イスラエル最大級の規制対象仮想通貨ブローカー、顧客20万件の情報漏えいを調査

イスラエル最大級の規制対象仮想通貨ブローカーであるBits of Goldが、最大20万人の顧客に影響し得る個人情報の漏えいを調査していると、イスラエルの報道機関Calcalistが報じた。同社はイスラエル資本市場庁が発行する9件の仮想資産サービスプロバイダー(VASP)ライセンスの一つを保有し、登録顧客数は約30万人に上る。

報道によれば、流出した情報には氏名、国民ID番号、メールアドレス、IPアドレス、電話番号が含まれるとされる。一方でBits of Goldは、資金や暗号資産、口座パスワード、身分証明書の写し、クレジットカード情報は今回の事案の影響を受けていないとしている。

背景にあるソフトウェアサプライチェーン侵害

同社の見立てでは、自社が直接標的にされたわけではないという。侵害の発端は、カスタマーサポートやデータ分析ツールとして利用していたサードパーティ製ソフトウェアベンダー側のセキュリティ不備にあるとされ、この侵害はBits of Goldだけでなく世界の他の企業にも影響を及ぼしたとみられている。同社は該当のサポートシステムへの不正アクセスを確認した後、直ちにアクセスを遮断し、基盤となるデータソースからも切り離した。

対応の状況

Bits of Goldによると、同社のセキュリティチームはサイバーインシデントの調査・対応を専門とする外部企業と協力しながら、今回の事案について包括的な調査を開始しており、関係するイスラエル当局にもすでに通報したという。今回の初期開示の時点では、影響を受けた顧客の正確な人数や、システムが侵害されたサードパーティベンダーの名称は明らかにされていない。

関連記事: ENSトークン保有者、6500万ドルの基金を新設の正式財団へ

規制ライセンスだけでは防げないベンダーリスク

今回の事案は、規制上のライセンス取得だけでは十分に対処できないリスクの存在を浮き彫りにしている。VASPライセンスが対象とするのは、企業が顧客資金をどう扱い、金融規制にどう準拠するかであって、そのサポート体制に組み込まれるあらゆるサードパーティベンダーのセキュリティ態勢までは対象としない。モバイルアプリの提供元からハードウェアウォレットメーカーに至るまで、あらゆる種類の暗号資産プラットフォームにおいて、最も脆弱なセキュリティ上の穴は自社のコア製品自体ではなく、その周辺に組み込まれた日常的なカスタマーサービスや分析ツールに存在するケースが増えている。