失われたはずの注文データが8万人分漏洩：Trezor事件が問う「削除」の信用

削除したはずのデータが、8万人分残っていた

2025年4月、ハードウェアウォレット大手Trezorの配送委託先で情報漏洩が発生し、新たに米国顧客約6万7千人を含む約8万人分の注文情報が影響を受けた。注目すべきは、漏洩したデータが2019年から2021年までの注文情報であり、しかも「削除されたはずだった」という点だ。

依頼主であるTrezorは委託先に対してデータ削除を指示していたが、実際にはバックアップやログの残存により、情報が完全に消えていなかった。この事件は、私たちが何気なく信じている「データを消しました」という言葉の信用を根底から揺るがす。

委託先に消えないコピーが残る構造的リスク

現代の企業は、顧客情報を自社で管理するだけでなく、配送、マーケティング、サポートなど多くの外部業者にデータを預ける。Trezorの場合、配送委託先が顧客の名前、住所、メールアドレスを保持していた。委託契約には通常、業務終了後のデータ削除条項が含まれるが、実際に削除が実行されたかどうかを確認する仕組みは第三者にはほぼ存在しない。

今回のケースでは、削除対象から漏れた2019〜2021年のデータが、委託先のバックアップシステムや開発用環境に残っていた可能性が高い。一度コピーされたデータは、元のファイルを消しても別の場所に複製が残れば、それは「存在し続ける」。デジタルデータの複製コストは限りなくゼロに近く、管理の網からこぼれ落ちたコピーが後日発覚するという構造的なリスクを、この事件は浮き彫りにした。

さらに深刻なのは、漏洩した情報がウォレットユーザーの住所や本人確認情報と結びついていたことだ。暗号資産の保有者は、物理的な住所と資産の関連性を特定されることで、フィッシング詐欺や強盗の標的になる可能性がある。データの「消えなさ」は、単なるプライバシー問題ではなく、物理的な安全に関わる問題にも発展しうる。

「削除」は幻想であり、「保存」こそが現実

私たちはクラウドサービスでファイルを「ゴミ箱」に入れ、空にすれば消えた気になる。しかし実際には、バックアップ、スナップショット、監査ログなど、複数の層にデータは残り続ける。法的な保存義務を持つデータもあれば、ユーザーが削除を求めても完全な消去が難しいケースもある。

Trezorの事件が示すのは、データの「削除」が技術的に困難である一方で、企業は削除を約束し、ユーザーはそれを信じているという矛盾だ。暗号通貨取引所の破綻時にも、顧客データが売却された事例は少なくない。どのサービスにデータを預けるかという選択は、実は「削除ポリシー」ではなく「保存の透明性」で判断すべきではないか。

ここで考えたいのは、データのライフサイクルを最初から「保存するもの」と「保存しないもの」に分け、保存するデータには明確な責任と仕組みを持たせることだ。例えば、法的に保存が必要な書類や、消えては困らない重要なファイルは、第三者による削除の判断に委ねるのではなく、自分自身で確実に保存する手段を持つ。

預ける時代から、所有する時代へ

Trezorの事件は、暗号資産ウォレットという「自己管理の象徴」を提供する企業が、その裏側で伝統的な委託ビジネスに依存していたという皮肉を浮き彫りにした。ユーザーは秘密鍵を自分で管理していても、住所や注文履歴といったメタデータは企業の委託先に預けざるを得ない。データの主権は、どこまで行っても自分には戻ってこない。

一方で、技術的には、データを自分自身の管理下に置きながら、永続的に保存する方法が登場している。Arweaveのような分散型ストレージは、一度書き込まれたデータを半永久的に保持する仕組みを提供する。そこでは「削除」の概念が最初から存在せず、代わりに「何を永久に残すか」をユーザーが自ら選択する。データの保存に際し、事前にコストを支払うことで、サービスの終了や企業の倒産と無関係にデータが残り続ける。

これは単なる技術的な代替手段ではなく、データに対する考え方の転換だ。信頼できる第三者に預け、不要になったら削除を依頼する——そんな従来モデルが限界を迎えつつある今、私たちは「残すデータ」を自らの責任で選び、確実に保存するための手段を持つべきではないか。

Trezorの8万人の顧客は、削除されたはずのデータが今もどこかで存在し続けているという現実を突きつけられた。データの完全な消去が不可能に近いならば、私たちは最初から「永久に残る」ことを前提に、何を保存するかを設計するしかない。長い時間軸で見たとき、データの主権は、削除を頼む相手ではなく、保存の仕組みを自ら選び取ることによって初めて手に入るのだ。