(EN/FR/ES/DE) Violation de données e-commerce et marketing FAQ

Perte de confidentialité de données de e-commerce et marketing - FAQ

Le 14 juillet, un chercheur nous a contactés via notre programme de primes pour nous informer d’une faille de sécurité sur notre base de données de commerce électronique et de marketing. Nous avons immédiatement mis un terme  à la violation de données et lancé des enquêtes internes. Nous avons constaté que les données avaient fait l’objet d’un accès non autorisé. Vos fonds sont en sécurité.

Le 20 décembre, nous avons été informés de l’exposition d’une base de données clients de Ledger. Nous pensons qu’il s’agit du contenu de notre base e-commerce du mois de juin 2020.

Le 23 décembre, Shopify, notre fournisseur de services de commerce en ligne nous a notifié un incident impliquant des données de ses marchands au cours duquel un ou plusieurs membres malhonnêtes de leur service client ont obtenu des données transactionnelles, y compris certaines de Ledger.

Vous trouverez ci-dessous les réponses aux questions fréquemment posées. Pour tous les détails concernant la violation de données, nous vous invitons à vous référer à cet article de blog.

Mes données personnelles (nom, adresse, numéro de téléphone) sont-elles compromises ?

Après avoir découvert la brèche en juillet, nous avons envoyé un e-mail à l’ensemble des 9 500 clients pour lesquels les informations dont nous disposions indiquaient que leur données personnelles avaient été divulguées. Si vous n’aviez pas reçu cet e-mail à ce moment, cela signifie que nous n’avions aucune preuve que vos données personnelles avaient été divulguées, à l’exception de votre adresse e-mail.

Après avoir été informés du transfert de données du 20 décembre, il est apparu clairement qu’un sous-ensemble plus important que les 9 500 clients initiaux avait vu ses données personnelles exposées. Nous avons envoyé un e-mail à tous les clients de ce sous-ensemble (~272 000 personnes). Si vous faisiez partie de ce sous-ensemble vous avez reçu le 21 décembre 2020 un e-mail spécifique vous en informant.

Le 13 Janvier 2021, nous avons envoyé une communication aux environ 292 000 clients impactés par la violation de données Shopify. Si vos données ont été compromises au cours de la violation de données Shopify vous avez été notifiés par email. Le titre de l’email est “SECURITY NOTICE: Ledger included in Shopify database breach”. Ce mail a été envoyé autour de 16:00 CET le 13 janvier 2020.

Que s’est-il passé lors de la perte de confidentialité de données du mois de juillet 2020?

Une personne a mené une attaque pour obtenir l’accès à une partie de notre base de données e-commerce et marketing au travers d’une clé API tierce qui était mal configurée sur notre site web, ce qui a permis un accès non autorisé aux informations de contact de clients et à leurs commandes.

Qui est cette solution tierce ? Pourquoi utilisaient-ils des données client ?

Les équipes e-commerce et marketing de Ledger utilisent une solution tierce (Iterable) pour analyser les transactions et envoyer des emails marketing aux clients qui ont acheté des produits sur ledger.com, ou qui se sont abonnés à nos newsletters.

Depuis quand ce problème existe-t-il ?

La mauvaise configuration de la clé d’API tierce en question était présente depuis le 9 août 2018. Sur la base des preuves et des registres dont nous disposons, nous pensons qu’elle a été découverte et exploitée d’avril 2020 jusqu’au 28 juin 2020. 

Que s’est-il passé avec Shopify?

Le 23 décembre 2020 nous avons reçu une notification de notre fournisseur de service e-commerce, Shopify, au sujet d’un incident visant les données de ses marchands.  Au cours de cet incident, un ou des agents malhonnêtes du support client de Shopify ont obtenu des fichiers des transactions de plusieurs marchands, dont ceux de Ledger. Le ou les agents ont exporté illégalement les données de transactions de clients Ledger aux mois d’avril et de juin 2020. D’après Shopify, cet incident est en lien avec celui communiqué en septembre 2020 qui a impacté plus de 200 marchands. Shopify n’a découvert que le 21 décembre 2020 que Ledger était également concerné par cette attaque. Shopify nous a communiqué qu’ils avaient engagé des experts de l’analyse des attaques informatiques, ainsi que des juristes pour continuer d’enquêter sur cette affaire. Ils nous ont aussi informés avoir effectué un signalement auprès des autorités judiciaires, à la fois au Canada et aux Etats-Unis.

En collaboration avec le prestataire de services en cybersécurité (Orange Cyberdefense), nous avons pu déterminer que l’incident affecte environ 292 000 clients. Bien que la base de données soit à 93% similaire à celle divulguée lors de l’attaque précédente, nous avons constaté qu’environ 20 000 clients supplémentaires étaient impactés par cette violation, incluant leurs emails, noms, adresses postales, numéros de téléphone et produit(s) commandé(s). 

Si vous avez commandé un produit Ledger fin juin 2020 ou si vous avez acheté votre produit ailleurs que sur Ledger.com, vos données n’ont pas été divulguées.

Quels types de données ont été compromises à partir de la base de données clients de Ledger ?

Dans les deux cas, c'est  la base de données de commerce électronique et de marketing qui a été divulguée. Elle contient des e-mails, des noms et prénoms, des numéros de téléphone et des adresses postales, ainsi que le type de produit acheté.

Elle n’inclut aucune information concernant les cartes bancaires.

Nous savons maintenant qu’environ 1 million d’adresses e-mail ont été divulguées ainsi qu’environ 292 000 ensembles d’informations personnelles plus détaillées comprenant le prénom, le nom, le numéro de téléphone, l’adresse postale et les produits achetés.

Pourquoi avez-vous communiqué sur 9 500 ensembles de données personnelles, et non 272 000 lors de la première perte de confidentialité de données ?

La détermination du nombre d' ensembles de données personnelles (nom, adresse physique, numéro de téléphone) qui a été effectuée en juillet 2020 était basée sur l’analyse à posteriori par notre cabinet de conseil en cybersécurité qui n’a obtenu des preuves que pour 9 500 personnes. Les registres analysés n’avaient permis d’identifier spécifiquement qu’un peu plus de 9 500 personnes pour lesquelles des informations personnelles plus détaillées avaient été obtenues par les attaquants. Nous pouvons désormais vérifier, à partir de la base de données publiée, que des informations personnelles détaillées (nom, adresse postale, numéro de téléphone) d’environ 272 000 utilisateurs ont été obtenues.

Les brèches ont-elles été corrigées ?

Dès que nous l’avons découverte, cette brèche a été corrigée le jour même, et la clé d’API a été désactivée.

Concernant la faille Shopify: Dès qu’ils ont été au courant de cet incident, Shopify a suspendu immédiatement les accès réseaux et confisqué l’ordinateur de la personne incriminée, et engagé des experts en analyse des attaques informatiques, ainsi que des juristes pour poursuivre leur enquête.

Nous faisons tout notre possible pour rendre Ledger encore plus solide à l’avenir. Nous avons engagé un nouveau responsable de la sécurité de l’information (CISO). Nous renforçons encore nos systèmes déjà solides. Nous avons effectué des tests d’intrusion et des analyses de cyber-attaques avec des sociétés de cybersécurité externes, afin de tester nos systèmes et de trouver d’autres vulnérabilités sur nos systèmes de commerce électronique.

Nous travaillons en permanence avec les forces de l’ordre pour poursuivre les pirates et arrêter les personnes responsables et/ ou impliquées dans les campagnes de phishing, et nous travaillons avec d’autres autorités de protection des données dans le monde entier.

Les fonds des clients sont-ils touchés ?

Non. Les informations de paiement, les informations d’identification (mots de passe) ou les fonds en cryptomonnaie n’ont pas été affectés. Cette violation de données n’a aucun lien ni impact sur nos wallets physiques et l’application Ledger Live. Vos crypto-actifs sont en sécurité et ne sont pas en danger.

Notre modèle de sécurité empêche les attaquants d’accéder aux informations sensibles liées à nos appareils matériels, telles que les phrases secrètes de récupération et les clés privées. Les utilisateurs ont un contrôle total et sont les seuls à pouvoir accéder à ces informations.

Qu’en est-il des « informations d’identification non publiques » comme les numéros de compte bancaire et les informations de sécurité sociale ?

Comme indiqué dans notre Politique de confidentialité, nous ne demandons ni ne conservons jamais ces informations.

Les données clients sont-elles gérées en interne ou par un fournisseur tiers ?

Conformément à notre Politique de confidentialité, en tant que contrôleur de données, nous pouvons transmettre certaines de vos données à des tiers tels que les serveurs des fournisseurs de services de paiement (PSP), la logistique, et d’autres fournisseurs de services, dans les cadres contractuels et juridiques applicables.

Y a-t-il eu des demandes de rançon ?

Nous avons été informés de certaines demandes de rançon. Nous pensons qu’il s’agit d’une autre tentative d’escroquerie mondiale, car le même message est envoyé par e-mail et SMS dans différentes langues. Nous surveillons en permanence la campagne sur une page dédiée.

Quelles mesures correctives Ledger prend-il pour résoudre ce problème ?

• Nous avons immédiatement corrigé la faille.
• Nous avons enquêté immédiatement sur la violation de données, en interne et avec des experts judiciaires externes (Orange Cyber Defense) pour découvrir tout accès non autorisé aux données de nos clients par un tiers.
• Nous avons informé l’autorité de protection des données de la violation de données et l’avons mise au courant de la situation.
• Nous avons informé nos clients.
• Nous avons déposé une plainte formelle auprès du Procureur de la République Française et la mettons à jour avec de nouvelles informations.
• Nous avons effectué des tests de pénétration en interne et nous anticipons les tests de pénétration externes initialement prévus pour septembre 2020.
• Nous menons des audits internes périodiques sur nos politiques de conservation des données, pour assurer la conformité continue avec les lois applicables.
• Nous étendons au commerce électronique la portée de notre programme de sécurité et d’organisation qui se concentrait à l’origine sur nos produits (matériel et coffre-fort). Nous prenons des mesures pour répondre aux exigences énumérées dans la norme ISO 27001.

Les informations obtenues par les pirates peuvent-elles contourner les mesures d’authentification à deux facteurs (2FA) ?

