전자상거래 및 마케팅 데이터 침해 - 자주 묻는 질문
7월 14일, 한 연구원이 바운티 프로그램을 통해 당사 전자상거래 및 마케팅 데이터베이스의 데이터 침해 사실을 알려주었습니다. 당사는 즉시 데이터 침해 사항을 수정하고 내부 조사에 착수했습니다. 노출된 데이터에 무단 액세스가 있었음을 확인했습니다. 사용자의 자금은 안전합니다.
12월 20일, 당사는 Ledger 고객 데이터베이스 콘텐츠의 덤핑에 대한 통보를 받았습니다. 여전히 조사를 진행하고 중이지만, 초기 징후를 보면 이전에 발생했던 전자상거래 데이터베이스 침해 관련 콘텐츠일 가능성이 높습니다.
12월 23일, 당사는 당사 전자상거래 서비스 공급자인 쇼피파이로부터 해당사 내부 지원 팀의 부정한 직원이 Ledger를 포함한 고객사 거래 기록을 획득했던 판매자 데이터 사건 관련 통지를 받았습니다.
아래의 자주 묻는 질문에 대한 답변을 확인하고 데이터 침해에 대한 세부사항은 Ledger 블로그 게시물을, 쇼피파이 사건은 이 글을 참고하시기 바랍니다.
내 개인정보(이름, 주소, 전화번호)가 노출되었나요?
7월 침해 사례를 발견 후 당사는 로그를 통해 확인한 바로 개인 정보가 유출되었음이 확인된 9,500명의 고객 모두에게 이메일을 보냈습니다. 해당 시점에 이메일을 수령하지 않은 경우, 귀하의 이메일 주소 외 다른 개인 정보가 유출되었다는 증거는 없습니다.
당사가 12월 20일 데이터 덤핑 사실을 확인한 후, 초기 9,500명의 고객보다 더 많은 고객 집합에서 개인 정보가 노출되었음이 명백해졌습니다. 당사는 해당 그룹의 모든 고객(~272,000명의 개인)에게 이메일을 발송했습니다. 만약 이 세부 개인 정보 그룹에 속해있다면, 2020년 12월 21일 해당 사실을 알리는 구체적인 이메일을 받아보셨을 것입니다.
1월 13일, 당사는 쇼피파이 침해 사건의 영향을 받은 약 292,000명의 고객에게 해당 사실을 알렸습니다. 귀하의 정보가 본 쇼피파이 침해 사건으로 인해 유출되었다면 당시 이메일로 알림을 받으셨을 것입니다. 이메일 제목은 "보안 알림: Ledger가 쇼피파이 데이터베이스 침해 대상에 포함되어 있습니다"이며, 2021년 1월 13일 오후 4시(CET) 경에 발송된 이메일입니다.
2020년 7월 데이터 침해에서는 무슨 일이 있었나요?
공격자는 당사 웹사이트에서 잘못 구성된 타사 API 키를 통해 당사의 전자상거래 및 마케팅 데이터베이스의 일부에 접근하여 고객 연락처 및 주문 데이터에 무단으로 액세스 했습니다.
해당 솔루션 제공사는 누구인가요? 왜 타사에서 고객 데이터를 처리하나요?
Ledger 전자상거래 및 마케팅 팀은 타사 솔루션(Iterable)을 사용하여 ledger.com에서 제품을 구매하거나 뉴스레터를 구독을 위해 가입한 고객의 활동을 분석하고 마케팅 이메일을 전송합니다.
이 문제는 언제부터 일어났나요?
문제가 되고 있는 잘못 구성된 타사 API는 2018년 8월 9일부터 실행되고 있습니다. Ledger가 가지고 있는 증거와 기록을 기반으로 미루어볼 때, 2020년 4월부터 2020년 6월 28일까지 노출 문제가 발생했고 정보가 무단으로 이용당했다고 생각합니다.
쇼피파이에 무슨 일이 있었나요?
2020년 12월 23일, 당사의 전자상거래 서비스 공급자인 쇼피파이로부터 해당사 지원 팀의 부정한 직원이 고객 거래 기록(Ledger 기록 포함)을 획득했던 판매자 데이터 사건 관련 통지를 받았습니다. 해당 직원은 2020년 4월과 6월에 고객 거래 기록을 불법으로 반출했습니다. 쇼피파이에 따르면 이는 200여 곳의 판매사가 연관되어 있는 2020년 9월에 통보된 사건과 관련이 있지만, 2020년 12월 21일까지 쇼피파이는 Ledger가 해당 공격의 대상이라는 사실을 밝혀내지 못했습니다. 쇼피파이는 이 문제에 대한 조사를 계속하기 위해 디지털 포렌식 전문가를 불러와 상담했으며 캐나다와 미국 모두의 법 집행 기관에 관련 문제를 보고했다고 전했습니다.
포렌식 회사인 Orange Cyberdefense와의 협력을 통해, 당사는 해당 사건이 약 292,000명의 고객에게 영향을 미칠 수 있었을 것이라는 사실을 확인할 수 있었습니다. 데이터베이스는 이전 공격에 노출되었던 데이터와 93%와 유사하지만, 이 침해 내용에는 이메일, 이름, 우편 번호, 제품 주문 및 전화번호를 포함하여 약 2만 개의 새로운 고객 기록이 포함되어 있습니다.
2020년 6월 말 이후 Ledger 제품을 구매하셨거나 Ledger.com 이외의 곳에서 제품을 구매하셨다면, 해당 사건에서 귀하의 개인 정보는 노출되지 않았습니다.
Ledger의 고객 데이터베이스에서 어떤 데이터 유형이 유출되었나요?
두 번의 침해에서 노출된 정보는 전자상거래 및 마케팅 데이터베이스와 관련이 있습니다. 여기에는 이메일, 이름, 성, 전화번호 및 우편 주소와 구입한 제품 유형을 포함하고 있습니다.
여기에 신용 카드 정보는 포함되어 있지 않습니다.
당사는 성, 이름, 전화번호, 우편 번호, 구입한 제품과 같은 대략 292,000개의 개인 정보 기록과 함께 대략 1백만 개의 이메일 주소가 유출되었다는 사실을 알게 되었습니다.
2020년 7월에 작성된 개인 세부 정보(이름, 우편 번호, 전화번호)의 수는 해당 사건으로 영향을 받았다는 증거가 있는 고객이 9,500명이라는 당사가 계약한 제3자 보안 컨설팅 회사의 포렌식 분석을 바탕한 것입니다. 당사는 당시 제공받은 최선의 정보를 이용해 신속하게 대응했습니다. 지금은 공개된 데이터베이스를 통해 약 272,000명의 사용자에 대한 자세한 정보(이름, 우편 주소, 전화번호)가 유출되었음을 확인할 수 있습니다.
데이터 침해는 해결되었나요?
7월 데이터 침해 관련: 7월에 데이터 침해가 발견되자마자, 저희는 이 문제를 당일에 해결하고 해당 API키를 비활성화했습니다.
쇼피파이 데이터 침해 관련: 사건을 인지하고 있었기 때문에, 쇼피파이는 즉시 직원 네트워크 액세스를 일시 중단하고, 직원 노트북을 압수해 디지털 포렌식 전문가를 참여시켜 상담을 받고 조사를 계속 진행했습니다.
당사는 미래에 더 강력한 Ledger 되기 위해 가능한 모든 노력을 아끼지 않고 있습니다. Ledger는 신임 CISO(정보보호 최고 책임자)를 고용하여 이미 강력한 시스템을 더욱 강화하고 있습니다. 이를 시험해보기 위해 외부 보안 업체와의 협력 하에 침투 테스트와 포렌식 분석을 시행했고, 당사 전자상거래 시스템에서 추가 취약점을 발견했습니다.
당사는 범죄자들을 기소하기 위해 법 집행 기관과 끊임없이 협력하고 있습니다. 프랑스의 데이터 보호 기관에 데이터 침해에 관련 사실을 알리고 전 세계의 다양한 데이터 보호 기관과 협력하고 있습니다.
고객 자금이 영향을 받나요?
아니요. 지불 정보, 인증서(패스워드), 암호화폐는 영향을 받지 않았습니다. 이 데이터 침해는 하드웨어 지갑 및 Ledger Live 애플리케이션에는 아무런 영향을 주지 않습니다. 사용자의 암호화폐는 안전하며 전혀 위험하지 않습니다.
당사의 보안 모델을 사용하면 공격자는 복구 문구 및 개인 키와 같은 하드웨어 장치와 관련한 민감한 정보에 액세스할 수 없습니다. 사용자는 해당 정보를 완전하게 통제하고 액세스할 수 있는 유일한 사람입니다.
은행 계좌 번호, 사회 보장 정보와 같은 "비공개 식별 정보"는 어떤가요?
개인 정보 보호 정책에 명시된 대로 Ledger는 해당 정보를 결코 요청하거나 보유하지 않습니다.
고객 정보는 사내에서 처리하나요? 아니면 타사 업체가 처리하나요?
당사는 개인 정보 보호 정책에 따라 데이터 제어기로써 적용 가능한 계약 및 법적 제도 내에서 사용자 데이터 중 일부를 지불 서비스 제공자(PSP) 인프라, 물류, 기타 서비스 제공자와 같은 제3자 업체에 전송할 수 있습니다.
몸값 요구가 있었나요?
일부 몸값 요구가 있었다고 알고 있습니다. 동일한 메시지가 이메일과 SMS을 통해 다른 언어로 전송되고 있기 때문에 이것이 또 다른 글로벌 스캠 시도라고 생각합니다. 당사는 전용 페이지에서 관련 광고를 지속적으로 모니터링하고 있습니다.
이 문제를 해결하기 위해 Ledger는 어떤 해결 조치를 취하고 있나요?
- 당사는 해당 데이터 침해 문제를 즉시 해결했습니다.
- 내부 및 외부 포렌식 전문가(Orange CyberDefense)와의 협력을 통해 즉시 데이터 침해 조사에 착수했고 제 3자가 고객 데이터에 무단으로 액세스 했음을 발견했습니다.
- 당사는 프랑스 데이터 보호 기관에 데이터 침해 사실을 통보하고 상황을 업데이트했습니다.
- 고객에게 이 사실을 통보했습니다.
- 프랑스 검찰에 공식적으로 형사고소를 하고 새로운 정보를 보내주고 있습니다.
- 내부적으로 침투 테스트를 실시했으며, 2020년 9월로 예정된 외부 침투 테스트를 적극 추진하고 있습니다.
- 관련 법률을 계속해서 준수할 수 있도록 데이터 보관 정책에 대한 정기적 내부 감사 계획을 세웠습니다.
- 원래는 하드웨어와 금고(Vault) 제품에 초점을 두었던 보안 및 조직 프로그램의 범위를 전자상거래로 확장하고 있으며, ISO 27001에 명시된 요구 사항을 충족을 위한 절차를 밟고 있습니다.
해커가 획득한 정보로 2단계 인증(2FA) 조치를 생략할 수 있나요?
아니요. 2FA는 Ledger의 보안 체계와 무관하기 때문에, 당사의 전자상거래 웹사이트는 어떠한 로그인/패스워드 정보도 보유하지 않습니다.
실제로 물리적 강탈 사실을 보고하는 사용자가 있나요?
당사가 아는 범위 내에서는 없습니다. 과거에도 최근에도 그런 사례는 없었지만 최근 스캠에는 물리적 폭력의 위협도 포함됩니다. 이러한 위협을 받게 될 경우, 즉시 현지 사법 기관에 문의하세요. 또한, 이 페이지를 통해 당사에 위협 관련 사실을 알리고 조사에 참여해 달라고 요청할 수 있습니다. Ledger는 신체적인 공격을 염두에 두고 설계되었습니다. 자신을 보호하고 주변을 경계할 수 있는 방법은 고급 보안 조치 관련 모범 사례를 참고해 주세요. 당사는 전용 페이지에서 캠페인을 지속적으로 모니터링하고 있습니다.
만일의 사태를 염려하는 고객은 고급 보안 조치를 위한 모범 사례를 참조해 주시고, 긴급한 상황에서 잘못된 PIN 코드를 3번 입력하면 장치를 리셋할 수 있다는 사실을 기억해 두시기 바랍니다.
