コインベース、顧客情報流出と2,900億円の身代金要求発表

コインベースは5月11日、海外サポートスタッフによる内部関与で顧客情報が流出し、約2,900億円の身代金を要求されたと発表。

暗号資産（仮想通貨）取引所CoinBase（コインベース）は15日、海外のカスタマーサポートスタッフが関与したサイバー攻撃により、顧客情報が流出したと発表した。

攻撃者は顧客サポート業務を担当する外部スタッフを買収し、社内システムへ不正にアクセス。顧客の氏名、住所、電話番号、メールアドレス、政府発行の身分証明書画像などが盗まれた。

パスワードや秘密鍵は流出しておらず、資金への直接的な影響はないと報告されている。

2000万ドルの身代金要求と内部犯行の実態

ハッカーは、事件発生当日にコインベースへ電子メールを送付し、盗んだ顧客データを公表しない代わりにビットコイン（BTC）等の仮想通貨で2000万ドル（約29億円）の支払いを要求した。

同社はこれに応じず、逆に同額の懸賞金を犯人逮捕に繋がる情報提供者に支払うと発表した。

コインベースのフィリップ・マーティン最高セキュリティ責任者は「攻撃者はインドを拠点とする当社の業務委託先やサポート業務に関わる従業員や請負業者を見つけ出し、顧客データを入手するために買収した」と説明している。

同社は関与したサポートスタッフとの契約を即時解除し、米証券取引委員会（SEC）への規制報告と警察への通報を行った。攻撃の主犯格は米国外に所在しているとみられ、第三者委託先の管理体制やセキュリティプロトコルに課題があらためて浮き彫りとなった。

金融・評判リスクと今後の対応

今回の情報流出を受けて、コインベースの株価は6％以上下落。同社は事態の収拾と顧客補償を含めた損失総額が「約1億8000万ドルから4億ドル（約260億円から580億円）の範囲内」に達するとの見通しを示している。

コインベースによれば、被害を受けた顧客数は月間アクティブユーザー970万人の1％未満とのこと。しかし、流出した情報を使った「なりすまし」による二次被害の可能性が懸念されている。

コインベースは対策として米国内にサポート拠点を新設するほか、内部脅威の検知強化やセキュリティ監視の拡充を進めると表明。被害を受けた顧客に対しては、詐欺師にだまされておすすめ仮想通貨を送金してしまった場合の補償を実施するとしている。

今後は第三者委託の運用見直しや社員の信頼性チェックを含め、業界全体での体制強化が急務となっている。

また、専門家は今回の事件が仮想通貨投資を考える投資家にもサイバーセキュリティ対策の重要性を再認識させる契機となると指摘している。

Hideaki Wakabayashi

2021年に仮想通貨投資を始める。以降、同分野での専門的な知識を深めながら自身のブログ・ライターとしても活動。仮想通貨に関する深い理解を活かして複数のメディアで多くの記事を執筆。初心者に寄り添った簡潔な解説を得意とする。