Non. Notre site Web de commerce électronique ne conserve aucune information de connexion/mot de passe puisque l’authentification 2FA n’est pas pertinente par rapport à notre système de sécurité.

Des clients signalent-ils des extorsions physiques ?

Pas à notre connaissance. Ni récemment, ni dans le passé, mais certaines de ces escroqueries impliquent une menace de violence physique. Si vous recevez une telle menace, veuillez contacter immédiatement les autorités locales. Vous pouvez également nous signaler la menace sur cette page afin qu’elle soit incluse dans notre enquête. Sachez que les produits Ledger ont été conçus en tenant compte des menaces d’attaques physiques. Nous vous invitons à consulter les bonnes pratiques en matière de mesures de sécurité avancées pour savoir comment vous protéger et rester vigilant(e). Nous surveillons en permanence les campagnes d’hameçonnage sur une page dédiée.

Nous recommandons à nos clients préoccupés par cette éventualité de consulter nos bonnes pratiques en matière de mesures de sécurité avancées et de garder à l’esprit qu’en cas d’urgence, en tapant 3 fois le mauvais code PIN, votre appareil sera réinitialisé.

Pourquoi Ledger a-t-il attendu plus d’une semaine pour communiquer publiquement sur cette violation de données relatives au marketing et au commerce électronique ?

Nous voulions avoir toutes les données nécessaires et nous devions d’abord nous conformer aux obligations légales et règlementaires qui nous incombent.

Nous avons immédiatement résolu le problème et lancé une enquête interne pour évaluer l’étendue de la violation. Nous avons également enquêté avec Orange Cyberdefense pour évaluer la gravité de la violation et avons reçu le rapport initial d’OCD le 24 juillet.

Nous avons notifié cette violation de données à l’autorité française de protection des données, la CNIL, dans le respect des lois applicables.

Ledger respecte-t-il le Réglement Général sur la Protection des Données (RGPD)?

Le but de Ledger est d’aller au-delà de la simple conformité avec le RGPD et aux autres réglementations sur la protection des données. C’est pourquoi, dans les trois jours qui ont suivi la découverte de la violation des données, Ledger a signalé les informations à la CNIL, et a fourni des mises à jour dès qu’elles étaient disponibles. Ledger travaille également et communique ouvertement avec d’autres autorités de protection des données.

L’équipe de Ledger chargée de la protection de la vie privée est également mobilisée pour répondre et gérer toute demande liée à la protection de la vie privée dont nos clients pourraient nous faire part. Si vous avez une demande spécifique concernant vos données (accès, effacement…), veuillez nous adresser votre requête à privacy@ledger.fr.

Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Pour aller au-delà de ce qui est requis par le RGPD, nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé. Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.

Que puis-je faire pour protéger mes données à l’avenir ?

Méfiez-vous des tentatives d’hameçonnage qui usurperaient l’identité de Ledger pour demander votre phrase de récupération. Ledger ne vous demandera jamais les 24 mots de votre phrase de récupération, pas même dans Ledger Live, et Ledger ne vous contactera jamais par SMS ou téléphone.

Si vous souhaitez améliorer la sécurité de votre phrase de récupération, nous vous recommandons de consulter nos bonnes pratiques en matière de mesures de sécurité avancée et de garder à l’esprit qu’en cas d’urgence, le fait de taper 3 fois le mauvais code PIN réinitialisera votre appareil.

Quelles mesures de sécurité étaient en place pour protéger nos informations personnelles ?

Afin d’assurer l’intégrité et la confidentialité de vos données personnelles, nous mettons en œuvre des procédures physiques, électroniques et organisationnelles appropriées pour sauvegarder et sécuriser les données personnelles dans tous nos services.

Plus de détails sur les mesures de sécurité mises en œuvre sont disponibles dans notre Politique de confidentialité.

Nous mettons notamment en œuvre les mesures de sécurité suivantes :

• Sécurité des données de paiement : si vous nous fournissez des informations de carte de crédit, ces informations sont cryptées à l’aide d’un protocole Internet Trade Protocol (TLS) sécurisé et envoyées directement à notre fournisseur de services de paiement (PSP). Ces informations ne sont jamais stockées sur notre serveur.
• Programme de sensibilisation et de formation des employés.
• Chiffrement des données transférées et stockées.
• Centres de données régulièrement audités.
• Redondance des données pour la résilience en cas de dommage.
• Authentification basée sur les rôles.
• Authentification à deux facteurs de nos employés autorisés.
• Surveillance continue des systèmes.
• Évaluations de sécurité conformes aux normes du secteur.
• Audits de sécurité tiers indépendants et tests de pénétration.
• Recrutement d’un nouveau Responsable de la Sécurité Informatique (CISO)
• Mise hors ligne de plus de 200 sites d'hameçonnage depuis la perte de confidentialité de données initiale.

Êtes-vous sûr qu’il n’y a pas d’autre problème similaire sur votre site de commerce électronique ? Utilisez-vous d’autres API ?

Nous avons effectué un audit interne et n’avons trouvé aucune brèche similaire. Cependant, nous continuons d’investiguer régulièrement. Nous effectuons donc un test de pénétration externe et encourageons d’autres chercheurs en sécurité informatique à nous contacter via notre programme de prime aux bogues.

Comment pouvez-vous être sûr que la violation présumée de données Shopify révélée en mai était un canular ?

Nous avons eu accès à un échantillon de la base de données qui aurait prétendument été divulguée et avons constaté qu’elle ne correspondait pas à notre base de données.

Comment la violation de données a-t-elle eu un impact sur les commandes Amazon, plus précisément sur les adresses de facturation/livraison ?

Aucune information concernant des commandes sur Amazon (y compris les adresses e-mail, de facturation et d’expédition des commandes) n’a été affectée par la violation de données.

Êtes-vous au courant des attaques d’hameçonnage existantes ciblant vos clients ?

Oui, et nous surveillons en permanence la campagne sur une page dédiée. Les campagnes d’hameçonnage sont très courantes dans le secteur, c’est pourquoi nous avons créé la Ledger Academy pour sensibiliser nos utilisateurs. Nous menons des campagnes régulières pour rappeler à nos utilisateurs les dangers des attaques d’hameçonnage, et de toujours rester prudents. Nous avons mis en place une équipe de protection contre la contrefaçon depuis deux ans afin de surveiller et faire disparaître ces contenus abusifs.

Avez-vous identifié qui a compromis votre base de données ? Avez-vous des indices ?

Non. Nous avons déposé une plainte auprès du Procureur de la République Française sur la base de preuves préliminaires exposées grâce au rapport indépendant d’enquête de cyberattaque  d’Orange Cyberdefense, que nous avons continuellement mis à jour. Une enquête est en cours.

Croisez-vous mes données Ledger Live avec d’autres données ? (e-com, matériel)

Non.

Partagez-vous des données avec les gouvernements ?

Ledger ne partage pas les informations sur ses clients, sauf si les lois applicables l’exigent, comme décrit dans notre Politique de confidentialité.

Pourquoi ne purgez-vous pas votre base de données ?

Pour des raisons légales, nous sommes obligés de stocker certaines informations transactionnelles relatives aux coordonnées de nos clients et aux données de leurs commandes.

Conformément au principe de limitation du stockage énoncé dans les lois applicables, nous nous efforçons de ne pas conserver les données plus longtemps que le temps nécessaire pour se conformer à ces objectifs légitimes et légaux, y compris afin de satisfaire à toute exigence légale, comptable, fiscale ou autre en matière de rapports de conformité.

Nous pouvons archiver certaines de vos données personnelles, avec un accès restreint, pour une période supplémentaire lorsque cela est strictement nécessaire pour nous conformer à nos obligations légales et/ou réglementaires d’archivage et pour les délais de prescription applicables. À la fin de cette période supplémentaire, vos données personnelles restantes seront définitivement effacées de nos systèmes, ou anonymisées.

Si vous avez acheté un produit ou un service chez nous, nous pouvons conserver certaines données transactionnelles jointes à vos coordonnées afin de nous conformer à nos obligations légales, fiscales ou comptables, et ce pendant une période maximale de 10 ans fixée par les lois françaises applicables, ainsi que pour nous permettre de préserver et/ ou de faire valoir nos droits (par exemple, dans l’exercice de certains de nos droits devant les tribunaux) pendant les délais de prescription français applicables.

Nous devons également conserver certaines de vos données personnelles contenues dans cette base de données, afin de pouvoir répondre à vos questions, de traiter des réclamations potentielles et de conserver des preuves nécessaires à l’enquête pénale.

Suite à la violation de données Shopify, nous avons changé en profondeur la manière dont nous gérons les données pour aller encore plus loin que ce que demande le Réglement Général sur la Protection des Données (RGPD) : 

1. Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé.Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
   
   
2. Nous allons réduire au maximum les occasions d’affichage de vos informations personnelles. Par exemple, nous effacerons vos noms, adresse et numéro de téléphone des emails de confirmation de commande que nous vous adresserons, afin que ces informations ne circulent pas via notre prestataire de gestion d’emails e-commerce.
3. Nous implémenterons prochainement un modèle de communication dans lequel les messages importants de sécurité et à visée technique seront diffusés via Ledger Live. Lorsque nous nous adresserons à vous, les emails et réseaux sociaux seront utilisés UNIQUEMENT pour les communications promotionnelles et le marketing.
   
   
4. Nous allons mener un nouvel audit de tous nos fournisseurs et partenaires afin de nous assurer qu’ils continuent d’opérer au plus haut niveau de qualité.

Les 24 mots sont-ils stockés dans la base de données ?

Non, nos clients ont le contrôle total et unique de leur phrase de récupération. Ledger ne demandera jamais votre phrase de récupération.

Si vous n’êtes pas en mesure de protéger nos données de commerce électronique, comment pourriez-vous protéger et sécuriser nos fonds ?

C’est la question la plus précise et la plus légitime que nos clients puissent nous poser. En effet, depuis la création de Ledger, nous avons mis l’accent sur la sécurité de nos produits car nous savions que ce secteur avait besoin de solutions de sécurité solides, entièrement surveillées et vérifiables pour prendre son essor, et nous nous sommes engagés à offrir à nos clients des produits de sécurité que nous développons sur la base de connaissances extrêmement pointues.

