デジタル金庫の侵害：LastPass、セキュリティ危機増大の中、20万ドルの仮想通貨盗難訴訟に直面
ユーザーとパスワードマネージャー間の脆弱な信頼を浮き彫りにする法的闘争は、業界全体を再構築する可能性を秘めている
デジタル版の銀行強盗とも言える事件で、匿名の仮想通貨投資家がLastPassに対して連邦訴訟を起こしました。訴状によると、同社のセキュリティ過失により、窃盗犯が投資家のデジタルウォレットから20万ドル相当のイーサリアムを抜き取ったとされています。ワシントン州西部地区連邦地方裁判所に提出されたこの訴訟は、2022年の壊滅的なデータ侵害に関連する複数の法的問題に既に揺れている同社にとって、最新の打撃となります。
金庫にならなかった仮想通貨保管庫
原告は、自身の貴重なイーサリアムウォレットのシードフレーズを安全なデジタル金庫だと信じて保管していましたが、LastPassが2022年のセキュリティインシデントの真の深刻さをユーザーに通知しなかったと主張しています。この侵害は、当初は封じ込められたように見えましたが、最終的に機密性の高い認証情報を含む暗号化された顧客の保管庫データが盗まれる結果となりました。
「これは単にお金が失われたという問題ではありません。根本的な信頼が裏切られたのです」と、この事件に詳しいあるサイバーセキュリティ専門家は匿名を条件に語りました。「ユーザーは、難攻不落の要塞として宣伝された場所に最も貴重なデジタルキーを預けましたが、壁が何ヶ月も前から侵害されていたことが判明したのです。」
訴訟では、LastPassの侵害により攻撃者が原告のシードフレーズ、つまり仮想通貨資産へのマスターキーを入手し、2024年2月の盗難につながったと主張されています。裁判所の文書によると、地方警察の捜査官は、この事件とLastPassの侵害を直接関連付けています。
連鎖するセキュリティ障害
2022年8月に単一のエンジニアの企業ノートパソコンへの不正アクセスという、一見限定的だった侵害は、セキュリティ研究者が最近の記憶の中で最も重大なデータ侵害の一つと評する事態に発展しました。
裁判所の文書は、懸念される時系列を明らかにしています。攻撃者はまずソースコードと技術情報を持ち出し、次にこの知識を利用して、2022年11月までに暗号化された顧客の保管庫バックアップにアクセスしました。LastPassは当初、保管庫データは安全であると保証していましたが、その後、攻撃者がブルートフォース攻撃によってユーザーのマスターパスワードを推測することに成功した場合、盗まれた情報が復号化される可能性があることを認めました。
「ここでの技術的な欠陥は多岐にわたります」と、同様のケースを分析してきたデジタルフォレンジック捜査官は述べました。「LastPassはパスワード保護のためにPBKDF2アルゴリズムを100,100回（10万100回）のイテレーションしか使用しておらず、セキュリティ専門家が推奨する業界標準の310,000回（31万回）のイテレーションをはるかに下回っていました。」
この技術的欠陥は、攻撃者がマスターパスワードを解読するために必要な計算量を大幅に減らし、あるセキュリティ研究者が「脆弱な暗号化標準と不十分な侵害開示という完璧な嵐」と表現する状況を作り出しました。
個別の事件から業界全体の決算へ
今回の訴訟は、LastPassに対する増加する訴訟に加わるものです。セキュリティ研究者は現在、150人以上の被害者から発生した3500万ドル以上の仮想通貨盗難がLastPassの侵害と関連していると指摘しており、これは高度な脅威アクターによる協調的かつ大規模な作戦を示唆しています。
LastPassとそのプライベートエクイティのオーナーであるFrancisco PartnersとElliottにとって、さらに不吉なことに、最近の司法省の宣誓供述書は、1億5000万ドルの仮想通貨強奪事件が解読されたLastPassの保管庫に関連していることを裏付けており、同社がこれまで個別の事件と特徴づけていた主張に連邦政府の信頼性が加わっています。
「我々が目の当たりにしているのは、従来のパスワードマネージャーのセキュリティモデルの崩壊です」と、機関投資家に助言するデジタルセキュリティコンサルタントは説明しました。「暗号化された保管庫は盗まれても安全であるという前提が、壊滅的に誤っていたことが証明されました。」
市場の動揺と投資の転換
この影響はLastPass自体をはるかに超えて広がっています。この事件は、パスワード管理業界全体におけるセキュリティリスクの広範な再評価を引き起こし、投資家やユーザーは、異なるセキュリティアーキテクチャに基づいたソリューションをますます好むようになっています。
Bitwardenのようなオープンソースの代替品は採用が急増しており、最近ストックホルムの主要市場に上場したYubicoのようなハードウェアベースのセキュリティプロバイダーは、LastPass事件後、ユニット販売で前年比40%以上の成長を報告しています。
