシング詐欺、もう一つは物理的な脅威だ。
巧妙になるフィッシングメールとSMS
漏洩した名前、メールアドレス、電話番号を使えば、犯罪者は個人を特定した説得力のあるメッセージを送れる。「Trezorをご購入いただいたお客様へ」「配送情報の更新が必要です」といった文面で、本物そっくりの偽サイトに誘導する手口が増える。
特に危険なのは、購入履歴を知っているからこそ信じやすい内容になる点だ。「あなたが購入したTrezorに不具合が見つかった」「ファームウェアの緊急更新が必要」などと装い、偽のTrezor Suiteやリカバリーフレーズ入力を求める画面に誘導してくる。
リカバリーフレーズ（復元用の単語リスト）を一度でも入力してしまうと、ウォレットの中身をすべて盗まれる。正規のTrezorでさえ、リカバリーフレーズの入力をWebサイト上で求めることは絶対にない。この原則を知っているかどうかが生死を分ける。
配送先住所が漏れたことによる物理的リスク
配送先住所の流出は、単なる迷惑メールでは済まない。暗号資産を狙う犯罪者が自宅を特定し、直接的な脅迫や強盗に及ぶ可能性が生まれる。暗号資産コミュニティでは「レンチ攻撃」と呼ばれる、物理的な暴力や脅迫でリカバリーフレーズを吐かせる手口が現実に起きている。
特に注意が必要なのは、漏洩から時間が経ってから接触してくるケースだ。すぐに怪しい連絡が来るとは限らない。数か月後、あるいは1年後に「以前あなたが購入した商品について」と電話やメール、訪問で接触してくる可能性を想定しておく必要がある。
いますぐやるべき5つの対策
漏洩に巻き込まれた可能性があるなら、以下の対策を今日中に実行しておきたい。どれもハードウェアウォレットユーザーなら普段からやっておくべき基本的な防御だ。
- メールとSMSのリンクを一切開かない
- Trezor関連の連絡は公式アプリと公式サイトだけで確認する
- 電話番号着信にも警戒し、知らない番号は出ない
- リカバリーフレーズを誰にも教えず、紙で安全な場所に保管する
- 家族や同居人にも状況を共有する
メールとSMSのリンクは開かない
漏洩後はTrezorや配送会社を装ったメール、SMSが届く可能性が高い。メール内のリンクは開かず、差出人アドレスを慎重に確認する。Trezorからの公式メールは特定のドメインからしか送られないが、表示名だけでは偽装を見破れない。
不審なメールが来たら、本文中のリンクを踏むのではなく、ブラウザでTrezorの公式サイトを直接開いて状況を確認する。SMSのリンクも同様だ。短縮URLは特に危険で、クリックしただけで偽サイトに誘導される。
Trezor Suiteは公式サイトからのみ起動する
Trezorを管理するアプリ「Trezor Suite」は、公式サイトからダウンロードしたものだけを使う。メールやSMSのリンクから開いた偽のTrezor Suiteは、本物と見分けがつかないほど精巧に作られていることがある。
ブラウザ版を使う場合も、ブックマークした公式URLから開く習慣をつける。検索エンジンの広告経由で偽サイトにたどり着くケースもあるため、検索結果の一番上だから安全とは限らない。
電話での接触にも警戒する
電話番号も漏れているため、音声通話での詐欺も想定しておく。カスタマーサポートを装い「あなたのウォレットに不正アクセスがあった」などと不安をあおり、リカバリーフレーズや画面共有を求めてくる手口がある。
知らない番号からの着信には出ないのが安全だ。出てしまった場合も、相手が誰であれリカバリーフレーズを口頭で伝えることは絶対にしない。本当にTrezor側から連絡が必要なら、公式サポートの手順で折り返す形をとる。
リカバリーフレーズの保管場所を再確認する
住所が漏れた今、自宅にリカバリーフレーズを保管している場合のリスクも再評価する必要がある。紙に書いて机の引き出しに置いてあるだけでは、物理的な侵入を受けたときに一瞬で奪われる。
耐火金庫や銀行の貸金庫、複数箇所への分散保管など、自宅の防犯レベルに応じた保管方法を検討したい。ただし、保管場所を複雑にしすぎて自分がアクセスできなくなるのは本末転倒だ。緊急時に確実に取り出せる場所であることも同じくらい重要になる。
家族や同居人と情報を共有する
家族や同居人がいる場合、状況を簡潔に伝えておくことは重要だ。訪問者や電話に対して不用意に応対してしまうのを防げる。「ウォレットに関する電話や訪問はすべて無視する」という共通認識を作っておく。