Cette violation de données provient d’une clé d’API tierce mal configurée et hébergée sur notre page Web de commerce électronique. Elle n’est en rien liée à nos produits de sécurité, qui disposent de leurs propres infrastructures. Cela ne veut pas dire que cette situation n’est pas grave. Cela signifie qu’elle ne concerne pas le niveau de sécurité de nos produits.

Nous regrettons profondément cet incident. Nous prenons la confidentialité très au sérieux, nous avons découvert ce problème grâce à notre propre programme de « primes aux bogues », et l’avons corrigé immédiatement. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que cette affaire peut causer à nos clients.

Cette situation est très stressante, qu’est-ce qui est censé me rassurer ?

Nous comprenons vos préoccupations et nous regrettons profondément cet incident. Les pertes de confidentialité de données et les attaques d’hameçonnage sont un problème pour tout le secteur. Nous continuons chaque jour de travailler sur ce problème et nous prenons très au sérieux la confidentialité et la sécurité des données. Dès que nous avons découvert ce problème, grâce à notre propre programme de prime aux bogues, nous l’avons immédiatement corrigé et avons mis en œuvre les mesures requises pour vous en informer. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que ce problème peut vous causer. Cependant, cette violation de données n’a aucun lien avec ni aucun impact sur nos wallets physiques, ni sur la sécurité de Ledger Live. Vos crypto-actifs sont en sécurité et n’ont jamais été en danger. 

Crypto Casey fait un excellent travail pour résumer la situation et pour expliquer comment se protéger dans cette vidéo et ce podcast. Prenez toutes les mesures nécessaires pour assurer votre sécurité, et celle de vos crypto-actifs. 

Vos crypto-actifs n’ont jamais été menacés. Nous sommes reconnaissants de la confiance que vous accordez à nos produits. À l’avenir, vous pouvez attendre de nos services le plus haut niveau de professionnalisme, de transparence et de réactivité.

Connaissez-vous, fournissez-vous ou recommandez-vous un service de surveillance de type “ID theft” ?

Non, nous ne recommandons pas d’utiliser ce type de services. Nous recommandons à la place à nos clients d’appliquer des mesures de précaution et d’être au courant des tentatives d’hameçonnage qui pourraient imiter Ledger en vue d'obtenir de votre part votre phrase de récupération. Ledger ne vous demandera jamais les 24 mots de votre phrase de récupération, pas même sur Ledger Live. Et Ledger ne vous contactera jamais par SMS ni par téléphone.

Si vous souhaitez améliorer la sécurité de votre phrase de récupération, nous vous recommandons de consulter notre guide des meilleures pratiques en matière de sécurité avancée, et de garder en tête que 3 codes PIN erronés sur votre appareil effaceront son contenu.

Que faites-vous pour prévenir d’autres pertes de confidentialité à l’avenir?

Ces pertes de confidentialité de données sont pour nous une remise en cause.  Être digne de votre confiance est beaucoup plus important pour nous que de posséder vos données. C’est pourquoi nous changeons la manière dont nous gérons ces données, pour aller encore plus loin que ce que recommande le Règlement Général sur la Protection des Données et être les meilleurs sur ce sujet : 

1. Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé. Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
2. Nous allons réduire au maximum les occasions d’affichage de vos informations personnelles. Par exemple, nous effacerons vos noms, adresse et numéro de téléphone des emails de confirmation de commande que nous vous adresserons, afin que ces informations ne circulent pas via notre prestataire de gestion d’emails e-commerce.
   
   
3. Nous implémenterons prochainement un modèle de communication dans lequel les messages importants de sécurité et à visée technique seront diffusés via Ledger Live. Lorsque nous nous adresserons à vous, les emails et réseaux sociaux seront utilisés UNIQUEMENT pour les communications promotionnelles et le marketing.
   
   
4. Nous allons mener un nouvel audit de tous nos fournisseurs et partenaires afin de nous assurer qu’ils continuent d’opérer au plus haut niveau de qualité.

Ces vols et ces attaques ne peuvent rester impunis. Des enquêtes doivent être menées. Pour que l’industrie de la crypto se développe il est impératif que le vol de crypto actifs soit sévèrement puni. Nous travaillons sur ces affaires avec les autorités compétentes et avec des enquêteurs privés :

1. Nous augmentons nos capacités d’enquête via des sociétés privées spécialisées pour apporter davantage d’expertise et varier les approches permettant de retrouver les responsables de ces vols de données. Nous continuerons de travailler main dans la main avec les autorités judiciaires à travers le monde pour identifier, arrêter et traduire en justice les responsables de ces vols de données.
2. Nous créons une récompense pour l’obtention de nouvelles informations, obtenues légalement, qui permettront d’identifier, d’arrêter et de traduire en justice avec succès les responsables de ces attaques contre Ledger et ses clients. Ledger a abondé un wallet avec 10 BTC (adresse : bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) comme réserve initiale pour cette récompense. Cette récompense sera versée à l’entière discrétion de Ledger en prenant en compte des facteurs tels que la légalité de l’obtention des informations, la nouveauté des informations, leur importance, leur impact positif sur les progrès de l’enquête et leurs conséquences directes en termes de capacité à poursuivre le ou les individus, ainsi que le résultat des poursuites.Plus généralement, cette récompense sera soumise aux règles de notre programme de récompenses disponibles ici. 
3. Nous annonçons notre intention de collaborer dans le cadre de cette initiative avec d’autres acteurs du secteur. Nous avons contacté d’autres sociétés comme des particuliers pour qu’ils abondent ce programme de récompense contre les crimes commis à l’encontre de la communauté crypto au sens large. PDG d’autres sociétés de l’univers des crypto, si vous voulez vous joindre à nous dans ce projet, merci d’avance de vous manifester au plus vite.

Filtración de datos de comercio electrónico y de marketing; preguntas frecuentes

El 14 de julio, un investigador se puso en contacto con nosotros a través de nuestro programa de recompensas para informarnos de una filtración de datos que afectaba a nuestra base de datos de comercio electrónico y marketing. Corregimos inmediatamente la filtración de datos e iniciamos una investigación interna. Descubrimos que los datos expuestos fueron objeto de un acceso no autorizado. Tus fondos están seguros.

El 20 de diciembre recibimos un aviso relativo a la subida de los contenidos de una base de datos de clientes de Ledger. La investigación sigue en curso, pero los primeros indicios apuntan a que, efectivamente, podría tratarse del contenido de nuestra base de datos de comercio electrónico que se había filtrado anteriormente.

El 23 de diciembre, Shopify, nuestro proveedor de servicios de comercio electrónico, nos notificó un incidente que afectaba a los datos de los comerciantes y en el que uno o varios miembros deshonestos de su equipo de asistencia habían obtenido registros de transacciones de clientes, entre los que se encontraban los de Ledger.

A continuación encontrarás las respuestas a las preguntas más frecuentes. Para obtener más información sobre la filtración de datos, consulta nuestra entrada en el blog, y sobre el incidente de Shopify, consulta este artículo.

¿Se han visto afectados mis datos personales (nombre, dirección, número de teléfono)?

Tras descubrir la filtración en julio, hemos enviado un correo electrónico a los 9500 clientes afectados para los que los registros nos permitían determinar que se habían filtrado sus datos personales. Si no has recibido este correo electrónico por el momento, no tenemos constancia de que se hayan filtrado tus datos personales, a excepción de tu dirección de correo electrónico.

Una vez que tuvimos conocimiento de la filtración del 20 de diciembre, se hizo evidente que un subconjunto mayor que los 9500 clientes iniciales habían visto expuestos sus datos personales. Hemos enviado un correo electrónico a todos los clientes de este subconjunto (unas 272 000 personas). Si formabas parte de este subconjunto, deberías haber recibido un correo electrónico específico de notificación el 21 de diciembre de 2020.

El 13 de enero informamos a los aproximadamente 292 000 clientes afectados por la filtración de Shopify. Si tus datos se han visto vulnerados a raíz de esta filtración de datos de Shopify, se te habría notificado por correo electrónico. El título del correo es «AVISO DE SEGURIDAD: Ledger afectado por la filtración de la base de datos de Shopify» y se envió el 13 de enero de 2021 sobre las 16:00 horas (CET).

¿Qué sucedió en la filtración de datos notificada en julio de 2020?

Un atacante obtuvo acceso a una parte de nuestra base de datos de comercio electrónico y de marketing a través de la clave API de un tercero que estaba mal configurada en nuestra página web, lo que permitió el acceso no autorizado a los datos de contacto y de los pedidos de nuestros clientes.

¿Quién es el tercero? ¿Por qué procesaban los datos de vuestros clientes?

Los equipos de comercio electrónico y de marketing de Ledger utilizan una solución de un tercero (Iterable) para enviar y analizar los correos electrónicos transaccionales y de marketing a los clientes que han comprado productos en ledger.com o se han inscrito para recibir nuestros boletines.

¿Desde cuándo existe este problema?

El error en la configuración de la clave de la API del tercero en cuestión ha existido desde el 9 de agosto de 2018. A tenor de las pruebas y los registros que poseemos, creemos que se descubrió y explotó entre abril de 2020 y el 28 de junio de 2020. 

¿Qué pasó con Shopify?

El 23 de diciembre de 2020 recibimos una notificación de nuestro proveedor de servicios de comercio electrónico, Shopify, en relación con un incidente que afectaba a los datos de los comerciantes y en el que uno o varios miembros deshonestos de su equipo de asistencia habían obtenido registros de transacciones de clientes, entre los que se encontraban los de Ledger. Los responsables exportaron ilegalmente los registros transaccionales de los clientes en abril y junio de 2020. A juicio de Shopify, esto está relacionado con el incidente denunciado en septiembre de 2020, que afecta a más de 200 comerciantes, pero hasta el 21 de diciembre de 2020, Shopify no había descubierto que Ledger también fuera objeto de este ataque. Shopify nos informó de que habían contratado a expertos forenses digitales y a un abogado para seguir investigando el problema y que habían informado a las autoridades policiales tanto de Canadá como de Estados Unidos.

En colaboración con la empresa forense Orange Cyberdefense, hemos podido determinar que afecta a unos 292 000 clientes. Aunque el 93 % de la base de datos es semejante a la del ataque anterior, en esta filtración se incluyeron aproximadamente 20 000 nuevos registros de clientes que contenían el correo electrónico, el nombre, la dirección postal, los productos pedidos y el número de teléfono.