Ledger가 마케팅 및 전자상거래 데이터 침해 관련 공개적 커뮤니케이션을 하기까지 일주일 이상을 기다렸던 이유는 무엇인가요?
당사는 필요한 모든 정보를 확보하고 싶었고, 우선 법률 규정을 따라야 했습니다.
당사는 즉시 해당 문제를 해결하고 위반의 범위를 평가하기 위한 내부 조사에 착수했습니다. 또한, Orange Cyberdefense와 협력하여 침해 범위를 조사했고 7월 24일에 첫 OCD 보고를 받았습니다.
당사는 프랑스 데이터 보호 기관인 CNIL의 적용 가능한 법률에 따라 데이터 침해 사실을 통보했습니다.
Ledger는 GDPR을 준수하나요?
Ledger의 기본적인 GDPR 및 기타 데이터 보호 규정 준수 이상을 목표로 합니다. 데이터 침해를 발견하고 3일 이내에, Ledger는 프랑스 데이터 보호 기관에 해당 사실을 보고하였고, 필요한 정보를 업데이트 받았습니다. Ledger는 다른 데이터 보호 기관과도 공개적으로 협력하고 소통하고 있습니다.
Ledger의 프라이버시 팀은 고객이 보낼 수 있는 모든 개인정보 관련 질의에 응답하고 대응합니다. 데이터와 관련해 특별한 요청 사항이 있는 경우(액세스, 삭제 등) 여기에 있는 양식을 작성하세요.
Ledger의 목표는 가능한 한 빨리 고객의 이름, 주소 및 전화번호와 같은 개인 정보를 완전히 삭제하는 것입니다. GDPR이 요구 사항 이상을 목표로, 당사 내부적으로도 타사 공급 업체 에게도 이러한 데이터를 고객에 대한 당사의 의무(고객 주문 이행 등)와 법적 의무(회계 및 법적 의무) 이행에 필요한 최소 기간 동안만 보관하도록 요구하고 있습니다. 보관해야 할 데이터는 더욱 차별화된 환경으로 분리하여 보관합니다. 예를 들어, 고객 주문 제품 배송 후 3개월이 지나면, 이름, 주소, 전화번호와 같은 고객의 전자상거래 주문 정보를 분리된 환경에 보관하기 위해 노력하고 있습니다.
앞으로 내 정보를 보호하려면 어떻게 해야 하나요?
Ledger를 사칭해 복구 문구를 요청하는 피싱 사기 시도를 조심해야 합니다. Ledger Live와 Ledger는 절대 사용자에게 24개의 단어 복구 문구를 요청하지 않으며 문자메시지나 전화를 통해 연락하지 않습니다.
복구 문구의 보안성을 더욱 높이고자 한다면 고급 보안 조치를 위한 모범 사례를 참조해 주시고, 긴급한 상황에서 잘못된 PIN 코드를 3번 긴급 입력하면 장치를 리셋할 수 있음을 기억해 두시기 바랍니다.
사용자 개인 정보 보호를 위한 보안 대책에는 어떤 것이 있나요?
개인정보의 무결성과 기밀성 보장을 위해 당사는 적절한 물리적, 전자적, 조직적 절차를 도입하여 서비스 전반적으로 개인 정보를 안전하게 보호하고 있습니다.
시행된 보안 조치에 대한 자세한 내용은 개인 정보 보호 정책에서 확인하시기 바랍니다.
특히 다음과 같은 보안 절차를 실행하오니 참고하세요:
- 지불 데이터 보안: 사용자가 Ledger에 신용 카드 정보를 제공하는 경우 이런 정보는 안전한 인터넷 거래 프로토콜(TLS)을 통해 암호화되고 결제 서비스 제공 업체(PSP)로 바로 전송됩니다. 해당 정보는 Ledger 서버에 저장되지 않습니다.
- 인식 프로그램 및 직원 교육
- 전송 및 미사용 시 데이터 암호화
- 정기적으로 데이터 센터 감사
- 사고 발생시 회복을 위한 데이터 이중화
- 역할 기반 인증
- 승인된 직원에 대한 이중 인증
- 지속적인 시스템 모니터링
- 업계 표준 보안 평가
- 독립적인 제 3자 보안 검토 및 침투 테스트
- 신임 CISO(정보보호 최고 책임자) 고용
- 최초 침해 이후 200개가 넘는 피싱 사기 웹사이트 중단
Ledger의 전자상거래 사이트에 다른 유사한 문제가 없는 게 확실한가요? 다른 API를 사용하나요?
Ledger는 내부 감사를 실시했고 다른 어떤 문제도 발견하지 못했지만 계속해서 이 문제를 정기적으로 평가하고 있습니다. 또한 정기적으로 외부 침투 테스트를 수행하며, 버그 바운티 프로그램을 통해 다른 IT 보안 연구원이 Ledger에 연락하도록 권장합니다.
5월에 발표된 쇼피파이 데이터 침해가 거짓이라는 것을 어떻게 확신하나요?
Ledger는 유출된 데이터베이스의 샘플에 액세스하여 해당 샘플이 Ledger의 데이터베이스와 일치하지 않는다는 것을 알게 되었습니다.
해당 데이터 침해가 Amazon 주문, 구체적으로는 청구 및 배송 주소에 어떻게 영향을 주었나요?
해당 데이터 침해는 Amazon 주문을 통한 정보(주문에 대한 이메일, 청구 및 배송 주소 포함)에 어떤 영향도 끼치지 못했습니다.
계속 존재하던 Ledger의 고객에 대한 피싱 공격에 대해 알고 있었나요?
예, Ledger는 전용 페이지에서 광고를 계속 모니터링합니다. 피싱 사기 광고가 업계에서 매우 일반적으로 발생하기에, Ledger는 사용자 교육을 위한 Ledger 아카데미를 설립했습니다. Ledger는 정기적으로 진행하는 캠페인을 통해 사용자에게 피싱 공격의 위험을 상기시키고 항상 주의를 기울이도록 합니다. 또한 악의적인 콘텐츠를 모니터링하고 강제하기 위해 2년 간 브랜드 보호팀 운영했습니다.
데이터베이스를 손상시킨 대상을 밝혀냈나요? 다른 단서가 있나요?
아니오. Ledger는 당사가 지속적으로 업데이트하고 있는 Orange Cyberdéfense의 독립적인 수사 포렌식 보고로 드러난 최초 증거를 기반으로 프랑스 검찰에 형사고소장을 제출했으며, 수사를 진행 중입니다.
Ledger는 다른 데이터(전자상거래, HW)와 Ledger Live 데이터를 공유하나요?
아니요, 공유하지 않습니다.
데이터를 정부와 공유하나요?
Ledger는 개인 정보 보호 정책에 명시된 대로 관련 법이 요구하지 않는 한 고객 정보를 공유하지 않습니다.
Ledger의 데이터베이스를 삭제하지 않는 이유는 무엇인가요?
법적인 이유로, Ledger 고객의 연락처 및 주문 데이터와 관련된 일부 거래 정보를 반드시 저장해야 합니다.
관련 법률로 규정된 데이터 저장 제한 원칙에 따라, 법률, 회계, 세금 또는 기타 규정 준수 보고 요건 충족을 포함하여 적법하고 법적인 목적을 준수하는 데 필요한 시간 이상으로 데이터를 보관하지 않고자 노력하고 있습니다.
Ledger는 데이터 보관에 대한 법적 및/또는 규정상 보관 의무와 관련 시효 기간을 준수하는 데 반드시 필요할 경우, 제한된 액세스 권한으로 사용자의 일부 개인 정보를 필요한 추가 기간 동안 보관할 수 있습니다. 해당 추가 기간이 끝나면 남아 있는 귀하의 개인 정보는 시스템에서 영구적으로 삭제되거나 익명화됩니다.
Ledger의 제품 또는 서비스를 구매한 경우, 프랑스 관련 법률에 규정된 대로 최대 10년 동안 법적, 세금 또는 회계 상의 의무를 준수하기 위해 고객 연락처 세부사항에 첨부된 거래 데이터를 보유할 수 있으며, 관련 프랑스 법령의 시효 기간 동안 Ledger의 권리를 위해서 사용할 수 있습니다(예를 들어, 법원에서 청구를 주장하는 경우).
또한 사용자 질문에 답하고 잠재적인 청구 처리, 범죄 조사에 대한 증거를 보유하기 위해 해당 데이터베이스에 포함된 일부 개인 정보를 보유해야 합니다.
쇼피파이 데이터 침해 사건 이후, Ledger는 데이터 처리 방식을 변경하여 GDPR 원칙을 뛰어넘는 동급 최고 수준의 접근 방식을 채택합니다.
- Ledger의 목표는 가능한 한 빨리 고객의 이름, 주소 및 전화번호와 같은 개인 정보를 완전히 삭제하는 것입니다. 당사 내부적으로도 타사 공급 업체 에게도 이러한 데이터를 고객에 대한 당사의 의무(고객 주문 이행 등)와 법적 의무(회계 및 법적 의무) 이행에 필요한 최소 기간 동안만 보관하도록 요구하고 있으며, 보관해야 할 데이터는 더욱 차별화된 환경으로 분리하여 보관합니다. 예를 들어, 고객 주문 제품 배송 후 3개월이 지나면, 이름, 주소, 전화번호와 같은 고객의 전자상거래 주문 정보를 분리된 환경에 보관하기 위해 노력하고 있습니다.
- 개인 정보가 표시되는 부분을 최소화하고자 합니다. 예를 들어, 고객에게 발송하는 주문 확인 이메일에서 이름, 주소 및 전화번호를 삭제하여 이 데이터가 전자상거래 이메일 공급자에게 전달되지 못하도록 할 것입니다.
- 중요한 보안 및 기술 정보는 Ledger Live를 통해 전달되는 메시지 모델을 구현하고, 이메일과 소셜 미디어는 제품 메시지와 공지사항 전달에만 사용할 예정입니다.
- 모든 공급자 및 파트너를 철저히 재평가하여 계속해서 가장 엄격한 기준을 충족할 수 있도록 할 것입니다.
24개의 단어는 데이터베이스에 저장되어 있나요?
아니요, Ledger 고객은 자신의 복구 문구를 직접 전적으로 통제합니다. Ledger는 복구 문구를 결코 요청하지 않습니다.
Ledger가 전자상거래 데이터를 보호할 수 없다면, 내 자금을 어떻게 보호하고 지켜줄 수 있나요?
이 점은 Ledger가 고객에게 가장 정확하고 적법하게 답변드릴 수 있는 부분입니다. 사실상, Ledger 창립 이래, 당사가 가장 중점을 둔 부분이 바로 보안입니다. 이 업계에서 도약하려면 강력하고 완전한 모니터링과 감사가 가능한 보안 솔루션이 필요하다는 점을 알고 있었기 때문이며, 그런 이유로 당사는 고객에게 업계 최고 수준의 지식을 기반으로 모니터링하는 보안 제품을 제공하고자 최선을 다하고 있습니다.
이러한 데이터 침해는 Ledger 전자상거래 웹페이지 상에서 호스팅되는 잘못 구성된 타사 API키로 인해 발생하는 것으로, 당사의 보안 제품 및 인프라와는 아무런 관련이 없습니다. 그렇다고 해서 이 상황이 심각하지 않다는 의미는 아니며, 해당 데이터 침해가 Ledger 제품의 보안 레벨과 무관하다는 것을 의미합니다.
Ledger 이번 일이 발생한 것에 대해 매우 유감스럽게 생각합니다. Ledger는 프라이버시를 매우 중요하게 여기며, 당사는 "버그 바운티 프로그램" 덕분에 이 문제를 바로 발견하고 즉시 해결했습니다. 하지만 이 상황이 발생하지 않도록 피하고 해결하기 위해 Ledger가 취한 모든 조치와는 무관하게, 이 문제로 인해 불편을 겪은 모든 고객분들께 진심으로 사과드립니다.
이 상황으로 인한 스트레스가 굉장히 심합니다. 제가 무엇을 믿고 안심해야 할까요?
