Coinbase 2025年買収された海外のサポート担当

破られた仕組みは無い。米国の外で働くサポート担当が金で買われ、仕事のために与えられていた権限のまま、顧客の情報を写して渡した。個々の不正は数か月前に検知され、担当は解雇されていたが、1つの攻撃と分かったのは恐喝のメールが届いてからだった。

2025年5月11日に恐喝のメールを受け、5月14日に公表した件[1][2]。州への届け出では、漏れの始まりは2024年12月26日、影響を受けた人は69,461人[3]。パスワード、秘密鍵、顧客の資金には届いていない[1]。Coinbase は2025年に、この件で顧客への補償と直接の法務の費用として3億1,120万ドルを支払った[5]。2026年2月12日の年次報告で、政府の調査と訴訟が続いているとし[5]、2026年10月29日の四半期報告では、2026年1月から9月にこの件の回収が損失を4,369万ドル上回った[6]。2026年11月時点の公開資料で書いています。

要点

攻撃者は、米国の外でサポートの役割を担う複数の委託先の人か社員に金を払い、仕事のために触れられた社内の仕組みから顧客の情報を集めさせた。
取られたのは、氏名、住所、電話、メール、社会保障番号の下4桁、伏せた口座番号、身分証の画像、残高と取引の履歴、サポート担当が見られる社内の文書だった。
狙いは、Coinbase を装って顧客に連絡し、暗号資産を移させる名簿を作ることだった。その上で、黙っている見返りに2千万ドルを要求した。
個々の不正な閲覧は、それまでの数か月の監視で検知され、担当は解雇されていた。別々の件として扱われ、1つの攻撃と結び付いたのは恐喝の後だった。
根本の守りは、担当が開ける顧客を受け持ちの案件に限り、見せる項目を案件に要る分に限ること。閲覧の量と組み合わせを見て、個々の検知を1つに結ぶ。

何が起きたか

図1 漏れの始まりから公表までの段

日付	出来事
2024年12月26日	Coinbase がメイン州の司法長官へ出した届け出で、漏れが起きた日とされた日。原因の区分は内部の者の不正[3]
公表の前の数か月	業務の必要なしに情報を見る担当を、社内の監視が件ごとに検知していた。見つけるたびに担当をすぐ解雇し、詐欺の監視を強め、情報を見られた恐れのある顧客に注意を送っていた[1]
2025年5月11日	子会社の Coinbase, Inc. に、正体の分からない者からメールが届く。一部の顧客の口座の情報と、サポートと口座の管理の仕組みに関わる社内の文書を持っているとし、公開しない見返りに金を要求した[1]。要求は2千万ドルだった[2]
5月11日以降	Coinbase はメールを信用できると判断し、それまでの不正な閲覧が、社内の仕組みからデータを取ることに成功した1つの攻撃の部分だったと結論した。要求には応じず、捜査に協力するとした[1]
2025年5月14日	Coinbase がブログで公表する。身代金を払わず、代わりに犯人の逮捕と有罪につながる情報へ2千万ドルの報奨の基金を作るとした。影響は、月に取引する利用者の1%未満とした[2]。米国証券取引委員会への報告の日付もこの日[1]
2025年5月15日	米国東部時間の午前7時20分に、影響を受けた顧客へのメールの通知を送り終える[2]。米国証券取引委員会へ Form 8-K を出す。対策と顧客への補償の費用を、暫定で約1億8千万ドルから4億ドルと見積もった[1]
2025年5月30日	影響を受けた人へ書面で通知する。69,461人。1年の信用の監視と、なりすましの補償を付けた[3]
2025年7月31日	四半期報告で、4月から6月のこの件の損失を3億665万ドルとし、そのうち2億5,340万ドルを補償として支払ったと書く[4]
2026年2月12日	年次報告で、2025年の支払いを3億1,120万ドル、損失を回収を差し引いて3億4,518万ドルとする。政府の調査、規制の当局の精査、続く訴訟の危険が残るとした[5]

委託先の会社の名前と、担当の処分の先

報道では、サポートを請け負っていた会社の名前や、海外での逮捕が伝えられた。Coinbase の報告とブログは、米国の外でサポートの役割を担う複数の委託先の人か社員、と書くだけで、会社の名前も国も挙げていない[1][2]。誰がどの罪に問われたかも、公表資料には無い。