Si adquiriste un producto de Ledger después de finales de junio de 2020, o si compraste tu producto a través de un sitio web distinto de Ledger.com, tus datos no se han visto afectados por estos incidentes.

¿Qué tipo de información de la base de datos de clientes de Ledger se vio afectada?

En ambas filtraciones, la información expuesta está relacionada con bases de datos de comercio electrónico y de marketing. Incluye correos electrónicos, nombres y apellidos, números de teléfono y direcciones postales, así como el tipo de producto adquirido.

No incluye información relativa a las tarjetas de crédito.

Ahora sabemos que se filtraron aproximadamente 1 millón de direcciones de correo electrónico y unos 292 000 registros de información personal, que incluían el nombre y los apellidos, el número de teléfono, la dirección postal y los productos adquiridos.

¿Por qué se comunicó sobre 9500 datos personales y no sobre 272 000?

La determinación del número de datos personales (nombre, dirección física, número de teléfono) que se hizo en julio de 2020 se basó en el análisis forense de nuestra consultora de seguridad externa, la cual ha indicado que solo había indicios de 9500 personas afectadas. Hemos actuado con rapidez y según los conocimientos de los que disponíamos en ese momento. Ahora podemos constatar, gracias a la base de datos publicada, que se ha obtenido información detallada (nombre, dirección postal, número de teléfono) de unos 272 000 usuarios.

¿Se ha corregido la filtración de datos?

Respecto a la filtración de datos descubierta en julio: tan pronto como descubrimos la filtración de datos en julio, la misma se solucionó en el mismo día y la clave de la API se desactivó.

Respecto a la filtración de datos de Shopify: desde que se tuvo conocimiento del incidente, Shopify suspendió inmediatamente el acceso a la red del individuo, confiscó su ordenador portátil y contrató a expertos en análisis forense digital y a un abogado para continuar su investigación.
Estamos haciendo todo lo posible para que Ledger sea cada vez más fuerte de cara al futuro. Hemos contratado a un nuevo Director de Seguridad de la Información (CISO). Estamos consolidando aún más nuestros ya sólidos sistemas. Ejecutamos pruebas de penetración y análisis forenses con empresas de seguridad externas para ponerlas a prueba y encontrar cualquier otra vulnerabilidad en nuestros sistemas de comercio electrónico. 

Trabajamos continuamente con las autoridades policiales para perseguir a los delincuentes. Hemos notificado a la autoridad francesa de protección de datos las filtraciones de datos y estamos trabajando con otras autoridades de protección de datos de todo el mundo.

¿Se han visto afectados los fondos de los clientes?

No. La información de pago, las credenciales (contraseñas) o los fondos de criptomonedas no han sido afectados. Esta filtración de datos no tiene ninguna relación ni repercusión en nuestras carteras de hardware ni en la aplicación Ledger Live. Tus criptoactivos están seguros y no corren peligro.

Nuestro modelo de seguridad impide que los atacantes accedan a la información confidencial relacionada con nuestros dispositivos de hardware, como las frases de contraseña y las claves privadas. Los usuarios tienen el control absoluto y son las únicas personas que tienen acceso a esta información.

¿Y qué hay de la "información de identificación no pública" como son los números de cuentas bancarias o los datos de la seguridad social?

Como se indica en nuestra política de privacidad, nunca solicitamos ni conservamos este tipo de información.

¿Los datos de los clientes se gestionan internamente o a través de un proveedor externo?

De acuerdo con nuestra política de privacidad, como responsables del tratamiento de datos, podemos ceder algunos de tus datos a terceros, como proveedores de servicios de pago (PSP), de infraestructura, de logística y de otros servicios, dentro de los marcos contractuales y legales aplicables. 

¿Ha habido algún intento de chantaje?

Nos han informado de algunos casos de chantajes. Creemos que se trata de otro intento de estafa global, ya que el mismo mensaje se está enviando por correo electrónico y SMS en diferentes idiomas. Realizamos un seguimiento continuo de la campaña en una página específica.

¿Qué medidas correctivas está tomando Ledger para resolver la situación?

• Hemos corregido la filtración de datos inmediatamente
• Hemos investigado la filtración de datos inmediatamente, tanto internamente como con ayuda de expertos forenses externos (Orange Cyberdefense) para detectar cualquier acceso no autorizado a los datos de nuestros clientes por parte de terceros.
• Hemos informado a la autoridad francesa de protección de datos de la filtración de datos y les hemos puesto al corriente de la situación.
• Hemos informado a nuestros clientes.
• Hemos presentado una denuncia formal ante la fiscalía francesa y la vamos a actualizar con nueva información.
• Hemos realizado pruebas de penetración internas y estamos ampliando las pruebas de penetración externas que estaban previstas inicialmente para septiembre de 2020.
• Tenemos programadas auditorías internas periódicas de nuestras políticas de conservación de datos para garantizar el cumplimiento continuo de la legislación aplicable.
• Estamos ampliando el alcance de nuestro programa de seguridad y organización para incluir el comercio electrónico, que inicialmente se centraba solo en nuestros productos (HW y Vault). Estamos adoptando medidas para cumplir los requisitos recogidos por la norma ISO 27001.

¿La información obtenida por los hackers puede eludir las medidas de autenticación de dos factores (2FA)?

No. Nuestra página web de comercio electrónico no conserva ninguna información de inicio de sesión/contraseña, ya que el sistema 2FA no es relevante en lo que respecta a nuestra estructura de seguridad. 

¿Algún cliente ha denunciado una extorsión física?

No que sepamos. Ni recientemente ni en el pasado, pero algunas de las estafas implican amenazas de violencia física. Si recibes una amenaza de este tipo, ponte en contacto inmediatamente con las autoridades policiales locales. También puedes denunciar la amenaza en esta página para que la incluyamos en nuestra investigación. Recuerda que Ledger se ha diseñado teniendo en cuenta la amenaza que suponen los ataques físicos; consulta nuestras recomendaciones en materia de seguridad avanzada para obtener instrucciones sobre cómo protegerte y mantenerte alerta. Realizamos un seguimiento continuo de la campaña en una página específica.

Recomendamos a nuestros clientes que estén preocupados por esa eventualidad que consulten nuestras recomendaciones en materia de seguridad avanzada y que tengan en cuenta que, en caso de emergencia, al teclear 3 veces el código PIN erróneo se reseteará su dispositivo.

¿Por qué esperó Ledger más de una semana para comunicar públicamente esta filtración de datos de marketing y de comercio electrónico?

Queríamos contar con todos los datos necesarios y teníamos que garantizar primero el cumplimiento de la legislación.

Corregimos inmediatamente el problema e iniciamos una investigación interna para evaluar el alcance de la vulneración. También hemos investigado con Orange Cyberdefense para evaluar el alcance de la filtración; recibimos el informe inicial de OCD el 24 de julio.

Hemos notificado esta filtración de datos a la autoridad francesa de protección de datos, la CNIL, en cumplimiento de la legislación aplicable.

¿Cumple Ledger con el RGPD?

El objetivo de Ledger va incluso más allá del simple cumplimiento del RGPD y otras normativas de protección de datos.  En los tres días posteriores al descubrimiento de las filtraciones de datos, Ledger se lo notificó a la autoridad francesa de protección de datos y se le han facilitado actualizaciones a medida que han estado disponibles. Ledger también trabaja y colabora abiertamente con otras autoridades de protección de datos. 

El equipo de privacidad de Ledger también se ha puesto en marcha para responder y gestionar cualquier consulta relacionada con la privacidad que los clientes nos hagan llegar. Si quieres realizar una solicitud específica relativa a tus datos (acceso, supresión...), envíanos un correo electrónico a privacy@ledger.fr.

Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Para ir más allá de lo que exige el RGPD, nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.

¿Qué puedo hacer para proteger mis datos de ahora en adelante?

Ten cuidado con los intentos de phishing que suplantan la identidad de Ledger para obtener tu frase de contraseña. Ledger nunca te va a pedir las 24 palabras de tu frase de contraseña, ni siquiera en Ledger Live, y Ledger nunca se va a poner en contacto contigo mediante mensajes de texto o llamadas telefónicas.

Si quieres mejorar la seguridad de tu frase de contraseña, te recomendamos que consultes nuestras recomendaciones en materia de seguridad avanzada y que tengas en cuenta que, en caso de emergencia, si tecleas 3 veces el código PIN erróneo, tu dispositivo se reseteará.

¿Qué medidas de seguridad existían para proteger nuestros datos personales?

Para garantizar la integridad y confidencialidad de tus datos personales, implementamos procedimientos físicos, electrónicos y organizativos adecuados para salvaguardar y proteger los datos personales en todos nuestros servicios.
Puedes encontrar más información sobre las medidas de seguridad implementadas en nuestra política de privacidad.
Entre otras, implementamos en particular las siguientes medidas de seguridad:

• Seguridad de los datos de pago: cuando nos facilitas los datos de tu tarjeta de crédito, dichos datos se encriptan mediante un protocolo de comercio seguro de Internet (TLS) y se envían directamente a nuestro proveedor de servicios de pago (PSP). Esta información nunca se almacena en nuestro servidor.
• Programa de concienciación y formación de los empleados
• Encriptación de datos en tránsito y almacenados
• Los centros de datos se someten a auditorías periódicas
• Redundancia de datos para aumentar la resistencia en caso de incidentes
• Autenticación basada en funciones
• Autenticación de dos factores de nuestros empleados autorizados
• Monitorización continua del sistema
• Evaluaciones de seguridad conforme a las normas del sector
• Revisiones de seguridad y pruebas de penetración de terceros independientes
• Contratación de un nuevo Director de Seguridad de la Información (CISO)
• Se han eliminado más de 200 páginas web de phishing desde que se produjo la filtración original

¿Tenéis la certeza de que no hay ningún otro problema similar en vuestra página web de comercio electrónico? ¿Utilizáis otras API?
Hemos realizado una auditoría interna y no hemos encontrado ningún otro problema. No obstante, seguimos realizando evaluaciones periódicas para estar seguros. Llevamos a cabo pruebas de penetración externas periódicamente y fomentamos que otros investigadores de seguridad informática se pongan en contacto con nosotros a través de nuestro programa de recompensas.