Ledger는 고객의 우려 사항을 잘 이해하고 있으며 이번 일이 발생한 것을 매우 유감스럽게 생각합니다. 데이터 침해와 피싱 공격은 산업 전반적인 문제입니다. 당사는 매일 이 문제를 계속 연구하고 있으며, 프라이버시와 데이터 보안을 매우 중요하게 생각하고 있습니다. Ledger의 버그 바운티 프로그램 덕분에 이 문제를 발견하자마자 즉시 수정했으며 해당 사실을 사용자에게 바로 알리기 위해 노력했습니다. 하지만 이 상황이 발생하지 않도록 피하고 해결하기 위해 Ledger가 취한 모든 조치와는 무관하게 이 문제로 인해 불편을 겪은 고객분들께 진심으로 사과드립니다. 그러나 이 데이터 침해는 하드웨어 지갑 및 Ledger Live 보안에는 아무런 영향을 주지 않습니다.
크립토 케이시(Crypto Casey)가 이 영상과 팟캐스트를 통해 이 상황을 잘 요약하고 스스로를 지키는 방법에 대해 잘 설명해주었습니다. 모든 단계를 따라가며 자신과 자신의 암호화폐를 보호하시기 바랍니다.
사용자의 암호화폐는 안전하며 위험했던 적이 없습니다. Ledger 제품을 신뢰해 주셔서 대단히 감사드리며 앞으로도 Ledger 서비스를 통해 최고 수준의 전문성, 투명성, 대응력을 제공해드리겠습니다.
"ID 도용" 모니터링 서비스를 알고 있거나, 제공하거나 권장하나요?
아니요, 그런 서비스 사용은 권장드리지 않습니다. 그 대신, Ledger를 사칭해 복구 문구를 요청하는 피싱 사기 시도에 대해 인지하고 예방 조치를 취할 것을 권장합니다. Ledger Live와 Ledger는 절대 사용자에게 24개 단어로 구성된 복구 문구를 요청하지 않으며 문자메시지나 전화를 통해 연락하지 않습니다.
복구 문구의 보안성을 더욱 높이고자 한다면 고급 보안 조치를 위한 모범 사례를 참조해 주시고, 긴급한 상황에서 잘못된 PIN 코드를 3번 긴급 입력하면 장치를 리셋할 수 있음을 기억해 두시기 바랍니다.
데이터 침해가 다시는 발생하지 않도록 하기 위해 Ledger는 어떤 노력을 하나요?
이번 데이터 침해로 인해 Ledger는 큰 타격을 입었습니다. 당사에 있어 사용자의 신뢰는 사용자 데이터 이상의 가치를 가집니다. 이런 이유로 Ledger는 데이터 처리 방식을 완전히 바꾸기로 결정했습니다. Ledger는 데이터 처리 방식을 변경하고 있으며 GDPR 원칙을 뛰어넘어 업계 최고 수준의 접근 방식을 취하고자 합니다.
- Ledger의 목표는 가능한 한 빨리 고객의 이름, 주소 및 전화번호와 같은 개인 정보를 완전히 삭제하는 것입니다. 당사 내부적으로도 타사 공급 업체 에게도 이러한 데이터를 고객에 대한 당사의 의무(고객 주문 이행 등)와 법적 의무(회계 및 법적 의무) 이행에 필요한 최소 기간 동안만 보관하도록 요구하고 있으며, 보관해야 할 데이터는 더욱 차별화된 환경으로 분리하여 보관합니다. 예를 들어, 고객 주문 제품 배송 후 3개월이 지나면, 이름, 주소, 전화번호와 같은 고객의 전자상거래 주문 정보를 분리된 환경에 보관하기 위해 노력하고 있습니다.
- 개인 정보가 표시되는 부분을 최소화하고자 합니다. 예를 들어, 고객에게 발송하는 주문 확인 이메일에서 이름, 주소 및 전화번호를 삭제하여 이 데이터가 전자상거래 이메일 공급자에게 전달되지 못하도록 할 것입니다.
- 중요한 보안 및 기술 정보는 Ledger Live를 통해 전달되는 메시지 모델을 구현하고, 이메일과 소셜 미디어는 제품 메시지와 공지사항 전달에만 사용할 예정입니다.
- 모든 공급자 및 파트너를 철저히 재평가하여 계속해서 가장 엄격한 기준을 충족할 수 있도록 할 것입니다.
이와 같은 절도나 공격은 반드시 조사하거나 기소해야 합니다. 암호화폐가 잘 자리잡기 위해서는 암호화폐 절도에 대한 대가를 반드시 치루도록 해야 합니다. 당사는 이 사건과 관련하여 사법 기관뿐 아니라 민간 조사 기관과도 계속 협력하고 있으며, 더 많은 힘을 보태고자 노력 중입니다.
- Ledger는 해당 절도의 책임 소재를 찾기 위해 추가적인 사설 조사 인력을 고용하고 다양한 경험과 접근방식을 추가하고 있습니다. 당사는 가능하다면 이 문제에 대해 책임을 져야 할 인물을 찾고, 체포하고, 기소하기 위해 전 세계 사법 기관과 계속해서 협력할 것입니다.
- Ledger는 합법적으로 취득한 새로운 정보 제공에 대한 바운티(bounty)를 준비하여 Ledger 및 Ledger 고객에 대한 공격에 책임이 있는 사람들의 신분 확인, 체포 및 성공적인 기소를 이끌어 내고자 합니다. Ledger는 10 BTC가 들어있는 지갑(주소: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd)을 초기 바운티 저장고로 마련했습니다. 이는 정보를 합법적으로 취득했는지, 새로운 정보인지, 정보가 얼마나 실질적이고, 조사 진전과 책임 있는 개인을 기소하는데 도움을 주었고 해당 기소가 얼마나 성공적인지 등의 요소를 고려하여 Ledger에서 재량으로 판단하고 지급할 계획입니다. 자세한 정보는 여기 당사 바운티 프로그램 이용약관을 따릅니다.
- Ledger는 이 계획에 대해 업계의 다른 사람들과 협력하려는 의도를 알리고자 합니다. Ledger는 암호화폐 커뮤니티에서 일어나는 범죄에 반하여 다양한 회사와 개인이 이 바운티 프로그램에 계속해서 자금을 지원하며 동참하도록 권장하고 있습니다. 이 프로젝트에 함께 참여하고 싶은 암호화폐 산업 분야의 다른 회사 CEO들은 즉시 연락 주시기 바랍니다.
Perte de confidentialité de données de e-commerce et marketing - FAQ
Le 14 juillet, un chercheur nous a contactés via notre programme de primes pour nous informer d’une faille de sécurité sur notre base de données de commerce électronique et de marketing. Nous avons immédiatement mis un terme à la violation de données et lancé des enquêtes internes. Nous avons constaté que les données avaient fait l’objet d’un accès non autorisé. Vos fonds sont en sécurité.
Le 20 décembre, nous avons été informés de l’exposition d’une base de données clients de Ledger. Nous pensons qu’il s’agit du contenu de notre base e-commerce du mois de juin 2020.
Le 23 décembre, Shopify, notre fournisseur de services de commerce en ligne nous a notifié un incident impliquant des données de ses marchands au cours duquel un ou plusieurs membres malhonnêtes de leur service client ont obtenu des données transactionnelles, y compris certaines de Ledger.
Vous trouverez ci-dessous les réponses aux questions fréquemment posées. Pour tous les détails concernant la violation de données, nous vous invitons à vous référer à cet article de blog.
Mes données personnelles (nom, adresse, numéro de téléphone) sont-elles compromises ?
Après avoir découvert la brèche en juillet, nous avons envoyé un e-mail à l’ensemble des 9 500 clients pour lesquels les informations dont nous disposions indiquaient que leur données personnelles avaient été divulguées. Si vous n’aviez pas reçu cet e-mail à ce moment, cela signifie que nous n’avions aucune preuve que vos données personnelles avaient été divulguées, à l’exception de votre adresse e-mail.
Après avoir été informés du transfert de données du 20 décembre, il est apparu clairement qu’un sous-ensemble plus important que les 9 500 clients initiaux avait vu ses données personnelles exposées. Nous avons envoyé un e-mail à tous les clients de ce sous-ensemble (~272 000 personnes). Si vous faisiez partie de ce sous-ensemble vous avez reçu le 21 décembre 2020 un e-mail spécifique vous en informant.
Le 13 Janvier 2021, nous avons envoyé une communication aux environ 292 000 clients impactés par la violation de données Shopify. Si vos données ont été compromises au cours de la violation de données Shopify vous avez été notifiés par email. Le titre de l’email est “SECURITY NOTICE: Ledger included in Shopify database breach”. Ce mail a été envoyé autour de 16:00 CET le 13 janvier 2020.
Que s’est-il passé lors de la perte de confidentialité de données du mois de juillet 2020?
Une personne a mené une attaque pour obtenir l’accès à une partie de notre base de données e-commerce et marketing au travers d’une clé API tierce qui était mal configurée sur notre site web, ce qui a permis un accès non autorisé aux informations de contact de clients et à leurs commandes.
Qui est cette solution tierce ? Pourquoi utilisaient-ils des données client ?
Les équipes e-commerce et marketing de Ledger utilisent une solution tierce (Iterable) pour analyser les transactions et envoyer des emails marketing aux clients qui ont acheté des produits sur ledger.com, ou qui se sont abonnés à nos newsletters.
Depuis quand ce problème existe-t-il ?
La mauvaise configuration de la clé d’API tierce en question était présente depuis le 9 août 2018. Sur la base des preuves et des registres dont nous disposons, nous pensons qu’elle a été découverte et exploitée d’avril 2020 jusqu’au 28 juin 2020.
Que s’est-il passé avec Shopify?
Le 23 décembre 2020 nous avons reçu une notification de notre fournisseur de service e-commerce, Shopify, au sujet d’un incident visant les données de ses marchands. Au cours de cet incident, un ou des agents malhonnêtes du support client de Shopify ont obtenu des fichiers des transactions de plusieurs marchands, dont ceux de Ledger. Le ou les agents ont exporté illégalement les données de transactions de clients Ledger aux mois d’avril et de juin 2020. D’après Shopify, cet incident est en lien avec celui communiqué en septembre 2020 qui a impacté plus de 200 marchands. Shopify n’a découvert que le 21 décembre 2020 que Ledger était également concerné par cette attaque. Shopify nous a communiqué qu’ils avaient engagé des experts de l’analyse des attaques informatiques, ainsi que des juristes pour continuer d’enquêter sur cette affaire. Ils nous ont aussi informés avoir effectué un signalement auprès des autorités judiciaires, à la fois au Canada et aux Etats-Unis.
En collaboration avec le prestataire de services en cybersécurité (Orange Cyberdefense), nous avons pu déterminer que l’incident affecte environ 292 000 clients. Bien que la base de données soit à 93% similaire à celle divulguée lors de l’attaque précédente, nous avons constaté qu’environ 20 000 clients supplémentaires étaient impactés par cette violation, incluant leurs emails, noms, adresses postales, numéros de téléphone et produit(s) commandé(s).
Si vous avez commandé un produit Ledger fin juin 2020 ou si vous avez acheté votre produit ailleurs que sur Ledger.com, vos données n’ont pas été divulguées.
Quels types de données ont été compromises à partir de la base de données clients de Ledger ?
Dans les deux cas, c'est la base de données de commerce électronique et de marketing qui a été divulguée. Elle contient des e-mails, des noms et prénoms, des numéros de téléphone et des adresses postales, ainsi que le type de produit acheté.
Elle n’inclut aucune information concernant les cartes bancaires.
Nous savons maintenant qu’environ 1 million d’adresses e-mail ont été divulguées ainsi qu’environ 292 000 ensembles d’informations personnelles plus détaillées comprenant le prénom, le nom, le numéro de téléphone, l’adresse postale et les produits achetés.
Pourquoi avez-vous communiqué sur 9 500 ensembles de données personnelles, et non 272 000 lors de la première perte de confidentialité de données ?
La détermination du nombre d' ensembles de données personnelles (nom, adresse physique, numéro de téléphone) qui a été effectuée en juillet 2020 était basée sur l’analyse à posteriori par notre cabinet de conseil en cybersécurité qui n’a obtenu des preuves que pour 9 500 personnes. Les registres analysés n’avaient permis d’identifier spécifiquement qu’un peu plus de 9 500 personnes pour lesquelles des informations personnelles plus détaillées avaient été obtenues par les attaquants. Nous pouvons désormais vérifier, à partir de la base de données publiée, que des informations personnelles détaillées (nom, adresse postale, numéro de téléphone) d’environ 272 000 utilisateurs ont été obtenues.
