Coinbase個人情報漏洩事件：外部委託のカスタマーサポートが買収され、インドの元従業員が警察に拘束される

Coinbase 個資外洩案出現突破，インド警察が関与した最初の元カスタマーサポートスタッフを逮捕、アウトソーシングスタッフがセキュリティの突破口となったことを確認し、ソーシャルエンジニアリングのリスクが全面的に浮上。

最初の逮捕行動が明らかに、インド警察が内部関係者を標的に

アメリカの暗号資産取引所Coinbaseの情報漏洩事件に重要な進展。インド警察は最近、Coinbaseのカスタマーサポート体制に勤務していた元社員を逮捕し、この重大なセキュリティ事件で最初に拘束された容疑者となった。CoinbaseのCEO、ブライアン・アームストロングが外部にてこれを確認し、インドハイデラバード警察の国際調査への積極的な協力に感謝を表明した。

画像出典：X/@brian_armstrong Coinbase CEOのブライアン・アームストロングが、以前漏洩した個人情報のインド人元社員が逮捕されたことを証明

アームストロングは、Coinbaseは内部の不正行為に対してゼロトレランスの姿勢を取り続け、世界中の法執行機関と協力して関与者の責任追及を行うと述べた。今回の逮捕は単一の行動ではなく、調査全体の出発点であり、今後もさらなる容疑者の特定が続く可能性がある。

2025年のセキュリティ事件を振り返ると、アウトソーシングされたカスタマーサポートが突破口に

この事件は、2025年に明らかになったCoinbaseの大規模なデータ漏洩事件に端を発している。当時、Coinbaseはハッカーがシステムの脆弱性を通じて侵入したのではなく、賄賂を用いてインドにあるアウトソーシングのカスタマーサポートと支援スタッフを買収し、不正にユーザの個人情報を取得したと説明した。

漏洩したデータには、氏名、メールアドレス、住所などの個人情報が含まれていたが、パスワードや秘密鍵などの重要な証明書には触れていなかったものの、その後のソーシャルエンジニアリング詐欺の行為を支えるに十分だった。Coinbaseは、2025年1月には内部のセキュリティチームが異常な活動を察知し調査を開始、最終的に5月に組織的な内部侵入を確認した。

当時のCoinbaseのセキュリティ責任者、フィリップ・マーティンは、攻撃者の主な戦略は、カスタマーサポートや業務プロセスのアウトソーシング（BPO）に関わる人員を正確に狙い、金銭的な誘導によって内部システムへのアクセス権を獲得することだと説明し、「人員リスク」が暗号産業のセキュリティの最も脆弱な部分になっていることを浮き彫りにした。

関連記事
Coinbase個人情報流出！カスタマーサポートのスマホに万件のユーザーデータ、各件200ドルでハッカーに売却

身代金未遂と高額損失、案件は国際司法を揺るがす

調査資料によると、ハッカーは情報を取得した後、Coinbaseに対して2000万ドルの身代金を要求し、支払わなければ漏洩情報を悪用し続けると脅した。Coinbaseは最終的に身代金の要求を拒否し、逆に同額の懸賞金を設定して、事件解決に役立つ重要な手掛かりを募集した。

同社は、今回の事件による直接的および間接的な損失は、ユーザー補償、セキュリティの強化、法的費用を含めて1億8千万ドルから4億ドルの範囲に及ぶと見積もっている。今回のインド警察の逮捕は、Coinbaseと複数国の法執行機関との協力の成果の一つだ。

特に注目すべきは、この調査はCoinbaseが近年インド市場に再参入した戦略とも絡み合って進められている点だ。約2年間の規制不確実性を経て、Coinbaseはインドでの運営とコンプライアンス戦略を再調整し、この事件は規制と市場に対してセキュリティガバナンスの決意を示す重要な一環と見なされている。

ソーシャルエンジニアリングが主流の脅威に、産業リスクが継続的に高まる

インドの事件以外にも、米国司法省は最近、ニューヨークでCoinbaseのカスタマーサポートを装った詐欺行為を摘発した。一名わずか23歳の容疑者は、公式スタッフを偽装し、ユーザーにアカウントのアクセス権を渡させ、約1600万ドルの損失をもたらし、被害者はほぼ100人にのぼる。

これらの事例は、2025年に暗号産業が直面する主要な脅威が、従来の技術的脆弱性から、情報漏洩を伴うソーシャルエンジニアリングや身分詐称に徐々に移行していることを示している。取引プラットフォームにとって、アウトソーシング管理の強化、内部監査、リアルタイムリスク検知の重要性は、システムの安全性と同等に重要な課題となっている。

最初の容疑者逮捕により、Coinbaseの資料漏洩事件は新たな司法段階に入ったが、全体の事件は世界の暗号産業に警鐘を鳴らしている。人手と国境を越えた運営に高度に依存する環境では、セキュリティの最も脆弱な部分は、コードではなく人間性にあることが多い。