¿Cómo podéis estar seguros de que la supuesta filtración de datos de Shopify revelada en mayo era un bulo?

Tuvimos acceso a una muestra de la supuesta base de datos filtrada y comprobamos que no coincidía con nuestra base de datos. 

¿Cómo afectó la filtración de datos a los pedidos realizados a través de Amazon, más concretamente, a las direcciones de facturación/envío?

La filtración de datos no afectó a la información de los pedidos realizados a través de Amazon (incluidas las direcciones de correo electrónico, de facturación y de envío de los pedidos).

¿Tenéis constancia de la existencia de ataques de phishing contra vuestros clientes?

Sí, realizamos un seguimiento continuo de las campañas en una página específica. Las campañas de phishing son muy comunes en el sector, por lo que hemos creado la Ledger Academy para educar a nuestros usuarios. Organizamos campañas regularmente para ayudar a nuestros usuarios a recordar los peligros que entrañan los ataques de phishing, y para que siempre actúen con cautela. Contamos con un equipo de protección de la marca desde hace 2 años a fin de vigilar y hacer cumplir estos contenidos abusivos. 

¿Se ha podido identificar al responsable de la vulneración de vuestra base de datos? ¿Tenéis alguna pista?

No. Presentamos una querella ante la fiscalía francesa partiendo de las pruebas preliminares esbozadas gracias al informe forense de investigación independiente elaborado por Orange Cyberdefense, el cual hemos ido actualizando continuamente. La investigación sigue en curso.

¿Se combinan los datos relativos a mi Ledger Live con otros datos? (e-com, HW)

No, no lo hacemos.

¿Compartís datos con los gobiernos?

Ledger no comparte la información de sus clientes a menos que lo exija la legislación aplicable, tal y como se describe en nuestra política de privacidad.

¿Por qué no se depura vuestra base de datos? 

Por cuestiones legales, estamos obligados a almacenar cierta información transaccional relacionada con los datos de contacto de nuestros clientes y la información relativa a sus pedidos.

De acuerdo con el principio de limitación del almacenamiento establecido en las leyes aplicables, nos esforzamos por conservar los datos durante un tiempo no superior al necesario para cumplir con dichos fines legítimos y legales, incluido el cumplimiento de cualquier requisito de declaración legal, contable, fiscal o de otro tipo.

Podemos almacenar algunos de tus datos personales, en régimen de acceso restringido, durante un período de tiempo adicional cuando sea estrictamente necesario para cumplir con nuestras obligaciones legales y/o reguladoras de almacenamiento y durante los períodos de prescripción aplicables. Una vez finalizado este período adicional, tus datos personales restantes serán eliminados permanentemente o anonimizados de nuestros sistemas.

Si has adquirido uno de nuestros productos o servicios, podemos conservar algunos datos transaccionales adjuntos a tus Datos de Contacto para cumplir con nuestras obligaciones legales, fiscales o contables durante un período máximo de 10 años establecido por las leyes francesas aplicables, así como para permitirnos gestionar nuestros derechos (por ejemplo, para hacer valer nuestras reclamaciones ante los tribunales) durante los plazos de prescripción franceses aplicables.

También es necesario que conservemos algunos de tus datos personales recogidos en esta base de datos para poder responder a tus preguntas, tramitar posibles reclamaciones y conservar pruebas para la investigación judicial.

A raíz de la vulneración de Shopify, estamos cambiando la forma en que gestionamos estos datos, para ir más allá de los principios del RGPD y adoptar el mejor enfoque posible:

1. Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
2. Reduciremos al mínimo los lugares en los que se muestren tus datos personales.  Por ejemplo, eliminaremos el nombre, la dirección y el número de teléfono de los correos electrónicos de confirmación de pedidos que te enviamos para que estos datos no pasen por nuestro proveedor de correo electrónico destinado al comercio electrónico.
3. Implementaremos un modelo de mensajería en el que la información técnica y de seguridad proactiva importante se comunicará a través de Ledger Live. El correo electrónico y las redes sociales se utilizarán ÚNICAMENTE para difundir mensajes y anuncios relacionados con nuestros productos.
4. Llevaremos a cabo una reevaluación detallada de todos nuestros proveedores y socios para asegurarnos de que siguen cumpliendo las normas más rigurosas.

¿Las 24 palabras están almacenadas en la base de datos?

No, nuestros clientes tienen el control absoluto y exclusivo de su frase de contraseña. Ledger nunca solicitará tu frase de contraseña. 

Si no sois capaces de proteger nuestros datos de comercio electrónico, ¿cómo vais a proteger y asegurar nuestros fondos?

Esta es la pregunta más precisa y legítima que podemos abordar con nuestros clientes. En efecto, desde los inicios de Ledger, nos hemos centrado en la seguridad de nuestros productos porque sabíamos que este sector necesitaba soluciones de seguridad sólidas, totalmente supervisadas y auditables para prosperar, y nos hemos comprometido a ofrecer a nuestros clientes productos de seguridad que supervisamos aplicando los conocimientos más avanzados.

Esta filtración de datos surge a partir de una clave API de terceros erróneamente configurada y alojada en nuestra página web de comercio electrónico. No tiene nada que ver con nuestros productos de seguridad y sus propias infraestructuras. Esto no significa que esta situación no sea grave. Esto significa que no está relacionada con el nivel de seguridad de nuestros productos.

Lamentamos enormemente este incidente. Nos tomamos muy en serio la privacidad; descubrimos este problema gracias a nuestro propio programa de recompensas para encontrar vulnerabilidades y lo corregimos inmediatamente. Pero independientemente de todo lo que se hizo para evitar y corregir esta situación, pedimos disculpas de corazón por las molestias que este asunto haya podido causar a nuestros clientes.

Esta situación es muy estresante, ¿qué se supone que debe tranquilizarme?

Entendemos tu preocupación y lamentamos mucho este incidente. Las filtraciones de datos y los ataques de phishing son un problema que afecta a todo el sector. Seguimos trabajando en este problema cada día y nos tomamos muy en serio la privacidad y la seguridad de los datos. Tan pronto como descubrimos este problema gracias a nuestro propio programa de recompensas, lo corregimos inmediatamente y nos pusimos a trabajar para comunicártelo. Pero independientemente de todo lo que se hizo para evitar y corregir esta situación, pedimos disculpas de corazón por las molestias que este asunto te haya podido causar. No obstante, esta filtración de datos no tiene ninguna relación ni repercusión en nuestras carteras de hardware ni en la seguridad de Ledger Live.

Crypto Casey resume perfectamente la situación y la mejor manera de protegerse en este vídeo y en este podcast.  Adopta todas las medidas necesarias para mantenerte a ti y a tu criptomoneda a salvo. 

Tus criptoactivos están seguros y nunca han corrido peligro. Te agradecemos la confianza que has depositado en nuestros productos. De ahora en adelante, puedes contar con los más altos niveles de profesionalidad, transparencia y capacidad de respuesta de nuestros servicios.

¿Conocéis, ofrecéis o recomendáis un servicio de control de "robo de identidad"?

No, no recomendamos utilizar este tipo de servicio. En su lugar, recomendamos a nuestros clientes que apliquen medidas preventivas y tengan cuidado con los intentos de phishing, los cuales podrían suplantar la identidad de Ledger para obtener su frase de contraseña. Ledger nunca te va a pedir las 24 palabras de tu frase de contraseña, ni siquiera en Ledger Live, y Ledger nunca se va a poner en contacto contigo mediante mensajes de texto o llamadas telefónicas.

Si quieres mejorar la seguridad de tu frase de contraseña, te recomendamos que consultes nuestras recomendaciones en materia de seguridad avanzada y que tengas en cuenta que, en caso de emergencia, si tecleas 3 veces el código PIN erróneo, tu dispositivo se reseteará.

¿Qué medidas se están adoptando para evitar que vuelva a producirse una filtración de datos?

Estas filtraciones de datos han supuesto un gran reto para nosotros. La confianza de nuestros usuarios es mucho más importante que la posesión de sus datos. Es por eso que decidimos cambiar completamente la forma en que manejamos los datos en Ledger, estamos cambiando la forma en que gestionamos estos datos, para ir más allá de los principios del RGPD y adoptar el mejor enfoque posible:

• Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
• Reduciremos al mínimo los lugares en los que se muestren tus datos personales.  Por ejemplo, eliminaremos el nombre, la dirección y el número de teléfono de los correos electrónicos de confirmación de pedidos que te enviamos para que estos datos no pasen por nuestro proveedor de correo electrónico destinado al comercio electrónico.
• Implementaremos un modelo de mensajería en el que la información técnica y de seguridad proactiva importante se comunicará a través de Ledger Live. El correo electrónico y las redes sociales se utilizarán ÚNICAMENTE para difundir mensajes y anuncios relacionados con nuestros productos.
• Llevaremos a cabo una reevaluación detallada de todos nuestros proveedores y socios para asegurarnos de que siguen cumpliendo las normas más rigurosas.

Los robos y ataques de esta índole deben ser investigados y perseguidos.  Para que las criptomonedas prosperen debe pagarse un precio por cometer un robo de las mismas.  Seguimos trabajando con las autoridades policiales e investigadores privados en estos casos, y estamos incorporando más medios:

• Estamos ampliando los servicios de investigación privada, sumando experiencia y enfoques para encontrar a los responsables de estos robos de datos.  Seguiremos colaborando con las autoridades policiales de todo el mundo para encontrar, detener y enjuiciar a los responsables en la medida de lo posible.
• Estamos creando una recompensa a cambio de recibir nueva información, que se haya obtenido de forma legal, que conduzca a la identificación, la detención y el enjuiciamiento satisfactorios de los responsables de los ataques contra Ledger y contra nuestros clientes.  Ledger ha creado una cartera inicial con 10 BTC (dirección: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) como fondo de recompensa. Esta cantidad se otorgará a discreción de Ledger y se tendrán en cuenta factores como: ¿se ha obtenido la información de forma legal? ¿Es nueva? ¿En qué medida es la información sustancial y en qué medida ayudará a que la investigación avance y se pueda perseguir directamente al individuo o individuos? ¿Ha tenido éxito esa persecución? En términos más generales, estará sujeta a las condiciones de nuestro programa de recompensas que puedes consultar aquí.
• Anunciamos nuestra intención de colaborar con otros miembros del sector en esta iniciativa.  Nos estamos poniendo en contacto con otras empresas y particulares de este ámbito para obtener financiación para el programa de recompensas por delitos cometidos contra la comunidad de criptomonedas.  Alentamos a los CEO de otras empresas del sector de las criptomonedas a que se pongan en contacto con nosotros lo antes posible si quieren unirse a nuestro proyecto.