Les brèches ont-elles été corrigées ?
Dès que nous l’avons découverte, cette brèche a été corrigée le jour même, et la clé d’API a été désactivée.
Concernant la faille Shopify: Dès qu’ils ont été au courant de cet incident, Shopify a suspendu immédiatement les accès réseaux et confisqué l’ordinateur de la personne incriminée, et engagé des experts en analyse des attaques informatiques, ainsi que des juristes pour poursuivre leur enquête.
Nous faisons tout notre possible pour rendre Ledger encore plus solide à l’avenir. Nous avons engagé un nouveau responsable de la sécurité de l’information (CISO). Nous renforçons encore nos systèmes déjà solides. Nous avons effectué des tests d’intrusion et des analyses de cyber-attaques avec des sociétés de cybersécurité externes, afin de tester nos systèmes et de trouver d’autres vulnérabilités sur nos systèmes de commerce électronique.
Nous travaillons en permanence avec les forces de l’ordre pour poursuivre les pirates et arrêter les personnes responsables et/ ou impliquées dans les campagnes de phishing, et nous travaillons avec d’autres autorités de protection des données dans le monde entier.
Les fonds des clients sont-ils touchés ?
Non. Les informations de paiement, les informations d’identification (mots de passe) ou les fonds en cryptomonnaie n’ont pas été affectés. Cette violation de données n’a aucun lien ni impact sur nos wallets physiques et l’application Ledger Live. Vos crypto-actifs sont en sécurité et ne sont pas en danger.
Notre modèle de sécurité empêche les attaquants d’accéder aux informations sensibles liées à nos appareils matériels, telles que les phrases secrètes de récupération et les clés privées. Les utilisateurs ont un contrôle total et sont les seuls à pouvoir accéder à ces informations.
Qu’en est-il des « informations d’identification non publiques » comme les numéros de compte bancaire et les informations de sécurité sociale ?
Comme indiqué dans notre Politique de confidentialité, nous ne demandons ni ne conservons jamais ces informations.
Les données clients sont-elles gérées en interne ou par un fournisseur tiers ?
Conformément à notre Politique de confidentialité, en tant que contrôleur de données, nous pouvons transmettre certaines de vos données à des tiers tels que les serveurs des fournisseurs de services de paiement (PSP), la logistique, et d’autres fournisseurs de services, dans les cadres contractuels et juridiques applicables.
Y a-t-il eu des demandes de rançon ?
Nous avons été informés de certaines demandes de rançon. Nous pensons qu’il s’agit d’une autre tentative d’escroquerie mondiale, car le même message est envoyé par e-mail et SMS dans différentes langues. Nous surveillons en permanence la campagne sur une page dédiée.
Quelles mesures correctives Ledger prend-il pour résoudre ce problème ?
- Nous avons immédiatement corrigé la faille.
- Nous avons enquêté immédiatement sur la violation de données, en interne et avec des experts judiciaires externes (Orange Cyber Defense) pour découvrir tout accès non autorisé aux données de nos clients par un tiers.
- Nous avons informé l’autorité de protection des données de la violation de données et l’avons mise au courant de la situation.
- Nous avons informé nos clients.
- Nous avons déposé une plainte formelle auprès du Procureur de la République Française et la mettons à jour avec de nouvelles informations.
- Nous avons effectué des tests de pénétration en interne et nous anticipons les tests de pénétration externes initialement prévus pour septembre 2020.
- Nous menons des audits internes périodiques sur nos politiques de conservation des données, pour assurer la conformité continue avec les lois applicables.
- Nous étendons au commerce électronique la portée de notre programme de sécurité et d’organisation qui se concentrait à l’origine sur nos produits (matériel et coffre-fort). Nous prenons des mesures pour répondre aux exigences énumérées dans la norme ISO 27001.
Les informations obtenues par les pirates peuvent-elles contourner les mesures d’authentification à deux facteurs (2FA) ?
Non. Notre site Web de commerce électronique ne conserve aucune information de connexion/mot de passe puisque l’authentification 2FA n’est pas pertinente par rapport à notre système de sécurité.
Des clients signalent-ils des extorsions physiques ?
Pas à notre connaissance. Ni récemment, ni dans le passé, mais certaines de ces escroqueries impliquent une menace de violence physique. Si vous recevez une telle menace, veuillez contacter immédiatement les autorités locales. Vous pouvez également nous signaler la menace sur cette page afin qu’elle soit incluse dans notre enquête. Sachez que les produits Ledger ont été conçus en tenant compte des menaces d’attaques physiques. Nous vous invitons à consulter les bonnes pratiques en matière de mesures de sécurité avancées pour savoir comment vous protéger et rester vigilant(e). Nous surveillons en permanence les campagnes d’hameçonnage sur une page dédiée.
Nous recommandons à nos clients préoccupés par cette éventualité de consulter nos bonnes pratiques en matière de mesures de sécurité avancées et de garder à l’esprit qu’en cas d’urgence, en tapant 3 fois le mauvais code PIN, votre appareil sera réinitialisé.
Pourquoi Ledger a-t-il attendu plus d’une semaine pour communiquer publiquement sur cette violation de données relatives au marketing et au commerce électronique ?
Nous voulions avoir toutes les données nécessaires et nous devions d’abord nous conformer aux obligations légales et règlementaires qui nous incombent.
Nous avons immédiatement résolu le problème et lancé une enquête interne pour évaluer l’étendue de la violation. Nous avons également enquêté avec Orange Cyberdefense pour évaluer la gravité de la violation et avons reçu le rapport initial d’OCD le 24 juillet.
Nous avons notifié cette violation de données à l’autorité française de protection des données, la CNIL, dans le respect des lois applicables.
Ledger respecte-t-il le Réglement Général sur la Protection des Données (RGPD)?
Le but de Ledger est d’aller au-delà de la simple conformité avec le RGPD et aux autres réglementations sur la protection des données. C’est pourquoi, dans les trois jours qui ont suivi la découverte de la violation des données, Ledger a signalé les informations à la CNIL, et a fourni des mises à jour dès qu’elles étaient disponibles. Ledger travaille également et communique ouvertement avec d’autres autorités de protection des données.
L’équipe de Ledger chargée de la protection de la vie privée est également mobilisée pour répondre et gérer toute demande liée à la protection de la vie privée dont nos clients pourraient nous faire part. Si vous avez une demande spécifique concernant vos données (accès, effacement…), veuillez nous adresser votre requête à privacy@ledger.fr.
Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Pour aller au-delà de ce qui est requis par le RGPD, nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé. Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
Que puis-je faire pour protéger mes données à l’avenir ?
Méfiez-vous des tentatives d’hameçonnage qui usurperaient l’identité de Ledger pour demander votre phrase de récupération. Ledger ne vous demandera jamais les 24 mots de votre phrase de récupération, pas même dans Ledger Live, et Ledger ne vous contactera jamais par SMS ou téléphone.
Si vous souhaitez améliorer la sécurité de votre phrase de récupération, nous vous recommandons de consulter nos bonnes pratiques en matière de mesures de sécurité avancée et de garder à l’esprit qu’en cas d’urgence, le fait de taper 3 fois le mauvais code PIN réinitialisera votre appareil.
Quelles mesures de sécurité étaient en place pour protéger nos informations personnelles ?
Afin d’assurer l’intégrité et la confidentialité de vos données personnelles, nous mettons en œuvre des procédures physiques, électroniques et organisationnelles appropriées pour sauvegarder et sécuriser les données personnelles dans tous nos services.
Plus de détails sur les mesures de sécurité mises en œuvre sont disponibles dans notre Politique de confidentialité.
Nous mettons notamment en œuvre les mesures de sécurité suivantes :
- Sécurité des données de paiement : si vous nous fournissez des informations de carte de crédit, ces informations sont cryptées à l’aide d’un protocole Internet Trade Protocol (TLS) sécurisé et envoyées directement à notre fournisseur de services de paiement (PSP). Ces informations ne sont jamais stockées sur notre serveur.
- Programme de sensibilisation et de formation des employés.
- Chiffrement des données transférées et stockées.
- Centres de données régulièrement audités.
- Redondance des données pour la résilience en cas de dommage.
- Authentification basée sur les rôles.
- Authentification à deux facteurs de nos employés autorisés.
- Surveillance continue des systèmes.
- Évaluations de sécurité conformes aux normes du secteur.
- Audits de sécurité tiers indépendants et tests de pénétration.
- Recrutement d’un nouveau Responsable de la Sécurité Informatique (CISO)
- Mise hors ligne de plus de 200 sites d'hameçonnage depuis la perte de confidentialité de données initiale.
Êtes-vous sûr qu’il n’y a pas d’autre problème similaire sur votre site de commerce électronique ? Utilisez-vous d’autres API ?
Nous avons effectué un audit interne et n’avons trouvé aucune brèche similaire. Cependant, nous continuons d’investiguer régulièrement. Nous effectuons donc un test de pénétration externe et encourageons d’autres chercheurs en sécurité informatique à nous contacter via notre programme de prime aux bogues.
Comment pouvez-vous être sûr que la violation présumée de données Shopify révélée en mai était un canular ?
Nous avons eu accès à un échantillon de la base de données qui aurait prétendument été divulguée et avons constaté qu’elle ne correspondait pas à notre base de données.
Comment la violation de données a-t-elle eu un impact sur les commandes Amazon, plus précisément sur les adresses de facturation/livraison ?
Aucune information concernant des commandes sur Amazon (y compris les adresses e-mail, de facturation et d’expédition des commandes) n’a été affectée par la violation de données.
Êtes-vous au courant des attaques d’hameçonnage existantes ciblant vos clients ?
Oui, et nous surveillons en permanence la campagne sur une page dédiée. Les campagnes d’hameçonnage sont très courantes dans le secteur, c’est pourquoi nous avons créé la Ledger Academy pour sensibiliser nos utilisateurs. Nous menons des campagnes régulières pour rappeler à nos utilisateurs les dangers des attaques d’hameçonnage, et de toujours rester prudents. Nous avons mis en place une équipe de protection contre la contrefaçon depuis deux ans afin de surveiller et faire disparaître ces contenus abusifs.
Avez-vous identifié qui a compromis votre base de données ? Avez-vous des indices ?
Non. Nous avons déposé une plainte auprès du Procureur de la République Française sur la base de preuves préliminaires exposées grâce au rapport indépendant d’enquête de cyberattaque d’Orange Cyberdefense, que nous avons continuellement mis à jour. Une enquête est en cours.
Croisez-vous mes données Ledger Live avec d’autres données ? (e-com, matériel)
Non.
Partagez-vous des données avec les gouvernements ?
Ledger ne partage pas les informations sur ses clients, sauf si les lois applicables l’exigent, comme décrit dans notre Politique de confidentialité.
Pourquoi ne purgez-vous pas votre base de données ?
Pour des raisons légales, nous sommes obligés de stocker certaines informations transactionnelles relatives aux coordonnées de nos clients et aux données de leurs commandes.
Conformément au principe de limitation du stockage énoncé dans les lois applicables, nous nous efforçons de ne pas conserver les données plus longtemps que le temps nécessaire pour se conformer à ces objectifs légitimes et légaux, y compris afin de satisfaire à toute exigence légale, comptable, fiscale ou autre en matière de rapports de conformité.
Nous pouvons archiver certaines de vos données personnelles, avec un accès restreint, pour une période supplémentaire lorsque cela est strictement nécessaire pour nous conformer à nos obligations légales et/ou réglementaires d’archivage et pour les délais de prescription applicables. À la fin de cette période supplémentaire, vos données personnelles restantes seront définitivement effacées de nos systèmes, ou anonymisées.
Si vous avez acheté un produit ou un service chez nous, nous pouvons conserver certaines données transactionnelles jointes à vos coordonnées afin de nous conformer à nos obligations légales, fiscales ou comptables, et ce pendant une période maximale de 10 ans fixée par les lois françaises applicables, ainsi que pour nous permettre de préserver et/ ou de faire valoir nos droits (par exemple, dans l’exercice de certains de nos droits devant les tribunaux) pendant les délais de prescription français applicables.
Nous devons également conserver certaines de vos données personnelles contenues dans cette base de données, afin de pouvoir répondre à vos questions, de traiter des réclamations potentielles et de conserver des preuves nécessaires à l’enquête pénale.