通った道筋

図2 買収から恐喝までの道筋。Coinbase の報告とブログによる

段	公表されたこと
買う	攻撃者は、米国の外でサポートの役割を担う複数の委託先の人か社員に金を払った[1]。ブログは、海外のサポート担当を狙い、現金の申し出で少数の内部の者を動かしたと書く[2]
集める	担当は、仕事のために触れられた社内の仕組みから情報を集めた[1]。対象は、月に取引する利用者の1%未満の、サポートの道具にあるデータだった[2]
取られた物	氏名、住所、電話、メール。社会保障番号の下4桁。伏せた口座番号と一部の口座の識別子。運転免許証や旅券の画像。残高の写しと取引の履歴。サポート担当が見られる文書、研修の資料、連絡[1]
取られなかった物	ログインの資格情報、2段階認証のコード、秘密鍵、資金を動かす力、機関投資家向けの口座、ホットとコールドのウォレットへの接近[2]
使う	Coinbase を装って顧客に連絡し、暗号資産を渡させる名簿にすることが狙いだった。その上で2千万ドルを要求した[2]

社会保障番号と口座番号は伏せてあった。それでも、身分証の画像と残高と取引の履歴が一緒に見えれば、本物の社員でなければ知らないはずの事を言える。なりすましの電話の信用を作るには、それで足りる。伏せた項目より、伏せていない項目の組み合わせが価値を持った。

サポートの道具の権限

次は架空の会社のサポートの道具で、担当が顧客の記録を開く API である。

悪い例。担当の役割があれば、誰の記録でも全部の項目を開ける

// support-api.js  架空の例
app.get("/support/customers/:id", requireRole("agent"), async (req, res) => {
  res.json(await Customers.full(req.params.id));   // 身分証の画像も残高も履歴も
});

直した例。受け持ちの開いた案件の顧客だけ、案件の種類に要る項目だけを開ける

// support-api.js  架空の例
app.get("/support/tickets/:ticketId/customer", requireRole("agent"), async (req, res) => {
  const t = await Tickets.find(req.params.ticketId);
  if (!t || t.assignee !== req.user.id || t.status !== "open") return res.sendStatus(404);
  await audit.write({ agent: req.user.id, customer: t.customerId, ticket: t.id, at: Date.now() });
  if (await views.countToday(req.user.id) > DAILY_LIMIT) await alerts.raise("閲覧の量", req.user.id);
  res.json(await Customers.view(t.customerId, FIELDS_BY_CATEGORY[t.category]));
});

受け持ちの案件に限れば、担当は好きな顧客を選んで開けない。案件を作る経路と、担当に割り振る経路は、担当自身が動かせない所に置く。
身分証の画像は、本人確認の案件でだけ、確認の担当にだけ出す。残高と履歴の全部は、出金の問い合わせでも要らないことが多い。
記録の書き先は、担当と担当の上長が消せない所にする。閲覧の量の閾値は、担当ごとのふだんの量から決める。

対象ごとに認可を掛ける考え方は A01 アクセス制御の不備の型1にある。この件の担当は外から来た者ではなく、正規の担当として正規の画面を使った。だから、判定は役割では足りず、どの顧客の、どの項目を、なぜ開くかの単位で要る。

どこで止められたか

図3 段ごとの止める所

止める所	この件で	限り
受け持ちの案件の顧客だけを開ける	担当は、仕事のために触れられた仕組みから、業務の必要なしに情報を集めた[1]	担当が案件を作れるなら、案件を作って開ける。案件を作る経路も担当から離す
案件に要る項目だけを見せる	番号は伏せてあったが、身分証の画像、残高、履歴が取られた[1]	本人確認の担当には画像が要る。その役割の人数と拠点を絞り、閲覧を記録する
個々の検知を1つの攻撃として疑う	不正な閲覧は数か月にわたって件ごとに検知され、担当は解雇されたが、1つの攻撃と結論したのは恐喝の後だった[1]	解雇しても、すでに写されたデータは戻らない。検知した時点で、外へ出た前提で顧客を守る手を打つ
どこの誰が何を開けるかを把握する	担当は米国の外の委託先の人か社員だった[1]。Coinbase は米国に新しいサポートの拠点を開き、全部の拠点で統制と監視を強めるとした[1][2]	拠点を移しても、金で動く人はどこにもいる。拠点より、1人が開ける範囲の方が効く
漏れた後のなりすましを効かなくする	Coinbase は、印を付けた口座の大きな出金に追加の本人確認を求め、詐欺への注意を出すようにした。だまされて資金を送った顧客には補償するとした[2]	名簿は消せない。この顧客たちへのなりすましの連絡は、この先も続く前提で備える