E-Commerce- und Marketing-Datenpanne – FAQ

Am 14. Juli kontaktierte uns ein Forscher über unser Belohnungsprogramm, um uns über eine Datenpanne in unserer E-Commerce- und Marketing-Datenbank zu informieren. Wir haben die Datenpanne sofort behoben und interne Untersuchungen eingeleitet. Wir haben festgestellt, dass die offengelegten Daten einem unbefugten Zugriff unterliegen. Ihr Geld ist sicher.

Am 20. Dezember wurden wir über den Speicherauszug des Inhalts einer Ledger-Kundendatenbank informiert. Die Untersuchungen dauern noch an, aber erste Anzeichen deuten darauf hin, dass es sich tatsächlich um den Inhalt unserer zuvor angegriffenen E-Commerce-Datenbank handeln könnte.

Am 23. Dezember wurden wir von Shopify, unserem E-Commerce-Dienstleister, über einen Vorfall mit Händlerdaten informiert, bei dem betrügerische Mitglieder ihres Supportteams Kundentransaktionsaufzeichnungen, einschließlich denen von Ledger, erhalten haben.

Antworten auf häufig gestellte Fragen finden Sie unten. Details zur Datenpanne finden Sie in unserem Blogpost. Informationen zum Shopify-Vorfall finden Sie in diesem Artikel.

Sind meine persönlichen Daten (Name, Adresse, Telefonnummer) kompromittiert?

Nachdem wir den Verstoß im Juli entdeckt haben, haben wir eine E-Mail an alle 9500 betroffenen Kunden gesendet, für die wir anhand der Protokolle feststellen konnten, dass persönliche Daten geleakt wurden. Wenn Sie diese E-Mail zu diesem Zeitpunkt nicht erhalten haben, hatten wir keine Beweise dafür, dass Ihre persönlichen Daten außer Ihrer E-Mail-Adresse geleakt wurden.

Nachdem wir auf den Speicherauszug vom 20. Dezember aufmerksam gemacht worden waren, wurde klar, dass die persönlichen Daten einer größeren Untergruppe als den ursprünglichen 9500 Kunden offengelegt wurden. Wir haben eine E-Mail an alle Kunden in dieser Untergruppe gesendet (etwa 272.000 Personen). Wenn Sie Teil dieser Untergruppe, deren persönliche Informationen geleakt wurden, waren, haben Sie am 21. Dezember 2020 eine spezielle E-Mail erhalten, in der Sie darüber benachrichtigt wurden.

Am 13. Januar haben wir die rund 292.000 Kunden, die von der Shopify-Verletzung betroffen waren, kontaktiert. Wenn Ihre Daten durch diese Shopify-Datenpanne kompromittiert wurden, wurden Sie per E-Mail benachrichtigt. Der Titel der E-Mail lautete „SICHERHEITSHINWEIS: Ledger von Shopify-Datenpanne betroffen“ und wurde am 13. Januar 2021 gegen 16:00 Uhr (MEZ) gesendet.

Was ist bei der im Juli 2020 gemeldeten Datenpanne passiert?

Ein Angreifer erhielt Zugriff auf einen Teil unserer E-Commerce- und Marketingdatenbank über den auf unserer Website falsch konfigurierten API-Schlüssel eines Drittanbieters, der den unbefugten Zugriff auf die Kontaktdaten und Bestelldaten unserer Kunden ermöglichte.

Wer ist die Drittanbieterlösung? Warum verarbeiteten sie Kundendaten?

Die E-Commerce- und Marketingteams von Ledger verwenden eine Drittanbieterlösung (Iterable), um Transaktions- und Marketing-E-Mails an Kunden, die Produkte auf ledger.com gekauft oder sich für den Empfang unserer Newsletter angemeldet haben, zu senden und zu analysieren.

Seit wann besteht dieses Problem?

Die fragliche Fehlkonfiguration des API-Schlüssels eines Drittanbieters wird seit dem 9. August 2018 ausgeführt. Basierend auf den uns vorliegenden Beweisen und Protokollen glauben wir, dass er vom April 2020 bis zum 28. Juni 2020 entdeckt und genutzt wurde. 

Was ist mit Shopify passiert?

Am 23. Dezember 2020 erhielten wir von unserem E-Commerce-Dienstleister Shopify eine Benachrichtigung über einen Vorfall mit Händlerdaten, bei dem betrügerische Mitglieder ihres Support-Teams Kundentransaktionsdokumente erhalten haben, einschließlich denen von Ledger. Die Agenten haben im April und Juni 2020 illegal Kundentransaktionsaufzeichnungen exportiert. Laut Shopify hängt dies mit dem Vorfall zusammen, der im September 2020 gemeldet wurde und mehr als 200 Händler betraf. Bis zum 21. Dezember 2020 hatte Shopify jedoch nicht festgestellt, dass Ledger ebenfalls von diesem Angriff betroffen war. Shopify teilt uns mit, dass sie Experten und Anwälte für digitale Forensik beauftragt haben, ihre Ermittlungen in dieser Angelegenheit fortzusetzen, und die Angelegenheit den Strafverfolgungsbehörden in Kanada und den USA gemeldet haben.

Zusammen mit dem Forensikunternehmen Orange Cyberdefense konnten wir feststellen, dass es rund 292.000 Kunden betrifft. Bei der Datenbank handelt es sich zu 93 % um die gleiche Datenbank, die bei dem vorangegangenen Angriff offengelegt wurde. Es wurden jedoch ca. 20.000 neue Kundendatensätze einschließlich E-Mail-Adresse, Name, Postanschrift, bestellte(s) Produkt(e) und Telefonnummer bei diesem Angriff erfasst.

Wenn Sie ein Ledger-Produkt nach Ende Juni 2020 gekauft haben oder wenn Sie Ihr Produkt außerhalb von Ledger.com gekauft haben, wurden Ihre Daten bei diesen Vorfällen nicht offengelegt.

Welche Art von Daten aus der Kundendatenbank von Ledger wurde kompromittiert?

Bei beiden Verstößen beziehen sich die offengelegten Informationen auf E-Commerce- und Marketingdatenbanken. Sie enthalten E-Mail-Adressen, Vor- und Nachnamen, Telefonnummern und Postanschriften sowie die Art des gekauften Produkts.

Sie enthalten keine Kreditkarteninformationen.

Wir wissen jetzt, dass ungefähr 1 Million E-Mail-Adressen zusammen mit ungefähr 292.000 persönlichen Informationsdatensätzen wie Vor- und Nachnamen, Telefonnummern, Postanschriften und gekauften Produkten geleakt wurden.

Warum haben Sie 9.500 Personen bezüglich ihrer persönlichen Daten kontaktiert und nicht 272.000?

Die Ermittlung der Anzahl der persönlichen Daten (Namen, Anschriften, Telefonnummern), die im Juli 2020 vorgenommen wurde, basierte auf der forensischen Analyse unserer externen Sicherheitsberatung, die darauf hingewiesen hat, dass nur 9.500 betroffene Personen nachgewiesen wurden. Wir haben schnell und mit dem besten Wissen gehandelt, das uns damals zur Verfügung stand. Aus der veröffentlichten Datenbank können wir nun nachweisen, dass detaillierte Informationen (Namen, Postanschriften, Telefonnummern) von etwa 272.000 Benutzern erlangt wurden.

Wurde die Datenpanne behoben?

In Bezug auf die im Juli festgestellte Datenpanne: Sobald wir die Datenpanne im Juli entdeckten, wurde sie am selben Tag behoben und der API-Schlüssel deaktiviert.

In Bezug auf die Shopify-Datenpanne: Seit Shopify Kenntnis von dem Vorfall erlangt hat, hat es den Netzwerkzugriff der Person sofort gesperrt, den Laptop der Person beschlagnahmt und Experten und Berater für digitale Forensik beauftragt, ihre Ermittlungen fortzusetzen.

Wir tun alles, was uns möglich ist, um Ledger für die Zukunft zu stärken. Wir haben einen neuen Chief Information Security Officer (CISO) eingestellt. Wir verstärken unsere bereits starken Systeme weiter. Wir haben Pentesting und forensische Analysen mit externen Sicherheitsfirmen durchgeführt, um sie zu testen und zusätzliche Schwachstellen in unseren E-Commerce-Systemen zu finden. 

Wir arbeiten kontinuierlich mit den Strafverfolgungsbehörden zusammen, um Kriminelle strafrechtlich zu verfolgen. Wir haben die französische Datenschutzbehörde über die Datenpannen informiert und arbeiten mit anderen Datenschutzbehörden auf der ganzen Welt zusammen.

Sind Kundengelder betroffen?

Nein. Zahlungsinformationen, Anmeldeinformationen (Passwörter) oder Kryptoguthaben waren nicht betroffen. Diese Datenpanne hat keine Auswirkungen auf unsere Hardware-Wallet und die Ledger-Live-Anwendung. Ihre Krypto-Assets sind sicher und nicht in Gefahr.

Unser Sicherheitsmodell verhindert, dass Angreifer auf vertrauliche Informationen zu unseren Hardwaregeräten wie Wiederherstellungsphrasen und private Schlüssel zugreifen können. Benutzer haben die vollständige Kontrolle und sind die einzigen, die auf diese Informationen zugreifen können.

Was ist mit „nicht öffentlichen Identifikationsinformationen“ wie Bankkontonummern und Sozialversicherungsdaten?

Wie in unserer Datenschutzrichtlinie angegeben, fordern wir diese Informationen niemals an und speichern sie nicht.

Werden Kundendaten intern oder von einem Drittanbieter verarbeitet?

In Übereinstimmung mit unserer Datenschutzrichtlinie können wir als Datenverantwortlicher einige Ihrer Daten innerhalb der geltenden vertraglichen und rechtlichen Rahmenbedingungen an Dritte wie die Infrastruktur von Payment-Service-Providern (PSPs), die Logistik und andere Dienstleister im Rahmen der geltenden vertraglichen und rechtlichen Rahmenbedingungen übertragen. 