特に高齢の家族がいる場合は、具体的な手口を伝えておく。「暗号資産のサポートを名乗る電話には応じない」「訪問してきたらドアを開けずに警察に連絡する」まで、行動レベルで共有しておくと安心だ。
ハードウェアウォレット自体は安全なのか
今回の漏洩では、Trezorのデバイスやソフトウェア、リカバリーフレーズが侵害された形跡は確認されていない。つまり、デバイスを初期化して買い替える必要はなく、ウォレット内の資産が直接漏れたわけでもない。
ただし、攻撃者は漏洩した情報を使ってなんとかしてリカバリーフレーズを手に入れようとしてくる。デバイスの安全性を過信せず、人間の隙を突く攻撃に備えることが重要だ。
不安であれば、ウォレットのファームウェアを最新版に更新し、Trezor Suiteでデバイスの状態を確認しておくとよい。ファームウェア更新は公式アプリからのみ行い、更新中にリカバリーフレーズを求められることはないという点も覚えておく。
長期的に警戒すべきポイント
情報漏洩の影響は数日で消えるものではない。むしろ時間が経ってから、寝かせた情報を使って攻撃が来るケースがある。半年から1年以上は警戒を続けるつもりでいたい。
また、漏洩した住所は変更できない情報だ。引っ越しをしない限り、物理的リスクは残り続ける。防犯カメラの設置や、SNSで自宅の場所を特定されるような投稿を控えるなど、継続的な対策が現実的な防御になる。
暗号資産の保有額を公言しないことも重要だ。オンラインでもオフラインでも、自分がどれだけの資産を持っているかを話すことは、狙われるリスクを高めるだけだ。何を持っているか、どこに住んでいるか、どれだけ持っているか、この3つを結びつけさせないことが最大の防御になる。
よくある質問
Trezorを購入したかどうか覚えていないが、影響を受けたか確認できる？
現時点で公表されている情報では、影響を受けたかどうかを個人が直接確認する公式ツールは発表されていない。ただし、Trezorから通知メールが届いている場合は影響を受けている可能性が高い。配送情報を使った業者からの連絡が来たら、内容にかかわらず警戒するのが安全だ。
漏洩したアドレスを理由にウォレットを買い替える必要はある？
デバイス自体や秘密鍵が漏れたわけではないため、買い替えは必須ではない。ただし、リカバリーフレーズを一度も外部に伝えていないか、不審なサイトに入力していないかを確認しておくこと。心配ならデバイスを初期化して新しいウォレットを作り直し、資産を移すという選択肢もある。
フィッシングメールと本物のTrezorメールはどう見分ける？
最も確実な方法は、メール内のリンクを使わずに公式サイトへ直接アクセスすることだ。差出人の表示名が「Trezor」でも、実際のメールアドレスが公式ドメインと異なる場合は偽物の可能性が高い。少しでも怪しいと感じたら、メールを無視して公式サイトや公式SNSで情報を確認する。
家族にどこまで伝えればいい？
「暗号資産のサポートを名乗る連絡や訪問はすべて詐欺の可能性がある」と伝えるだけで十分だ。ウォレットの保管場所やリカバリーフレーズを家族に教える必要はない。むしろ、自分以外がリカバリーフレーズにアクセスできる状態はリスクを増やすため避けたい。
物理的な脅威を感じた場合はどうすればいい？
脅迫や不審な訪問を受けた場合は、ためらわず警察に通報する。特に訪問者が家に来た場合、ドアを開けずに110番通報するのが正しい対応だ。暗号資産を持っていることを隠す必要はなく、身の安全を最優先にする。記録のために、不審な連絡のスクリーンショットや日時を控えておくことも有効だ。
この記事のポイント
- 漏れたのはTrezor購入者の名前、連絡先、配送先住所で、デバイス自体は安全
- フィッシングメールとSMSのリンクは開かず、公式サイトから直接確認する
- リカバリーフレーズをWebサイトや電話で入力・伝達することは絶対にない
- 配送先住所の流出で物理的な脅威も想定し、防犯と家族との共有を行う
- 半年以上続く長期的な警戒と、保有情報を結びつけさせない意識が必要
「エミリーズ・クリプト・インサイダー」のリサーチ担当として、暗号資産の現場で日々生まれる疑問や悩みを丹念に追いかける。
Reddit や海外フォーラムに寄せられる声を読み解き、「初心者がつまずきやすいポイント」「経験者でも見落としがちな落とし穴
」を一つずつ記事として整理している。
専門的な話を誰もが理解できる言葉に置き換えることに全力を注ぐ。情報の正確さと読みやすさの両立を信条としている。