「市場はリスクの根本的な再調整を経験しています」と、テクノロジー投資アナリストは指摘しました。「資金は、独立して監査可能なオープンソースのコードベースを持つものや、暗号化キーをクラウドサービスから物理的に分離するハードウェアを基盤とするセキュリティを使用するものなど、実証的に安全なソリューションに流れています。」
表：LastPass ビジネスモデルキャンバスの概要（2025年）
| 構成要素 | 主要な詳細 |
|---|---|
| 主要パートナー | マネージドサービスプロバイダー（MSP）、IDプロバイダー、テクノロジーパートナー |
| 主要活動 | 製品開発、セキュリティ、チャネル販売、顧客サポート |
| 主要リソース | クラウドプラットフォーム、セキュリティチーム、ブランド、知的財産、顧客基盤 |
| 価値提案 | 企業および個人向けの安全で簡単なパスワード管理 |
| 顧客関係 | セルフサービスオンボーディング、専用サポート、トレーニング、コミュニティ |
| チャネル | 直接販売、パートナー、オンライン、アプリストア |
| 顧客セグメント | 大企業、中小企業（SMB）、MSP、個人、家族 |
| コスト構造 | 研究開発、クラウド運用、サポート、営業/マーケティング、コンプライアンス |
| 収益源 | サブスクリプション（B2B、B2C）、アドオン、チャネル収益 |
| 主要製品 | LastPass Business、Teams、Premium、Families、Free Plan |
| 財務（2025年） | 推定年間収益：1億4940万ドル；高いSaaSマージン、収益性は非公開 |
技術的負債の代償
この訴訟は、侵害の深刻さに貢献したとされる特定の技術的欠陥を浮き彫りにしています。不十分な暗号化標準に加え、原告はLastPassのバックエンドアーキテクチャが致命的な単一障害点を作り出し、あるDevOpsエンジニアの侵害された認証情報が最終的に顧客の保管庫バックアップへのアクセスを可能にしたと主張しています。
批判者はまた、主要な競合他社が既に採用していたパスワードのより安全な代替手段であるパスキー技術のLastPassによる導入の遅れを指摘しています。同社がベータ版のパスキーサポートを提供開始したのは2024年後半であり、競合他社よりはるかに遅れ、最初の侵害から2年以上後のことでした。
「これは、セキュリティ企業が基盤よりも成長を優先した結果です」と、競合他社の元セキュリティ幹部は述べました。「技術的負債は静かに蓄積され、最終的には壊滅的に破綻するのです。」
財政的リスクと将来の見通し
約3300万人の一般ユーザーと10万の法人アカウントを抱えるLastPassは、多大な財政的リスクに直面しています。業界アナリストは、同社のサイバー保険の補償額が5000万ドル未満であると推定しており、裁判所が様々な訴訟を多地区訴訟として統合した場合、法的責任をカバーするには不十分な可能性があります。
2021年のスピンオフ契約で同社を買収したLastPassのプライベートエクイティオーナーにとって、財務計算はますます困難に見えます。アナリストは、顧客離反により年間経常収益が20%以上減少する可能性があり、補償的損害賠償と懲罰的損害賠償の両方を考慮すると、訴訟和解金の総額は5億ドルを超える可能性があると予測しています。
今後の展開：勝者と敗者
法的プロセスが進むにつれて、いくつかの重要な進展が業界の状況を形作るでしょう。2025年第3四半期に予定されている多地区訴訟の統合に関する裁判所の決定は、証拠開示プロセスを加速させ、和解費用を増加させる可能性があります。2025年第4四半期の法人顧客の更新サイクルは、解約率と収益への影響に関する最初の具体的なデータを提供するでしょう。
投資家にとって、この危機はリスクと機会の両方を生み出します。
- Yubicoのようなハードウェアセキュリティプロバイダーは、パスキーの採用加速から恩恵を受けるでしょう。
- オープンソースの保管庫プロバイダーは、ネットワーク効果が拡大するにつれて機関投資家の投資が増加する可能性があります。
- ハードウェアセキュリティ統合や透明なセキュリティモデルを持たない従来のパスワードマネージャーは、構造的な逆風に直面するでしょう。
「我々が目の当たりにしているのは、危機にある企業というだけでなく、移行期にある業界でもあります」と、サイバーセキュリティ投資家は結論付けました。「勝者となるのは、セキュリティにおいて透明性は選択肢ではなく、アーキテクチャが機能よりも重要であることを認識する企業でしょう。」
免責事項：本分析は公開情報に基づいたものであり、投資助言を構成するものではありません。過去の実績は将来の結果を保証するものではありません。個別のガイダンスについては、金融アドバイザーにご相談ください。