Gab es Lösegeldforderungen?

Wir wurden auf einige Lösegeldforderungen aufmerksam gemacht. Wir glauben, dass dies ein weiterer globaler Betrugsversuch ist, da dieselbe Nachricht per E-Mail und SMS in verschiedenen Sprachen gesendet wurde. Wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite.

Welche Abhilfemaßnahmen ergreift Ledger, um dieses Problem zu beheben?

• Wir haben die Datenpanne sofort behoben.
• Wir haben die Datenpanne sowohl intern als auch mit externen forensischen Experten (Orange Cyberdefense) sofort untersucht, um festzustellen, ob Dritte nicht autorisierten Zugriff auf unsere Kundendaten haben.
• Wir haben die französische Datenschutzbehörde über die Datenpanne in Kenntnis gesetzt und sie über die Situation informiert.
• Wir haben unsere Kunden informiert.
• Wir haben eine formelle Strafanzeige beim französischen Staatsanwalt eingereicht und aktualisieren diese mit neuen Informationen.
• Wir haben intern Pentesting durchgeführt und treiben das ursprünglich für September 2020 geplante externen Pentesting voran.
• Wir haben regelmäßige interne Audits für unsere Richtlinien zur Vorratsdatenspeicherung geplant, um sicherzustellen, dass die geltenden Gesetze weiterhin eingehalten werden.
• Wir erweitern den Umfang unseres Sicherheits- und Organisationsprogramms auf den E-Commerce und konzentrieren uns ursprünglich auf unsere Produkte (HW & Vault). Wir unternehmen Schritte, um die in ISO 27001 aufgeführten Anforderungen zu erfüllen.

Können die von den Hackern erhaltenen Informationen die 2FA-Maßnahmen (Zwei-Faktor-Authentisierung) umgehen?

Nein. Auf unserer E-Commerce-Website werden keine Anmelde-/Kennwortinformationen gespeichert, da 2FA für unser Sicherheitsschema nicht relevant ist. 

Melden Kunden physische Erpressung?

Nach unserem Wissen nicht. Weder in jüngster Zeit noch in der Vergangenheit haben wir von solchen Fällen erfahren, aber einige der Betrugsmaschen beinhalten die Androhung von körperlicher Gewalt. Wenn Sie eine solche Bedrohung erhalten, wenden Sie sich bitte umgehend an die örtlichen Strafverfolgungsbehörden. Sie können uns die Bedrohung auch auf dieser Seite melden, damit wir sie in unsere Untersuchung einbeziehen. Bitte beachten Sie, dass Ledger unter Berücksichtigung der möglichen Gefahr durch physische Angriffe entwickelt wurde. Anweisungen zum Schutz Ihrer Person und zur Wachsamkeit finden Sie in den Best Practices für erweiterte Sicherheitsmaßnahmen. Wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite.

Wir empfehlen unseren Kunden, die sich über diese Möglichkeit Sorgen machen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.

Warum hat Ledger mehr als eine Woche gewartet, um öffentlich über diese Marketing- und E-Commerce-Datenpanne zu kommunizieren?

Wir wollten alle notwendigen Daten haben und mussten zuerst die gesetzlichen Bestimmungen einhalten.

Wir haben das Problem sofort behoben und eine interne Untersuchung eingeleitet, um den Umfang des Verstoßes zu bewerten. Wir haben auch mit Orange Cyberdefense nachgeforscht, um das Ausmaß des Verstoßes zu beurteilen. Am 24. Juli haben wir den OCD-Erstbericht erhalten.

Wir haben diesen Verstoß gegen die Datenschutzbestimmungen der französischen Datenschutzbehörde (CNIL) gemäß den geltenden Gesetzen gemeldet.

Befolgt Ledger die DSGVO?

Das Ziel von Ledger geht sogar über die einfache Einhaltung der DSGVO und anderer Datenschutzbestimmungen hinaus.  Innerhalb von drei Tagen nach Feststellung der Datenpanne meldete Ledger die Informationen der französischen Datenschutzbehörde und erhielt Aktualisierungen, sobald diese verfügbar waren. Ledger arbeitet auch und kommuniziert offen mit anderen Datenschutzbehörden. 

Das Datenschutzteam von Ledger wurde auch mobilisiert, um alle datenschutzbezogenen Fragen, die Kunden uns möglicherweise senden, zu beantworten und zu verwalten. Wenn Sie eine spezielle Anfrage zu Ihren Daten haben (Zugriff, Löschung …), senden Sie uns bitte eine E-Mail an privacy@ledger.fr.

Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Um mehr zu tun als gemäß der DSGVO nötig ist, fordern wir uns und Drittanbieter auf, diese Daten so kurz wie möglich aufzubewahren, um unseren Verpflichtungen gegenüber unseren Kunden (z.  B. der Ausführung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.

Was kann ich tun, um meine Daten in Zukunft zu schützen?

Hüten Sie sich vor Phishing-Versuchen, die sich als Ledger ausgeben, um Ihre Wiederherstellungsphrase anzufordern. Ledger wird Sie niemals nach den 24 Wörtern Ihrer Wiederherstellungsphrase fragen, auch nicht in Ledger Live, und Ledger wird Sie niemals per SMS oder Telefonanruf kontaktieren.

Wenn Sie die Sicherheit Ihrer Wiederherstellungsphrase verbessern möchten, empfehlen wir Ihnen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.

Welche Sicherheitsmaßnahmen wurden getroffen, um unsere persönlichen Daten zu schützen?

Um die Integrität und Vertraulichkeit Ihrer persönlichen Daten zu gewährleisten, implementieren wir geeignete physische, elektronische und organisatorische Verfahren, um personenbezogene Daten innerhalb unserer gesamten Services zu schützen und zu sichern.
Weitere Einzelheiten zu den implementierten Sicherheitsmaßnahmen finden Sie in unserer Datenschutzrichtlinie.
Wir setzen unter anderem folgende Sicherheitsmaßnahmen um:

• Zahlungsdatensicherheit: Wenn Sie uns Kreditkarteninformationen zur Verfügung stellen, werden diese Informationen mit einem sicheren Transport-Layer-Security-Protokoll (TLS) verschlüsselt und direkt an unseren Payment-Service-Provider (PSP) gesendet. Diese Informationen werden niemals auf unserem Server gespeichert.
• Sensibilisierungsprogramm und Mitarbeiterschulungen
• Datenverschlüsselung während des Transports und im Ruhezustand
• Rechenzentren werden regelmäßig geprüft
• Datenredundanz für Ausfallsicherheit bei Katastrophen
• Rollenbasierte Authentifizierung
• Zwei-Faktor-Authentifizierung unserer autorisierten Mitarbeiter
• Kontinuierliche Systemüberwachung
• Sicherheitsbewertungen nach Branchenstandard
• Unabhängige Sicherheitsüberprüfungen und Pentesting von Drittanbietern
• Einstellung eines neuen Chief Information Security Officers (CISO)
• Mehr als 200 Phishing-Websites seit dem ursprünglichen Verstoß entfernt

Sind Sie sicher, dass es auf Ihrer E-Commerce-Website kein ähnliches Problem gibt? Verwenden Sie andere APIs?

Wir haben eine interne Revision durchgeführt und keine weiteren Probleme festgestellt. Wir überprüfen das jedoch weiterhin regelmäßig, um dies weiter sicherzustellen. Wir führen regelmäßig externes Pentesting durch und ermutigen andere IT-Sicherheitsforscher, sich über unser Bug-Bounty-Programm an uns zu wenden.

Wie können Sie sicher sein, dass der im Mai bekannt gegebene mutmaßliche Verstoß gegen Shopify-Daten ein falscher Alarm war?

Wir hatten Zugriff auf eine Stichprobe der angeblich geleakten Datenbank und stellten fest, dass diese nicht mit unserer Datenbank übereinstimmte. 

Wie hat sich die Datenpanne auf Amazon-Bestellungen ausgewirkt, insbesondere auf Rechnungs-/Versandadressen?

Informationen aus Amazon-Bestellungen (einschließlich E-Mail-, Rechnungs- und Versandadressen aus Bestellungen) waren von der Datenpanne nicht betroffen.

Haben Sie Kenntnis von derzeit laufenden Phishing-Angriffe auf Ihre Kunden?

Ja, wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite. Phishing-Kampagnen gehören in dieser Branche zum Alltag. Deshalb haben wir die Ledger Academy gegründet, um unsere Benutzer zu schulen. Wir führen regelmäßig Kampagnen durch, um unsere Benutzer an die Gefahren von Phishing-Angriffen zu erinnern und Ihnen beizubringen stets Vorsicht walten zu lassen. Wir haben seit 2 Jahren ein Markenschutzteam, um solche missbräuchlichen Inhalte zu überwachen und durchzusetzen. 

Haben Sie identifiziert, wer Ihre Datenbank kompromittiert hat? Haben Sie eine Ahnung?

Nein. Wir haben beim französischen Staatsanwalt eine Strafanzeige eingereicht, die auf vorläufigen Beweisen basiert, die dank des unabhängigen forensischen Untersuchungsberichts von Orange Cyberdefense, den wir ständig aktualisieren, dargelegt wurden. Die Untersuchungen dauern an.

Kreuzen Sie meine Ledger Live-Daten mit anderen Daten? (E-Com, HW)

Nein, wir kreuzen sie nicht mit anderen Daten. 

Geben Sie Daten an Behörden weiter?

Ledger gibt keine Kundendaten weiter, es sei denn, dies ist nach geltendem Recht, wie in unserer Datenschutzrichtlinie beschrieben, erforderlich.

Warum löschen Sie Ihre Datenbank nicht? 

Aus rechtlichen Gründen sind wir verpflichtet, einige Transaktionsinformationen zu den Kontaktdaten unserer Kunden und deren Bestelldaten zu speichern.

In Übereinstimmung mit dem Grundsatz der Begrenzung der Aufbewahrung von Daten im Rahmen der geltenden Gesetze sind wir bestrebt, Daten nur so lange aufzubewahren, wie es zur Erfüllung solcher legitimer und rechtmäßiger Zwecke erforderlich ist, einschließlich der Erfüllung rechtlicher, buchhalterischer, steuerlicher oder sonstiger Berichtspflichten.

Wir können einige Ihrer personenbezogenen Daten mit eingeschränktem Zugriff für einen zusätzlichen Zeitraum archivieren, wenn es unbedingt erforderlich ist, dass wir unseren gesetzlichen und/oder behördlichen Archivierungspflichten und den geltenden Verjährungsfristen nachkommen. Am Ende dieses zusätzlichen Zeitraums werden Ihre verbleibenden personenbezogenen Daten dauerhaft aus unseren Systemen gelöscht oder anonymisiert.

Wenn Sie ein Produkt oder einen Service bei uns gekauft haben, können wir einige Transaktionsdaten, die Ihren Kontaktdaten beigefügt sind, aufbewahren, um unseren gesetzlichen, steuerlichen oder buchhalterischen Verpflichtungen für einen Zeitraum von maximal 10 Jahren gemäß den geltenden französischen Gesetzen nachzukommen. Dies lässt uns außerdem unsere Rechte verwalten (zum Beispiel unsere Ansprüche vor Gerichten geltend zu machen), während der geltenden französischen Verjährungsfristen.

Wir müssen auch einige Ihrer in dieser Datenbank enthaltenen personenbezogenen Daten aufbewahren, damit wir Ihre Fragen beantworten, potenzielle Ansprüche bearbeiten und Beweise für strafrechtliche Ermittlungen aufbewahren können.

Nach der Shopify-Datenpanne ändern wir die Art und Weise, wie wir mit diesen Daten umgehen und gehen damit über die Anforderungen der DSGVO hinaus und verfolgen einen Best-in-Class-Ansatz:

1. Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Wir streben an, diese Daten so kurz wie möglich zu halten, um unseren Verpflichtungen gegenüber unseren Kunden (z.  B. Abwicklung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Dies gilt auch für Drittanbieter. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
2. Wir wollen die Anzahl der Stellen reduzieren, an denen Ihre personenbezogenen Daten angezeigt werden.  Beispielsweise löschen wir die Namen, Adressen und Telefonnummern aus den Bestellbestätigungs-E-Mails, die wir an Sie senden, damit diese Daten nicht über unseren E-Commerce-E-Mail-Anbieter übertragen werden.
3. Wir werden ein Messaging-Modell implementieren, über das proaktiv wichtige Sicherheits- und technische Informationen über Ledger Live übertragen werden. E-Mails und soziale Medien werden NUR für die Übertragung von Produktnachrichten und Ankündigungen verwendet.
4. Wir werden eine detaillierte Neubewertung aller unserer Lieferanten und Partner durchführen, um sicherzustellen, dass sie weiterhin den höchsten Standards entsprechen.

Sind die 24 Wörter in der Datenbank gespeichert?

Nein, unsere Kunden haben die vollständige und alleinige Kontrolle über ihre Wiederherstellungsphrase. Ledger wird niemals Ihre Wiederherstellungsphrase anfordern. 

Wenn Sie unsere E-Commerce-Daten nicht schützen können, wie können Sie unsere Gelder schützen und sichern?

Dies ist die genaueste und legitimste Frage, die wir von unseren Kunden beantworten können. In der Tat haben wir uns seit der Gründung von Ledger auf die Sicherheit unserer Produkte konzentriert, da wir wussten, dass diese Branche starke, vollständig überwachte und überprüfbare Sicherheitslösungen benötigt. Wir sind entschlossen, unseren Kunden Sicherheitsprodukte anzubieten, die wir mit bestem Wissen überwachen.

Diese Datenpanne ist auf einen falsch konfigurierten API-Schlüssel eines Drittanbieters zurückzuführen, der auf unserer E-Commerce-Webseite gehostet wurde. Es hat nichts mit unseren Sicherheitsprodukten und ihren eigenen Infrastrukturen zu tun. Dies bedeutet nicht, dass diese Situation nicht ernst ist. Dies bedeutet, dass es sich nichts mit dem Sicherheitsniveau unserer Produkte zu tun hat.

Wir bedauern diesen Vorfall sehr. Wir nehmen Datenschutz sehr ernst. Wir haben dieses Problem dank unseres eigenen Bug-Bounty-Programms entdeckt und es sofort behoben. Unabhängig von allem, was wir getan haben, um diese Situation zu vermeiden und zu beheben, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten, die diese Angelegenheit bei unseren Kunden verursacht hat.

Diese Situation ist sehr stressig. Was soll mich beruhigen?

Wir verstehen Ihre Bedenken und bedauern diesen Vorfall zutiefst. Datenpannen und Phishing-Angriffe sind ein branchenweites Problem. Wir arbeiten jeden Tag weiter an diesem Problem und nehmen Datenschutz und Datensicherheit sehr ernst. Sobald wir dieses Problem dank unseres eigenen Bug-Bounty-Programms entdeckt haben, haben wir es sofort behoben und uns bemüht, Sie zu informieren. Unabhängig von allem, was wir getan haben, um diese Situation zu vermeiden und zu beheben, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten, die diese Angelegenheit bei unseren Kunden verursacht hat. Diese Datenpanne steht jedoch nicht im Zusammenhang mit unseren Hardware-Wallets und der Sicherheit von Ledger Live und hat keine Auswirkungen darauf.

Crypto Casey fasst die Situation hervorragend in diesem Video und diesem Podcast zusammen und zeigt, wie Sie sich schützen können.  Bitte unternehmen Sie alle Schritte, um sich und Ihre Krypto zu schützen. 

Ihre Krypto-Assets sind sicher und waren nie in Gefahr. Wir sind dankbar für das Vertrauen, das Sie in unsere Produkte gesetzt haben. In Zukunft können Sie von unseren Services ein Höchstmaß an Professionalität, Transparenz und Reaktionsfähigkeit erwarten.

Kennen, bieten oder empfehlen Sie es, einen Überwachungsservice für „ID-Diebstahl“?

Nein, wir empfehlen es nicht, einen solchen Service zu nutzen. Stattdessen empfehlen wir unseren Kunden, Vorsichtsmaßnahmen zu treffen und sich vor Phishing-Versuchen zu hüten, die sich als Ledger ausgeben, um Ihre Wiederherstellungsphrase anzufordern. Ledger wird Sie niemals nach den 24 Wörtern Ihrer Wiederherstellungsphrase fragen, auch nicht in Ledger Live, und Ledger wird Sie niemals per SMS oder Telefonanruf kontaktieren.

Wenn Sie die Sicherheit Ihrer Wiederherstellungsphrase verbessern möchten, empfehlen wir Ihnen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.

Was tun Sie, um zu verhindern, dass erneut eine Datenpanne auftritt?

Diese Datenpannen stellen uns vor eine große Herausforderung. Ihr Vertrauen ist uns sehr viel mehr wert als Ihre Daten. Aus diesem Grund haben wir uns entschlossen, den Umgang mit Daten bei Ledger vollständig zu ändern. Wir gehen damit über die Anforderungen der DSGVO hinaus und verfolgen einen Best-in-Class-Ansatz:

• Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Wir streben an, diese Daten so kurz wie möglich zu halten, um unseren Verpflichtungen gegenüber unseren Kunden (z.  B. Abwicklung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Dies gilt auch für Drittanbieter. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
• Wir wollen die Anzahl der Stellen reduzieren, an denen Ihre personenbezogenen Daten angezeigt werden.  Beispielsweise löschen wir die Namen, Adressen und Telefonnummern aus den Bestellbestätigungs-E-Mails, die wir an Sie senden, damit diese Daten nicht über unseren E-Commerce-E-Mail-Anbieter übertragen werden.
• Wir werden ein Messaging-Modell implementieren, über das proaktiv wichtige Sicherheits- und technische Informationen über Ledger Live übertragen werden. E-Mails und soziale Medien werden NUR für die Übertragung von Produktnachrichten und Ankündigungen verwendet.
• Wir werden eine detaillierte Neubewertung aller unserer Lieferanten und Partner durchführen, um sicherzustellen, dass sie weiterhin den höchsten Standards entsprechen.

Diebstähle und Angriffe wie diese müssen untersucht oder strafrechtlich verfolgt werden.  Damit Kryptowährungen sich entwickeln können, muss der Diebstahl von Kryptowährungen mit einer Strafe geahndet werden.  Wir arbeiten weiterhin mit Strafverfolgungsbehörden sowie privaten Ermittlern in diesen Fällen zusammen und fügen mehr Schlagkraft hinzu:

• Wir stellen zusätzliche private Ermittler ein und gewinnen somit Erfahrung und Ansätze, um die Verantwortlichen für diese Datendiebstähle zu finden.  Wir werden weiterhin mit den globalen Strafverfolgungsbehörden zusammenarbeiten, um die Verantwortlichen zu finden, zu verhaften und strafrechtlich zu verfolgen, wo immer dies möglich ist.
• Wir setzen eine Belohnung für neue Informationen, die legal erhalten werden und zur Identifizierung, Verhaftung und erfolgreichen strafrechtlichen Verfolgung der Verantwortlichen für die Angriffe gegen Ledger und unsere Kunden führen.  Ledger hat ein Wallet mit 10 BTC (Adresse: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) als anfängliche Belohnung gesetzt. Dies wird nach Ermessen von Ledger ausgezahlt und berücksichtigt Faktoren wie, ob die Informationen legal eingeholt wurden. Sind sie neu? Wie umfangreich sind die Informationen und inwieweit werden sie dazu beitragen, die Ermittlungen voranzutreiben und eine direkte Möglichkeit zur strafrechtlichen Verfolgung der schuldigen Personen zu schaffen? War diese Verfolgung erfolgreich? Im Allgemeinen unterliegt es den hier verfügbaren Bestimmungen unseres Belohnungsprogramms.
• Wir geben unsere Absicht bekannt, bei dieser Initiative mit anderen in der Branche zusammenzuarbeiten.  Wir haben uns auch an andere Unternehmen und Einzelpersonen in der Branche gewandt, um das Belohnungsprogramm für Straftaten gegen die Krypto-Community finanziell zu unterstützen.  CEOs anderer Unternehmen im Kryptobereich, wenn Sie sich uns bei diesem Projekt anschließen möchten, setzen Sie sich bitte umgehend mit uns in Verbindung