ベネッセ 2014年、NTT西日本グループ 2023年と比べる

どれも、外から入られたのではなく、仕事のために権限を与えられた委託先の人が、正規の画面と経路で顧客の情報を持ち出した。

項目	ベネッセ 2014年	NTT西日本グループ 2023年	Coinbase 2025年
誰が	グループ会社の業務委託先の社員	保守の派遣社員	米国の外のサポート担当[1]
動機	本人が名簿業者へ売った	本人が名簿業者へ売った	外の攻撃者に買われた[2]
気付き	顧客からの問い合わせ	委託元の捜査の依頼を受けた警察の捜索	件ごとに検知。全体は恐喝で分かる[1]

詳しくはベネッセ 2014年と NTT西日本グループ 2023年にある。外の攻撃者が委託先の人を足がかりにした例は Uber 2022年にある。Coinbase の件の新しさは、持ち出す人を外の攻撃者が金で集め、複数の担当から少しずつ集めた点にある。1人の量の閾値だけでは、少しずつの多人数は見えにくい。

守り方

根本の直し方

サポートの担当が開ける顧客を、受け持ちの開いた案件の顧客に限る。役割だけで全部の顧客を開ける形を残さない。判定は A01 アクセス制御の不備の根本の直し方のとおり、サーバーで要求ごとに対象の単位で掛ける。
見せる項目を案件の種類ごとに決め、それ以外は出さない。身分証の画像と、残高と履歴の全部は、要る役割に限る。
閲覧の記録を、担当の組織と別の権限の所へすぐ送る。検知した不正な閲覧は1件ずつ閉じず、同じ時期、同じ拠点、同じ顧客の層で束ねて、1つの攻撃の部分でないかを調べる。
委託先の拠点にも、自社と同じ権限の決まりと監視を掛け、どの拠点の誰がどの顧客の何を開けるかを一覧にする。

緩和の策

担当ごとの閲覧の数を、ふだんの量と比べて警告にする。回数の上限の考え方は A06 安全性を欠いた設計の回数と量の上限の節にある。
案件に結び付かない囮の顧客の記録を置き、開いた時点で確度の高い警告にする。置き方は A09 セキュリティログとアラートの不備の警告と保全の節にある。
不正な閲覧を検知したら、見られた恐れのある顧客に、なりすましへの注意と、出金の送り先の許可の一覧を勧める。Coinbase は検知のたびに顧客へ注意を送っていた[1]。
会社は電話でパスワード、2段階認証のコード、資金の移し先を聞かない、と顧客に繰り返し知らせる。Coinbase はこの件でそれを顧客に示した[2]。
買収の申し出を受けた担当が会社へ知らせる窓口を作り、知らせた人を守る。

参照

Coinbase Global, Inc. Form 8-K Item 1.05 Material Cybersecurity Incident 米国証券取引委員会への報告、報告日2025年5月14日、提出2025年5月15日
Protecting Our Customers - Standing Up to Extortionists Coinbase、2025年5月14日。Internet Archive の2026年10月24日の控えで読んだ
Data Breach Notifications Coinbase, Inc. メイン州司法長官、2025年5月の届け出。Internet Archive の2026年6月7日の控えで読んだ
Coinbase Global, Inc. Form 10-Q 2025年6月30日に終わる四半期米国証券取引委員会への報告、2025年7月31日提出
Coinbase Global, Inc. Form 10-K 2025年12月31日に終わる年度米国証券取引委員会への報告、2026年2月12日提出
Coinbase Global, Inc. Form 10-Q 2026年9月30日に終わる四半期米国証券取引委員会への報告、2026年10月29日提出

Coinbase 2025年 買収された海外のサポート担当

要点