Suite à la violation de données Shopify, nous avons changé en profondeur la manière dont nous gérons les données pour aller encore plus loin que ce que demande le Réglement Général sur la Protection des Données (RGPD) :
-
Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé.Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
- Nous allons réduire au maximum les occasions d’affichage de vos informations personnelles. Par exemple, nous effacerons vos noms, adresse et numéro de téléphone des emails de confirmation de commande que nous vous adresserons, afin que ces informations ne circulent pas via notre prestataire de gestion d’emails e-commerce.
-
Nous implémenterons prochainement un modèle de communication dans lequel les messages importants de sécurité et à visée technique seront diffusés via Ledger Live. Lorsque nous nous adresserons à vous, les emails et réseaux sociaux seront utilisés UNIQUEMENT pour les communications promotionnelles et le marketing.
- Nous allons mener un nouvel audit de tous nos fournisseurs et partenaires afin de nous assurer qu’ils continuent d’opérer au plus haut niveau de qualité.
Les 24 mots sont-ils stockés dans la base de données ?
Non, nos clients ont le contrôle total et unique de leur phrase de récupération. Ledger ne demandera jamais votre phrase de récupération.
Si vous n’êtes pas en mesure de protéger nos données de commerce électronique, comment pourriez-vous protéger et sécuriser nos fonds ?
C’est la question la plus précise et la plus légitime que nos clients puissent nous poser. En effet, depuis la création de Ledger, nous avons mis l’accent sur la sécurité de nos produits car nous savions que ce secteur avait besoin de solutions de sécurité solides, entièrement surveillées et vérifiables pour prendre son essor, et nous nous sommes engagés à offrir à nos clients des produits de sécurité que nous développons sur la base de connaissances extrêmement pointues.
Cette violation de données provient d’une clé d’API tierce mal configurée et hébergée sur notre page Web de commerce électronique. Elle n’est en rien liée à nos produits de sécurité, qui disposent de leurs propres infrastructures. Cela ne veut pas dire que cette situation n’est pas grave. Cela signifie qu’elle ne concerne pas le niveau de sécurité de nos produits.
Nous regrettons profondément cet incident. Nous prenons la confidentialité très au sérieux, nous avons découvert ce problème grâce à notre propre programme de « primes aux bogues », et l’avons corrigé immédiatement. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que cette affaire peut causer à nos clients.
Cette situation est très stressante, qu’est-ce qui est censé me rassurer ?
Nous comprenons vos préoccupations et nous regrettons profondément cet incident. Les pertes de confidentialité de données et les attaques d’hameçonnage sont un problème pour tout le secteur. Nous continuons chaque jour de travailler sur ce problème et nous prenons très au sérieux la confidentialité et la sécurité des données. Dès que nous avons découvert ce problème, grâce à notre propre programme de prime aux bogues, nous l’avons immédiatement corrigé et avons mis en œuvre les mesures requises pour vous en informer. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que ce problème peut vous causer. Cependant, cette violation de données n’a aucun lien avec ni aucun impact sur nos wallets physiques, ni sur la sécurité de Ledger Live. Vos crypto-actifs sont en sécurité et n’ont jamais été en danger.
Crypto Casey fait un excellent travail pour résumer la situation et pour expliquer comment se protéger dans cette vidéo et ce podcast. Prenez toutes les mesures nécessaires pour assurer votre sécurité, et celle de vos crypto-actifs.
Vos crypto-actifs n’ont jamais été menacés. Nous sommes reconnaissants de la confiance que vous accordez à nos produits. À l’avenir, vous pouvez attendre de nos services le plus haut niveau de professionnalisme, de transparence et de réactivité.
Connaissez-vous, fournissez-vous ou recommandez-vous un service de surveillance de type “ID theft” ?
Non, nous ne recommandons pas d’utiliser ce type de services. Nous recommandons à la place à nos clients d’appliquer des mesures de précaution et d’être au courant des tentatives d’hameçonnage qui pourraient imiter Ledger en vue d'obtenir de votre part votre phrase de récupération. Ledger ne vous demandera jamais les 24 mots de votre phrase de récupération, pas même sur Ledger Live. Et Ledger ne vous contactera jamais par SMS ni par téléphone.
Si vous souhaitez améliorer la sécurité de votre phrase de récupération, nous vous recommandons de consulter notre guide des meilleures pratiques en matière de sécurité avancée, et de garder en tête que 3 codes PIN erronés sur votre appareil effaceront son contenu.
Que faites-vous pour prévenir d’autres pertes de confidentialité à l’avenir?
Ces pertes de confidentialité de données sont pour nous une remise en cause. Être digne de votre confiance est beaucoup plus important pour nous que de posséder vos données. C’est pourquoi nous changeons la manière dont nous gérons ces données, pour aller encore plus loin que ce que recommande le Règlement Général sur la Protection des Données et être les meilleurs sur ce sujet :
- Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé. Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
-
Nous allons réduire au maximum les occasions d’affichage de vos informations personnelles. Par exemple, nous effacerons vos noms, adresse et numéro de téléphone des emails de confirmation de commande que nous vous adresserons, afin que ces informations ne circulent pas via notre prestataire de gestion d’emails e-commerce.
-
Nous implémenterons prochainement un modèle de communication dans lequel les messages importants de sécurité et à visée technique seront diffusés via Ledger Live. Lorsque nous nous adresserons à vous, les emails et réseaux sociaux seront utilisés UNIQUEMENT pour les communications promotionnelles et le marketing.
- Nous allons mener un nouvel audit de tous nos fournisseurs et partenaires afin de nous assurer qu’ils continuent d’opérer au plus haut niveau de qualité.
Ces vols et ces attaques ne peuvent rester impunis. Des enquêtes doivent être menées. Pour que l’industrie de la crypto se développe il est impératif que le vol de crypto actifs soit sévèrement puni. Nous travaillons sur ces affaires avec les autorités compétentes et avec des enquêteurs privés :
- Nous augmentons nos capacités d’enquête via des sociétés privées spécialisées pour apporter davantage d’expertise et varier les approches permettant de retrouver les responsables de ces vols de données. Nous continuerons de travailler main dans la main avec les autorités judiciaires à travers le monde pour identifier, arrêter et traduire en justice les responsables de ces vols de données.
- Nous créons une récompense pour l’obtention de nouvelles informations, obtenues légalement, qui permettront d’identifier, d’arrêter et de traduire en justice avec succès les responsables de ces attaques contre Ledger et ses clients. Ledger a abondé un wallet avec 10 BTC (adresse : bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) comme réserve initiale pour cette récompense. Cette récompense sera versée à l’entière discrétion de Ledger en prenant en compte des facteurs tels que la légalité de l’obtention des informations, la nouveauté des informations, leur importance, leur impact positif sur les progrès de l’enquête et leurs conséquences directes en termes de capacité à poursuivre le ou les individus, ainsi que le résultat des poursuites.Plus généralement, cette récompense sera soumise aux règles de notre programme de récompenses disponibles ici.
- Nous annonçons notre intention de collaborer dans le cadre de cette initiative avec d’autres acteurs du secteur. Nous avons contacté d’autres sociétés comme des particuliers pour qu’ils abondent ce programme de récompense contre les crimes commis à l’encontre de la communauté crypto au sens large. PDG d’autres sociétés de l’univers des crypto, si vous voulez vous joindre à nous dans ce projet, merci d’avance de vous manifester au plus vite.
Filtración de datos de comercio electrónico y de marketing; preguntas frecuentes
El 14 de julio, un investigador se puso en contacto con nosotros a través de nuestro programa de recompensas para informarnos de una filtración de datos que afectaba a nuestra base de datos de comercio electrónico y marketing. Corregimos inmediatamente la filtración de datos e iniciamos una investigación interna. Descubrimos que los datos expuestos fueron objeto de un acceso no autorizado. Tus fondos están seguros.
El 20 de diciembre recibimos un aviso relativo a la subida de los contenidos de una base de datos de clientes de Ledger. La investigación sigue en curso, pero los primeros indicios apuntan a que, efectivamente, podría tratarse del contenido de nuestra base de datos de comercio electrónico que se había filtrado anteriormente.
El 23 de diciembre, Shopify, nuestro proveedor de servicios de comercio electrónico, nos notificó un incidente que afectaba a los datos de los comerciantes y en el que uno o varios miembros deshonestos de su equipo de asistencia habían obtenido registros de transacciones de clientes, entre los que se encontraban los de Ledger.
A continuación encontrarás las respuestas a las preguntas más frecuentes. Para obtener más información sobre la filtración de datos, consulta nuestra entrada en el blog, y sobre el incidente de Shopify, consulta este artículo.
¿Se han visto afectados mis datos personales (nombre, dirección, número de teléfono)?
Tras descubrir la filtración en julio, hemos enviado un correo electrónico a los 9500 clientes afectados para los que los registros nos permitían determinar que se habían filtrado sus datos personales. Si no has recibido este correo electrónico por el momento, no tenemos constancia de que se hayan filtrado tus datos personales, a excepción de tu dirección de correo electrónico.
Una vez que tuvimos conocimiento de la filtración del 20 de diciembre, se hizo evidente que un subconjunto mayor que los 9500 clientes iniciales habían visto expuestos sus datos personales. Hemos enviado un correo electrónico a todos los clientes de este subconjunto (unas 272 000 personas). Si formabas parte de este subconjunto, deberías haber recibido un correo electrónico específico de notificación el 21 de diciembre de 2020.
El 13 de enero informamos a los aproximadamente 292 000 clientes afectados por la filtración de Shopify. Si tus datos se han visto vulnerados a raíz de esta filtración de datos de Shopify, se te habría notificado por correo electrónico. El título del correo es «AVISO DE SEGURIDAD: Ledger afectado por la filtración de la base de datos de Shopify» y se envió el 13 de enero de 2021 sobre las 16:00 horas (CET).
¿Qué sucedió en la filtración de datos notificada en julio de 2020?
Un atacante obtuvo acceso a una parte de nuestra base de datos de comercio electrónico y de marketing a través de la clave API de un tercero que estaba mal configurada en nuestra página web, lo que permitió el acceso no autorizado a los datos de contacto y de los pedidos de nuestros clientes.
¿Quién es el tercero? ¿Por qué procesaban los datos de vuestros clientes?
Los equipos de comercio electrónico y de marketing de Ledger utilizan una solución de un tercero (Iterable) para enviar y analizar los correos electrónicos transaccionales y de marketing a los clientes que han comprado productos en ledger.com o se han inscrito para recibir nuestros boletines.
¿Desde cuándo existe este problema?
El error en la configuración de la clave de la API del tercero en cuestión ha existido desde el 9 de agosto de 2018. A tenor de las pruebas y los registros que poseemos, creemos que se descubrió y explotó entre abril de 2020 y el 28 de junio de 2020.
¿Qué pasó con Shopify?
El 23 de diciembre de 2020 recibimos una notificación de nuestro proveedor de servicios de comercio electrónico, Shopify, en relación con un incidente que afectaba a los datos de los comerciantes y en el que uno o varios miembros deshonestos de su equipo de asistencia habían obtenido registros de transacciones de clientes, entre los que se encontraban los de Ledger. Los responsables exportaron ilegalmente los registros transaccionales de los clientes en abril y junio de 2020. A juicio de Shopify, esto está relacionado con el incidente denunciado en septiembre de 2020, que afecta a más de 200 comerciantes, pero hasta el 21 de diciembre de 2020, Shopify no había descubierto que Ledger también fuera objeto de este ataque. Shopify nos informó de que habían contratado a expertos forenses digitales y a un abogado para seguir investigando el problema y que habían informado a las autoridades policiales tanto de Canadá como de Estados Unidos.
En colaboración con la empresa forense Orange Cyberdefense, hemos podido determinar que afecta a unos 292 000 clientes. Aunque el 93 % de la base de datos es semejante a la del ataque anterior, en esta filtración se incluyeron aproximadamente 20 000 nuevos registros de clientes que contenían el correo electrónico, el nombre, la dirección postal, los productos pedidos y el número de teléfono.
Si adquiriste un producto de Ledger después de finales de junio de 2020, o si compraste tu producto a través de un sitio web distinto de Ledger.com, tus datos no se han visto afectados por estos incidentes.
¿Qué tipo de información de la base de datos de clientes de Ledger se vio afectada?
En ambas filtraciones, la información expuesta está relacionada con bases de datos de comercio electrónico y de marketing. Incluye correos electrónicos, nombres y apellidos, números de teléfono y direcciones postales, así como el tipo de producto adquirido.
No incluye información relativa a las tarjetas de crédito.
Ahora sabemos que se filtraron aproximadamente 1 millón de direcciones de correo electrónico y unos 292 000 registros de información personal, que incluían el nombre y los apellidos, el número de teléfono, la dirección postal y los productos adquiridos.
¿Por qué se comunicó sobre 9500 datos personales y no sobre 272 000?
La determinación del número de datos personales (nombre, dirección física, número de teléfono) que se hizo en julio de 2020 se basó en el análisis forense de nuestra consultora de seguridad externa, la cual ha indicado que solo había indicios de 9500 personas afectadas. Hemos actuado con rapidez y según los conocimientos de los que disponíamos en ese momento. Ahora podemos constatar, gracias a la base de datos publicada, que se ha obtenido información detallada (nombre, dirección postal, número de teléfono) de unos 272 000 usuarios.
¿Se ha corregido la filtración de datos?
Respecto a la filtración de datos descubierta en julio: tan pronto como descubrimos la filtración de datos en julio, la misma se solucionó en el mismo día y la clave de la API se desactivó.
Respecto a la filtración de datos de Shopify: desde que se tuvo conocimiento del incidente, Shopify suspendió inmediatamente el acceso a la red del individuo, confiscó su ordenador portátil y contrató a expertos en análisis forense digital y a un abogado para continuar su investigación.
Estamos haciendo todo lo posible para que Ledger sea cada vez más fuerte de cara al futuro. Hemos contratado a un nuevo Director de Seguridad de la Información (CISO). Estamos consolidando aún más nuestros ya sólidos sistemas. Ejecutamos pruebas de penetración y análisis forenses con empresas de seguridad externas para ponerlas a prueba y encontrar cualquier otra vulnerabilidad en nuestros sistemas de comercio electrónico.
Trabajamos continuamente con las autoridades policiales para perseguir a los delincuentes. Hemos notificado a la autoridad francesa de protección de datos las filtraciones de datos y estamos trabajando con otras autoridades de protección de datos de todo el mundo.
¿Se han visto afectados los fondos de los clientes?
No. La información de pago, las credenciales (contraseñas) o los fondos de criptomonedas no han sido afectados. Esta filtración de datos no tiene ninguna relación ni repercusión en nuestras carteras de hardware ni en la aplicación Ledger Live. Tus criptoactivos están seguros y no corren peligro.
Nuestro modelo de seguridad impide que los atacantes accedan a la información confidencial relacionada con nuestros dispositivos de hardware, como las frases de contraseña y las claves privadas. Los usuarios tienen el control absoluto y son las únicas personas que tienen acceso a esta información.
¿Y qué hay de la "información de identificación no pública" como son los números de cuentas bancarias o los datos de la seguridad social?
Como se indica en nuestra política de privacidad, nunca solicitamos ni conservamos este tipo de información.
¿Los datos de los clientes se gestionan internamente o a través de un proveedor externo?
De acuerdo con nuestra política de privacidad, como responsables del tratamiento de datos, podemos ceder algunos de tus datos a terceros, como proveedores de servicios de pago (PSP), de infraestructura, de logística y de otros servicios, dentro de los marcos contractuales y legales aplicables.
¿Ha habido algún intento de chantaje?
Nos han informado de algunos casos de chantajes. Creemos que se trata de otro intento de estafa global, ya que el mismo mensaje se está enviando por correo electrónico y SMS en diferentes idiomas. Realizamos un seguimiento continuo de la campaña en una página específica.
¿Qué medidas correctivas está tomando Ledger para resolver la situación?
- Hemos corregido la filtración de datos inmediatamente
- Hemos investigado la filtración de datos inmediatamente, tanto internamente como con ayuda de expertos forenses externos (Orange Cyberdefense) para detectar cualquier acceso no autorizado a los datos de nuestros clientes por parte de terceros.
- Hemos informado a la autoridad francesa de protección de datos de la filtración de datos y les hemos puesto al corriente de la situación.
- Hemos informado a nuestros clientes.
- Hemos presentado una denuncia formal ante la fiscalía francesa y la vamos a actualizar con nueva información.
- Hemos realizado pruebas de penetración internas y estamos ampliando las pruebas de penetración externas que estaban previstas inicialmente para septiembre de 2020.
- Tenemos programadas auditorías internas periódicas de nuestras políticas de conservación de datos para garantizar el cumplimiento continuo de la legislación aplicable.
- Estamos ampliando el alcance de nuestro programa de seguridad y organización para incluir el comercio electrónico, que inicialmente se centraba solo en nuestros productos (HW y Vault). Estamos adoptando medidas para cumplir los requisitos recogidos por la norma ISO 27001.
¿La información obtenida por los hackers puede eludir las medidas de autenticación de dos factores (2FA)?
No. Nuestra página web de comercio electrónico no conserva ninguna información de inicio de sesión/contraseña, ya que el sistema 2FA no es relevante en lo que respecta a nuestra estructura de seguridad.
¿Algún cliente ha denunciado una extorsión física?
No que sepamos. Ni recientemente ni en el pasado, pero algunas de las estafas implican amenazas de violencia física. Si recibes una amenaza de este tipo, ponte en contacto inmediatamente con las autoridades policiales locales. También puedes denunciar la amenaza en esta página para que la incluyamos en nuestra investigación. Recuerda que Ledger se ha diseñado teniendo en cuenta la amenaza que suponen los ataques físicos; consulta nuestras recomendaciones en materia de seguridad avanzada para obtener instrucciones sobre cómo protegerte y mantenerte alerta. Realizamos un seguimiento continuo de la campaña en una página específica.
Recomendamos a nuestros clientes que estén preocupados por esa eventualidad que consulten nuestras recomendaciones en materia de seguridad avanzada y que tengan en cuenta que, en caso de emergencia, al teclear 3 veces el código PIN erróneo se reseteará su dispositivo.
¿Por qué esperó Ledger más de una semana para comunicar públicamente esta filtración de datos de marketing y de comercio electrónico?
Queríamos contar con todos los datos necesarios y teníamos que garantizar primero el cumplimiento de la legislación.
Corregimos inmediatamente el problema e iniciamos una investigación interna para evaluar el alcance de la vulneración. También hemos investigado con Orange Cyberdefense para evaluar el alcance de la filtración; recibimos el informe inicial de OCD el 24 de julio.
Hemos notificado esta filtración de datos a la autoridad francesa de protección de datos, la CNIL, en cumplimiento de la legislación aplicable.
¿Cumple Ledger con el RGPD?
El objetivo de Ledger va incluso más allá del simple cumplimiento del RGPD y otras normativas de protección de datos. En los tres días posteriores al descubrimiento de las filtraciones de datos, Ledger se lo notificó a la autoridad francesa de protección de datos y se le han facilitado actualizaciones a medida que han estado disponibles. Ledger también trabaja y colabora abiertamente con otras autoridades de protección de datos.
El equipo de privacidad de Ledger también se ha puesto en marcha para responder y gestionar cualquier consulta relacionada con la privacidad que los clientes nos hagan llegar. Si quieres realizar una solicitud específica relativa a tus datos (acceso, supresión...), envíanos un correo electrónico a privacy@ledger.fr.
Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Para ir más allá de lo que exige el RGPD, nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
¿Qué puedo hacer para proteger mis datos de ahora en adelante?
Ten cuidado con los intentos de phishing que suplantan la identidad de Ledger para obtener tu frase de contraseña. Ledger nunca te va a pedir las 24 palabras de tu frase de contraseña, ni siquiera en Ledger Live, y Ledger nunca se va a poner en contacto contigo mediante mensajes de texto o llamadas telefónicas.
Si quieres mejorar la seguridad de tu frase de contraseña, te recomendamos que consultes nuestras recomendaciones en materia de seguridad avanzada y que tengas en cuenta que, en caso de emergencia, si tecleas 3 veces el código PIN erróneo, tu dispositivo se reseteará.
¿Qué medidas de seguridad existían para proteger nuestros datos personales?
Para garantizar la integridad y confidencialidad de tus datos personales, implementamos procedimientos físicos, electrónicos y organizativos adecuados para salvaguardar y proteger los datos personales en todos nuestros servicios.
Puedes encontrar más información sobre las medidas de seguridad implementadas en nuestra política de privacidad.
Entre otras, implementamos en particular las siguientes medidas de seguridad:
- Seguridad de los datos de pago: cuando nos facilitas los datos de tu tarjeta de crédito, dichos datos se encriptan mediante un protocolo de comercio seguro de Internet (TLS) y se envían directamente a nuestro proveedor de servicios de pago (PSP). Esta información nunca se almacena en nuestro servidor.
- Programa de concienciación y formación de los empleados
- Encriptación de datos en tránsito y almacenados
- Los centros de datos se someten a auditorías periódicas
- Redundancia de datos para aumentar la resistencia en caso de incidentes
- Autenticación basada en funciones
- Autenticación de dos factores de nuestros empleados autorizados
- Monitorización continua del sistema
- Evaluaciones de seguridad conforme a las normas del sector
- Revisiones de seguridad y pruebas de penetración de terceros independientes
- Contratación de un nuevo Director de Seguridad de la Información (CISO)
- Se han eliminado más de 200 páginas web de phishing desde que se produjo la filtración original
¿Tenéis la certeza de que no hay ningún otro problema similar en vuestra página web de comercio electrónico? ¿Utilizáis otras API?
Hemos realizado una auditoría interna y no hemos encontrado ningún otro problema. No obstante, seguimos realizando evaluaciones periódicas para estar seguros. Llevamos a cabo pruebas de penetración externas periódicamente y fomentamos que otros investigadores de seguridad informática se pongan en contacto con nosotros a través de nuestro programa de recompensas.
¿Cómo podéis estar seguros de que la supuesta filtración de datos de Shopify revelada en mayo era un bulo?
Tuvimos acceso a una muestra de la supuesta base de datos filtrada y comprobamos que no coincidía con nuestra base de datos.
¿Cómo afectó la filtración de datos a los pedidos realizados a través de Amazon, más concretamente, a las direcciones de facturación/envío?
La filtración de datos no afectó a la información de los pedidos realizados a través de Amazon (incluidas las direcciones de correo electrónico, de facturación y de envío de los pedidos).
¿Tenéis constancia de la existencia de ataques de phishing contra vuestros clientes?
Sí, realizamos un seguimiento continuo de las campañas en una página específica. Las campañas de phishing son muy comunes en el sector, por lo que hemos creado la Ledger Academy para educar a nuestros usuarios. Organizamos campañas regularmente para ayudar a nuestros usuarios a recordar los peligros que entrañan los ataques de phishing, y para que siempre actúen con cautela. Contamos con un equipo de protección de la marca desde hace 2 años a fin de vigilar y hacer cumplir estos contenidos abusivos.
¿Se ha podido identificar al responsable de la vulneración de vuestra base de datos? ¿Tenéis alguna pista?
No. Presentamos una querella ante la fiscalía francesa partiendo de las pruebas preliminares esbozadas gracias al informe forense de investigación independiente elaborado por Orange Cyberdefense, el cual hemos ido actualizando continuamente. La investigación sigue en curso.
¿Se combinan los datos relativos a mi Ledger Live con otros datos? (e-com, HW)
No, no lo hacemos.
¿Compartís datos con los gobiernos?
Ledger no comparte la información de sus clientes a menos que lo exija la legislación aplicable, tal y como se describe en nuestra política de privacidad.
¿Por qué no se depura vuestra base de datos?
Por cuestiones legales, estamos obligados a almacenar cierta información transaccional relacionada con los datos de contacto de nuestros clientes y la información relativa a sus pedidos.
De acuerdo con el principio de limitación del almacenamiento establecido en las leyes aplicables, nos esforzamos por conservar los datos durante un tiempo no superior al necesario para cumplir con dichos fines legítimos y legales, incluido el cumplimiento de cualquier requisito de declaración legal, contable, fiscal o de otro tipo.
Podemos almacenar algunos de tus datos personales, en régimen de acceso restringido, durante un período de tiempo adicional cuando sea estrictamente necesario para cumplir con nuestras obligaciones legales y/o reguladoras de almacenamiento y durante los períodos de prescripción aplicables. Una vez finalizado este período adicional, tus datos personales restantes serán eliminados permanentemente o anonimizados de nuestros sistemas.
Si has adquirido uno de nuestros productos o servicios, podemos conservar algunos datos transaccionales adjuntos a tus Datos de Contacto para cumplir con nuestras obligaciones legales, fiscales o contables durante un período máximo de 10 años establecido por las leyes francesas aplicables, así como para permitirnos gestionar nuestros derechos (por ejemplo, para hacer valer nuestras reclamaciones ante los tribunales) durante los plazos de prescripción franceses aplicables.
También es necesario que conservemos algunos de tus datos personales recogidos en esta base de datos para poder responder a tus preguntas, tramitar posibles reclamaciones y conservar pruebas para la investigación judicial.
A raíz de la vulneración de Shopify, estamos cambiando la forma en que gestionamos estos datos, para ir más allá de los principios del RGPD y adoptar el mejor enfoque posible:
- Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
- Reduciremos al mínimo los lugares en los que se muestren tus datos personales. Por ejemplo, eliminaremos el nombre, la dirección y el número de teléfono de los correos electrónicos de confirmación de pedidos que te enviamos para que estos datos no pasen por nuestro proveedor de correo electrónico destinado al comercio electrónico.
- Implementaremos un modelo de mensajería en el que la información técnica y de seguridad proactiva importante se comunicará a través de Ledger Live. El correo electrónico y las redes sociales se utilizarán ÚNICAMENTE para difundir mensajes y anuncios relacionados con nuestros productos.
- Llevaremos a cabo una reevaluación detallada de todos nuestros proveedores y socios para asegurarnos de que siguen cumpliendo las normas más rigurosas.
¿Las 24 palabras están almacenadas en la base de datos?
No, nuestros clientes tienen el control absoluto y exclusivo de su frase de contraseña. Ledger nunca solicitará tu frase de contraseña.
Si no sois capaces de proteger nuestros datos de comercio electrónico, ¿cómo vais a proteger y asegurar nuestros fondos?
Esta es la pregunta más precisa y legítima que podemos abordar con nuestros clientes. En efecto, desde los inicios de Ledger, nos hemos centrado en la seguridad de nuestros productos porque sabíamos que este sector necesitaba soluciones de seguridad sólidas, totalmente supervisadas y auditables para prosperar, y nos hemos comprometido a ofrecer a nuestros clientes productos de seguridad que supervisamos aplicando los conocimientos más avanzados.
Esta filtración de datos surge a partir de una clave API de terceros erróneamente configurada y alojada en nuestra página web de comercio electrónico. No tiene nada que ver con nuestros productos de seguridad y sus propias infraestructuras. Esto no significa que esta situación no sea grave. Esto significa que no está relacionada con el nivel de seguridad de nuestros productos.
Lamentamos enormemente este incidente. Nos tomamos muy en serio la privacidad; descubrimos este problema gracias a nuestro propio programa de recompensas para encontrar vulnerabilidades y lo corregimos inmediatamente. Pero independientemente de todo lo que se hizo para evitar y corregir esta situación, pedimos disculpas de corazón por las molestias que este asunto haya podido causar a nuestros clientes.
Esta situación es muy estresante, ¿qué se supone que debe tranquilizarme?
Entendemos tu preocupación y lamentamos mucho este incidente. Las filtraciones de datos y los ataques de phishing son un problema que afecta a todo el sector. Seguimos trabajando en este problema cada día y nos tomamos muy en serio la privacidad y la seguridad de los datos. Tan pronto como descubrimos este problema gracias a nuestro propio programa de recompensas, lo corregimos inmediatamente y nos pusimos a trabajar para comunicártelo. Pero independientemente de todo lo que se hizo para evitar y corregir esta situación, pedimos disculpas de corazón por las molestias que este asunto te haya podido causar. No obstante, esta filtración de datos no tiene ninguna relación ni repercusión en nuestras carteras de hardware ni en la seguridad de Ledger Live.
Crypto Casey resume perfectamente la situación y la mejor manera de protegerse en este vídeo y en este podcast. Adopta todas las medidas necesarias para mantenerte a ti y a tu criptomoneda a salvo.
Tus criptoactivos están seguros y nunca han corrido peligro. Te agradecemos la confianza que has depositado en nuestros productos. De ahora en adelante, puedes contar con los más altos niveles de profesionalidad, transparencia y capacidad de respuesta de nuestros servicios.
¿Conocéis, ofrecéis o recomendáis un servicio de control de "robo de identidad"?
No, no recomendamos utilizar este tipo de servicio. En su lugar, recomendamos a nuestros clientes que apliquen medidas preventivas y tengan cuidado con los intentos de phishing, los cuales podrían suplantar la identidad de Ledger para obtener su frase de contraseña. Ledger nunca te va a pedir las 24 palabras de tu frase de contraseña, ni siquiera en Ledger Live, y Ledger nunca se va a poner en contacto contigo mediante mensajes de texto o llamadas telefónicas.
Si quieres mejorar la seguridad de tu frase de contraseña, te recomendamos que consultes nuestras recomendaciones en materia de seguridad avanzada y que tengas en cuenta que, en caso de emergencia, si tecleas 3 veces el código PIN erróneo, tu dispositivo se reseteará.
¿Qué medidas se están adoptando para evitar que vuelva a producirse una filtración de datos?
Estas filtraciones de datos han supuesto un gran reto para nosotros. La confianza de nuestros usuarios es mucho más importante que la posesión de sus datos. Es por eso que decidimos cambiar completamente la forma en que manejamos los datos en Ledger, estamos cambiando la forma en que gestionamos estos datos, para ir más allá de los principios del RGPD y adoptar el mejor enfoque posible:
- Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
- Reduciremos al mínimo los lugares en los que se muestren tus datos personales. Por ejemplo, eliminaremos el nombre, la dirección y el número de teléfono de los correos electrónicos de confirmación de pedidos que te enviamos para que estos datos no pasen por nuestro proveedor de correo electrónico destinado al comercio electrónico.
- Implementaremos un modelo de mensajería en el que la información técnica y de seguridad proactiva importante se comunicará a través de Ledger Live. El correo electrónico y las redes sociales se utilizarán ÚNICAMENTE para difundir mensajes y anuncios relacionados con nuestros productos.
- Llevaremos a cabo una reevaluación detallada de todos nuestros proveedores y socios para asegurarnos de que siguen cumpliendo las normas más rigurosas.
Los robos y ataques de esta índole deben ser investigados y perseguidos. Para que las criptomonedas prosperen debe pagarse un precio por cometer un robo de las mismas. Seguimos trabajando con las autoridades policiales e investigadores privados en estos casos, y estamos incorporando más medios:
- Estamos ampliando los servicios de investigación privada, sumando experiencia y enfoques para encontrar a los responsables de estos robos de datos. Seguiremos colaborando con las autoridades policiales de todo el mundo para encontrar, detener y enjuiciar a los responsables en la medida de lo posible.
- Estamos creando una recompensa a cambio de recibir nueva información, que se haya obtenido de forma legal, que conduzca a la identificación, la detención y el enjuiciamiento satisfactorios de los responsables de los ataques contra Ledger y contra nuestros clientes. Ledger ha creado una cartera inicial con 10 BTC (dirección: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) como fondo de recompensa. Esta cantidad se otorgará a discreción de Ledger y se tendrán en cuenta factores como: ¿se ha obtenido la información de forma legal? ¿Es nueva? ¿En qué medida es la información sustancial y en qué medida ayudará a que la investigación avance y se pueda perseguir directamente al individuo o individuos? ¿Ha tenido éxito esa persecución? En términos más generales, estará sujeta a las condiciones de nuestro programa de recompensas que puedes consultar aquí.
- Anunciamos nuestra intención de colaborar con otros miembros del sector en esta iniciativa. Nos estamos poniendo en contacto con otras empresas y particulares de este ámbito para obtener financiación para el programa de recompensas por delitos cometidos contra la comunidad de criptomonedas. Alentamos a los CEO de otras empresas del sector de las criptomonedas a que se pongan en contacto con nosotros lo antes posible si quieren unirse a nuestro proyecto.
E-Commerce- und Marketing-Datenpanne – FAQ
Am 14. Juli kontaktierte uns ein Forscher über unser Belohnungsprogramm, um uns über eine Datenpanne in unserer E-Commerce- und Marketing-Datenbank zu informieren. Wir haben die Datenpanne sofort behoben und interne Untersuchungen eingeleitet. Wir haben festgestellt, dass die offengelegten Daten einem unbefugten Zugriff unterliegen. Ihr Geld ist sicher.
Am 20. Dezember wurden wir über den Speicherauszug des Inhalts einer Ledger-Kundendatenbank informiert. Die Untersuchungen dauern noch an, aber erste Anzeichen deuten darauf hin, dass es sich tatsächlich um den Inhalt unserer zuvor angegriffenen E-Commerce-Datenbank handeln könnte.
Am 23. Dezember wurden wir von Shopify, unserem E-Commerce-Dienstleister, über einen Vorfall mit Händlerdaten informiert, bei dem betrügerische Mitglieder ihres Supportteams Kundentransaktionsaufzeichnungen, einschließlich denen von Ledger, erhalten haben.
Antworten auf häufig gestellte Fragen finden Sie unten. Details zur Datenpanne finden Sie in unserem Blogpost. Informationen zum Shopify-Vorfall finden Sie in diesem Artikel.
Sind meine persönlichen Daten (Name, Adresse, Telefonnummer) kompromittiert?
Nachdem wir den Verstoß im Juli entdeckt haben, haben wir eine E-Mail an alle 9500 betroffenen Kunden gesendet, für die wir anhand der Protokolle feststellen konnten, dass persönliche Daten geleakt wurden. Wenn Sie diese E-Mail zu diesem Zeitpunkt nicht erhalten haben, hatten wir keine Beweise dafür, dass Ihre persönlichen Daten außer Ihrer E-Mail-Adresse geleakt wurden.
Nachdem wir auf den Speicherauszug vom 20. Dezember aufmerksam gemacht worden waren, wurde klar, dass die persönlichen Daten einer größeren Untergruppe als den ursprünglichen 9500 Kunden offengelegt wurden. Wir haben eine E-Mail an alle Kunden in dieser Untergruppe gesendet (etwa 272.000 Personen). Wenn Sie Teil dieser Untergruppe, deren persönliche Informationen geleakt wurden, waren, haben Sie am 21. Dezember 2020 eine spezielle E-Mail erhalten, in der Sie darüber benachrichtigt wurden.
Am 13. Januar haben wir die rund 292.000 Kunden, die von der Shopify-Verletzung betroffen waren, kontaktiert. Wenn Ihre Daten durch diese Shopify-Datenpanne kompromittiert wurden, wurden Sie per E-Mail benachrichtigt. Der Titel der E-Mail lautete „SICHERHEITSHINWEIS: Ledger von Shopify-Datenpanne betroffen“ und wurde am 13. Januar 2021 gegen 16:00 Uhr (MEZ) gesendet.
Was ist bei der im Juli 2020 gemeldeten Datenpanne passiert?
Ein Angreifer erhielt Zugriff auf einen Teil unserer E-Commerce- und Marketingdatenbank über den auf unserer Website falsch konfigurierten API-Schlüssel eines Drittanbieters, der den unbefugten Zugriff auf die Kontaktdaten und Bestelldaten unserer Kunden ermöglichte.
Wer ist die Drittanbieterlösung? Warum verarbeiteten sie Kundendaten?
Die E-Commerce- und Marketingteams von Ledger verwenden eine Drittanbieterlösung (Iterable), um Transaktions- und Marketing-E-Mails an Kunden, die Produkte auf ledger.com gekauft oder sich für den Empfang unserer Newsletter angemeldet haben, zu senden und zu analysieren.
Seit wann besteht dieses Problem?
Die fragliche Fehlkonfiguration des API-Schlüssels eines Drittanbieters wird seit dem 9. August 2018 ausgeführt. Basierend auf den uns vorliegenden Beweisen und Protokollen glauben wir, dass er vom April 2020 bis zum 28. Juni 2020 entdeckt und genutzt wurde.
