Ledger представил подробности утечки данных пользователей

Crypto Pizza

14 января 2021

Время на прочтение 5 мин.

Утечка данных длилась с апреля по июнь 2020 года.
Она была более масштабной, чем предполагалось изначально. В сеть утекли данные 292 000 пользователей.
Ledger работает с правоохранительными органами и аналитическими компаниями для поиска злоумышленника.
Ledger сформировала фонд в размере 10 BTC, который будет использоваться для выплаты награды за предоставление значимой информации.
Компания сообщила, что применит ряд нововведений для повышения безопасности.

В конце декабря 2020 года база данных пользователей Ledger попала в открытый доступ. Тогда же сообщалось, что это те самые данные, которые были проданы в сети Интернет в середине 2020 года. Компания Ledger представила подробный отчет об инциденте.

Утечка данных происходила с апреля по июнь 2020 года. Она стала возможна из-за злонамеренных действий сотрудников онлайн-магазина Shopify. Ledger пользовалась услугами этой компании для продажи своих аппаратных кошельков. Злоумышленник получил доступ к API магазина и воровал данные клиентов Shopify, включая информацию о покупателях Ledger.

14 июля 2020 года стало известно, что в сеть попали более миллиона адресов электронной почты и 9 500 записей персональных данных — номера телефонов, имена и почтовые адреса. В течение нескольких следующих месяцев пользователи Ledger неоднократно сообщали о получении фишинговых сообщений и угроз. При этом некоторые из них отмечали, что никогда не пользовались услугами онлайн-магазина Shopify. Помимо этого злоумышленники осуществили несколько атак на владельцев аппаратных кошельков путем подмены SIM-карт.

Однако до декабря 2020 года Ledger не знала о том, что в сеть утекли данные еще 272 000 клиентов. 21 декабря 2020 года Shopify выяснил, что кража коснулась пользователей Ledger. 23 декабря 2020 года интернет-сервис сообщил, что утечка информации связана с инцидентом, который произошел в сентябре 2020 года. Тогда это затронуло более 200 продавцов.

После проведения тщательного расследования выяснилось, что общее количество людей, чья личная информация попала в открытый доступ, составляет 292 000.

Представители Ledger отметили, что на данный момент работают с правоохранительными органами и аналитическими компаниями, включая Chainalysis. Они намерены найти злоумышленника, который стоит за этой атакой. Компания сформировала фонд в размере 10 биткоинов, который будет использоваться для выплаты награды тем, кто предоставит значимую информацию по этому делу.

Ledger обращает внимание, что ни при каких обстоятельствах не попросит предоставить фразу для восстановления доступа к кошельку. Даже если данные клиента попали в сеть, но фразу из 24 слов он хранит в надежном месте, его активы никто не сможет украсть. Также компания обещает в скором времени анонсировать новый продукт, который защитит криптовалюту даже в том случае, если пользователь предоставил фразу для восстановления доступа третьим лицам.

«Мы понимаем, что существует такая проблема, поэтому в скором времени представим решение, позволяющее уйти от использования 24 слов как от единственного способа защиты средств. Также мы намерены представить инструменты страхования активов», — говорится в анонсе.

Помимо этого Ledger намерена изменить принцип работы с персональными данными. Когда пользователь заказывает аппаратный кошелек напрямую у компании, она собирает личную информацию для отправки заказа. Правила бухгалтерского учета и юридические обязательства требуют от Ledger, чтобы она хранила эту информацию в течение какого-то времени. Однако компания все же намерена изменить способ обработки данных. Какие меры планируются?

Удаление личных данных клиентов, включая имя, адрес и номер телефона. Ledger призывает сторонних поставщиков услуг хранить эту информацию как можно меньше времени. Например, выполнить заказ и сразу же ее удалить.
Снижение количества мест, где отображается личная информация. Например, сейчас эти данные находятся в электронном письме, которое отправляется после оплаты для подтверждения заказа. Это правило хотят упразднить.
Изменение модели обмена сообщениями. Теперь информация будет передаваться исключительно через Ledger Live.
И также Ledger намерена провести тщательный анализ всех посредников, с которыми взаимодействует пользователь, чтобы убедиться, что они соблюдают все нормы безопасности.

Читайте разбор кейса Ledger и о том, каких мер безопасности придерживаться, чтобы уберечь свои монеты на кошельках в нашем отдельном материале.

Возможно вы пропустили: