Signal
📡 Signal｜Coinbase、分析ツール Amplitude 経由で顧客の連絡先が流出
Coinbase は外部の分析ツール Amplitude の事案で顧客の連絡先の一部が影響を受けたと公表。自社システムへの侵入や資金への影響は否定した。2025年の事件との違いと、流出後に来る詐欺への備えを整理する。
Coinbase は10月27日 (米国時間)、サポートの公式 X で、顧客の連絡先の一部が外部の分析ツール Amplitude を経由して外に出たと明らかにした。Coinbase 自身のシステムに不正アクセスの形跡はなく、顧客の資金にも影響はないと説明している。
漏れたのは「連絡先」に限られ、パスワードや資金に触れる情報ではない。ただ、取引所の利用者だと分かっている人の連絡先は、なりすましの電話やメールの宛先表になる。2025年5月の事件と同じく、被害が出るとすれば流出そのものより、その後の詐欺の段階だ。
何が出て、何が出ていないか
Coinbase の説明は短い。分析ツールの提供会社 Amplitude でセキュリティ事案が起き、Coinbase の顧客の連絡先データの「ごく一部」に影響した。影響は Coinbase だけでなく、Amplitude の他の顧客企業にも及んでいる。
- Coinbase のシステムへの不正アクセス — 形跡なし
- 顧客の資金 — 影響なし
- 対象の顧客と規制当局 — 法的な義務に沿って通知している
明かしていないことも多い。影響した人数、連絡先のうちどの項目 (メールアドレス・電話番号など) か、事案が起きた時期は、いずれも公表していない。Amplitude 側の説明も、10月28日の時点で出ていない。
Amplitude は、アプリやウェブの中で利用者がどの画面を開き、どのボタンを押したかを集計する分析サービスだ。企業はこれを使って画面の使われ方を調べ、そのために利用者のデータの一部を預けている。
2025年の事件とは、入口が違う
Coinbase は2025年5月にも顧客情報の流出を公表している。当時の臨時報告書 (Form 8-K) によると、攻撃者は米国外でサポート業務に就く複数の委託先・従業員に金を払い、社内システムから情報を持ち出させた。氏名・住所・電話番号・メールアドレスに加え、社会保障番号の下4桁、政府発行の身分証の画像、残高の記録、取引履歴まで含まれていた。同社は対応と顧客への補償で1億8,000万〜4億ドルの費用を見込んだ。
今回の入口は、社内の人ではなく、Coinbase が使っている外部のソフトウェアだ。出たと説明されている範囲も連絡先に限られ、2025年より狭い。
一方で、守りにくさは今回のほうが上かもしれない。社内の人の不正は採用や権限の管理で絞れるが、外部の分析サービスに渡したデータは、その会社の安全対策に依存する。暗号資産の取引所は、分析・広告・顧客対応の多くを外部サービスに頼っている。どの取引所も、自社の外に顧客の名簿の断片を置いている。
連絡先が出たあとに起きること
連絡先の流出で直接お金が動くことはない。危ないのは、その連絡先に「Coinbase のサポート」を名乗る電話やメッセージが届くことだ。2025年の事件でも、同社が見込んだ費用には、だまされて資金を送った顧客への補償が含まれていた。
利用者の側でできることは限られるが、はっきりしている。取引所を名乗る連絡で、資金の移動・リカバリーフレーズの入力・遠隔操作のアプリの導入を求められたら、それは詐欺として扱う。連絡を受けたら一度切り、公式アプリやサイトから自分で問い合わせ直す。
次に見るもの
確認先は二つある。一つは Amplitude 自身の説明で、影響した企業の数と項目、時期がそこで初めて分かる。米ナスダックに上場する Amplitude は、事案を重要と判断すれば、判断から4営業日以内に米証券取引委員会 (SEC) へ臨時報告書 (Form 8-K の項目1.05) を出す必要がある。今週から来週にかけて EDGAR (SEC の開示検索) の Amplitude の欄を見る。もう一つは、Coinbase が対象の顧客に送る通知メールの文面で、項目の範囲が書かれているかどうかだ。
ことば
- Amplitude — アプリやウェブでの利用者の行動を集計する分析サービスの米企業。多くの企業が画面の改善や利用状況の把握に使う。今回は同社で起きた事案が、Coinbase を含む複数の顧客企業のデータに及んだ。
- Form 8-K の項目1.05 — 米上場企業がサイバーセキュリティ事案を重要と判断したときに出す臨時報告書の項目。2023年に SEC が導入し、判断から4営業日以内の開示を求める。Coinbase の2025年の事件もこの項目で開示された。
- ソーシャルエンジニアリング — 技術的な侵入ではなく、人をだまして情報や操作を引き出す手口。取引所の担当者を名乗る電話で資金を移させるのが典型で、流出した連絡先はその入口になる。
🔗 一次ソース