Was ist mit Shopify passiert?
Am 23. Dezember 2020 erhielten wir von unserem E-Commerce-Dienstleister Shopify eine Benachrichtigung über einen Vorfall mit Händlerdaten, bei dem betrügerische Mitglieder ihres Support-Teams Kundentransaktionsdokumente erhalten haben, einschließlich denen von Ledger. Die Agenten haben im April und Juni 2020 illegal Kundentransaktionsaufzeichnungen exportiert. Laut Shopify hängt dies mit dem Vorfall zusammen, der im September 2020 gemeldet wurde und mehr als 200 Händler betraf. Bis zum 21. Dezember 2020 hatte Shopify jedoch nicht festgestellt, dass Ledger ebenfalls von diesem Angriff betroffen war. Shopify teilt uns mit, dass sie Experten und Anwälte für digitale Forensik beauftragt haben, ihre Ermittlungen in dieser Angelegenheit fortzusetzen, und die Angelegenheit den Strafverfolgungsbehörden in Kanada und den USA gemeldet haben.
Zusammen mit dem Forensikunternehmen Orange Cyberdefense konnten wir feststellen, dass es rund 292.000 Kunden betrifft. Bei der Datenbank handelt es sich zu 93 % um die gleiche Datenbank, die bei dem vorangegangenen Angriff offengelegt wurde. Es wurden jedoch ca. 20.000 neue Kundendatensätze einschließlich E-Mail-Adresse, Name, Postanschrift, bestellte(s) Produkt(e) und Telefonnummer bei diesem Angriff erfasst.
Wenn Sie ein Ledger-Produkt nach Ende Juni 2020 gekauft haben oder wenn Sie Ihr Produkt außerhalb von Ledger.com gekauft haben, wurden Ihre Daten bei diesen Vorfällen nicht offengelegt.
Welche Art von Daten aus der Kundendatenbank von Ledger wurde kompromittiert?
Bei beiden Verstößen beziehen sich die offengelegten Informationen auf E-Commerce- und Marketingdatenbanken. Sie enthalten E-Mail-Adressen, Vor- und Nachnamen, Telefonnummern und Postanschriften sowie die Art des gekauften Produkts.
Sie enthalten keine Kreditkarteninformationen.
Wir wissen jetzt, dass ungefähr 1 Million E-Mail-Adressen zusammen mit ungefähr 292.000 persönlichen Informationsdatensätzen wie Vor- und Nachnamen, Telefonnummern, Postanschriften und gekauften Produkten geleakt wurden.
Warum haben Sie 9.500 Personen bezüglich ihrer persönlichen Daten kontaktiert und nicht 272.000?
Die Ermittlung der Anzahl der persönlichen Daten (Namen, Anschriften, Telefonnummern), die im Juli 2020 vorgenommen wurde, basierte auf der forensischen Analyse unserer externen Sicherheitsberatung, die darauf hingewiesen hat, dass nur 9.500 betroffene Personen nachgewiesen wurden. Wir haben schnell und mit dem besten Wissen gehandelt, das uns damals zur Verfügung stand. Aus der veröffentlichten Datenbank können wir nun nachweisen, dass detaillierte Informationen (Namen, Postanschriften, Telefonnummern) von etwa 272.000 Benutzern erlangt wurden.
Wurde die Datenpanne behoben?
In Bezug auf die im Juli festgestellte Datenpanne: Sobald wir die Datenpanne im Juli entdeckten, wurde sie am selben Tag behoben und der API-Schlüssel deaktiviert.
In Bezug auf die Shopify-Datenpanne: Seit Shopify Kenntnis von dem Vorfall erlangt hat, hat es den Netzwerkzugriff der Person sofort gesperrt, den Laptop der Person beschlagnahmt und Experten und Berater für digitale Forensik beauftragt, ihre Ermittlungen fortzusetzen.
Wir tun alles, was uns möglich ist, um Ledger für die Zukunft zu stärken. Wir haben einen neuen Chief Information Security Officer (CISO) eingestellt. Wir verstärken unsere bereits starken Systeme weiter. Wir haben Pentesting und forensische Analysen mit externen Sicherheitsfirmen durchgeführt, um sie zu testen und zusätzliche Schwachstellen in unseren E-Commerce-Systemen zu finden.
Wir arbeiten kontinuierlich mit den Strafverfolgungsbehörden zusammen, um Kriminelle strafrechtlich zu verfolgen. Wir haben die französische Datenschutzbehörde über die Datenpannen informiert und arbeiten mit anderen Datenschutzbehörden auf der ganzen Welt zusammen.
Sind Kundengelder betroffen?
Nein. Zahlungsinformationen, Anmeldeinformationen (Passwörter) oder Kryptoguthaben waren nicht betroffen. Diese Datenpanne hat keine Auswirkungen auf unsere Hardware-Wallet und die Ledger-Live-Anwendung. Ihre Krypto-Assets sind sicher und nicht in Gefahr.
Unser Sicherheitsmodell verhindert, dass Angreifer auf vertrauliche Informationen zu unseren Hardwaregeräten wie Wiederherstellungsphrasen und private Schlüssel zugreifen können. Benutzer haben die vollständige Kontrolle und sind die einzigen, die auf diese Informationen zugreifen können.
Was ist mit „nicht öffentlichen Identifikationsinformationen“ wie Bankkontonummern und Sozialversicherungsdaten?
Wie in unserer Datenschutzrichtlinie angegeben, fordern wir diese Informationen niemals an und speichern sie nicht.
Werden Kundendaten intern oder von einem Drittanbieter verarbeitet?
In Übereinstimmung mit unserer Datenschutzrichtlinie können wir als Datenverantwortlicher einige Ihrer Daten innerhalb der geltenden vertraglichen und rechtlichen Rahmenbedingungen an Dritte wie die Infrastruktur von Payment-Service-Providern (PSPs), die Logistik und andere Dienstleister im Rahmen der geltenden vertraglichen und rechtlichen Rahmenbedingungen übertragen.
Gab es Lösegeldforderungen?
Wir wurden auf einige Lösegeldforderungen aufmerksam gemacht. Wir glauben, dass dies ein weiterer globaler Betrugsversuch ist, da dieselbe Nachricht per E-Mail und SMS in verschiedenen Sprachen gesendet wurde. Wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite.
Welche Abhilfemaßnahmen ergreift Ledger, um dieses Problem zu beheben?
- Wir haben die Datenpanne sofort behoben.
- Wir haben die Datenpanne sowohl intern als auch mit externen forensischen Experten (Orange Cyberdefense) sofort untersucht, um festzustellen, ob Dritte nicht autorisierten Zugriff auf unsere Kundendaten haben.
- Wir haben die französische Datenschutzbehörde über die Datenpanne in Kenntnis gesetzt und sie über die Situation informiert.
- Wir haben unsere Kunden informiert.
- Wir haben eine formelle Strafanzeige beim französischen Staatsanwalt eingereicht und aktualisieren diese mit neuen Informationen.
- Wir haben intern Pentesting durchgeführt und treiben das ursprünglich für September 2020 geplante externen Pentesting voran.
- Wir haben regelmäßige interne Audits für unsere Richtlinien zur Vorratsdatenspeicherung geplant, um sicherzustellen, dass die geltenden Gesetze weiterhin eingehalten werden.
- Wir erweitern den Umfang unseres Sicherheits- und Organisationsprogramms auf den E-Commerce und konzentrieren uns ursprünglich auf unsere Produkte (HW & Vault). Wir unternehmen Schritte, um die in ISO 27001 aufgeführten Anforderungen zu erfüllen.
Können die von den Hackern erhaltenen Informationen die 2FA-Maßnahmen (Zwei-Faktor-Authentisierung) umgehen?
Nein. Auf unserer E-Commerce-Website werden keine Anmelde-/Kennwortinformationen gespeichert, da 2FA für unser Sicherheitsschema nicht relevant ist.
Melden Kunden physische Erpressung?
Nach unserem Wissen nicht. Weder in jüngster Zeit noch in der Vergangenheit haben wir von solchen Fällen erfahren, aber einige der Betrugsmaschen beinhalten die Androhung von körperlicher Gewalt. Wenn Sie eine solche Bedrohung erhalten, wenden Sie sich bitte umgehend an die örtlichen Strafverfolgungsbehörden. Sie können uns die Bedrohung auch auf dieser Seite melden, damit wir sie in unsere Untersuchung einbeziehen. Bitte beachten Sie, dass Ledger unter Berücksichtigung der möglichen Gefahr durch physische Angriffe entwickelt wurde. Anweisungen zum Schutz Ihrer Person und zur Wachsamkeit finden Sie in den Best Practices für erweiterte Sicherheitsmaßnahmen. Wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite.
Wir empfehlen unseren Kunden, die sich über diese Möglichkeit Sorgen machen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.
Warum hat Ledger mehr als eine Woche gewartet, um öffentlich über diese Marketing- und E-Commerce-Datenpanne zu kommunizieren?
Wir wollten alle notwendigen Daten haben und mussten zuerst die gesetzlichen Bestimmungen einhalten.
Wir haben das Problem sofort behoben und eine interne Untersuchung eingeleitet, um den Umfang des Verstoßes zu bewerten. Wir haben auch mit Orange Cyberdefense nachgeforscht, um das Ausmaß des Verstoßes zu beurteilen. Am 24. Juli haben wir den OCD-Erstbericht erhalten.
Wir haben diesen Verstoß gegen die Datenschutzbestimmungen der französischen Datenschutzbehörde (CNIL) gemäß den geltenden Gesetzen gemeldet.
Befolgt Ledger die DSGVO?
Das Ziel von Ledger geht sogar über die einfache Einhaltung der DSGVO und anderer Datenschutzbestimmungen hinaus. Innerhalb von drei Tagen nach Feststellung der Datenpanne meldete Ledger die Informationen der französischen Datenschutzbehörde und erhielt Aktualisierungen, sobald diese verfügbar waren. Ledger arbeitet auch und kommuniziert offen mit anderen Datenschutzbehörden.
Das Datenschutzteam von Ledger wurde auch mobilisiert, um alle datenschutzbezogenen Fragen, die Kunden uns möglicherweise senden, zu beantworten und zu verwalten. Wenn Sie eine spezielle Anfrage zu Ihren Daten haben (Zugriff, Löschung …), senden Sie uns bitte eine E-Mail an privacy@ledger.fr.
Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Um mehr zu tun als gemäß der DSGVO nötig ist, fordern wir uns und Drittanbieter auf, diese Daten so kurz wie möglich aufzubewahren, um unseren Verpflichtungen gegenüber unseren Kunden (z. B. der Ausführung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
Was kann ich tun, um meine Daten in Zukunft zu schützen?
Hüten Sie sich vor Phishing-Versuchen, die sich als Ledger ausgeben, um Ihre Wiederherstellungsphrase anzufordern. Ledger wird Sie niemals nach den 24 Wörtern Ihrer Wiederherstellungsphrase fragen, auch nicht in Ledger Live, und Ledger wird Sie niemals per SMS oder Telefonanruf kontaktieren.
Wenn Sie die Sicherheit Ihrer Wiederherstellungsphrase verbessern möchten, empfehlen wir Ihnen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.
Welche Sicherheitsmaßnahmen wurden getroffen, um unsere persönlichen Daten zu schützen?
Um die Integrität und Vertraulichkeit Ihrer persönlichen Daten zu gewährleisten, implementieren wir geeignete physische, elektronische und organisatorische Verfahren, um personenbezogene Daten innerhalb unserer gesamten Services zu schützen und zu sichern.
Weitere Einzelheiten zu den implementierten Sicherheitsmaßnahmen finden Sie in unserer Datenschutzrichtlinie.
Wir setzen unter anderem folgende Sicherheitsmaßnahmen um:
- Zahlungsdatensicherheit: Wenn Sie uns Kreditkarteninformationen zur Verfügung stellen, werden diese Informationen mit einem sicheren Transport-Layer-Security-Protokoll (TLS) verschlüsselt und direkt an unseren Payment-Service-Provider (PSP) gesendet. Diese Informationen werden niemals auf unserem Server gespeichert.
- Sensibilisierungsprogramm und Mitarbeiterschulungen
- Datenverschlüsselung während des Transports und im Ruhezustand
- Rechenzentren werden regelmäßig geprüft
- Datenredundanz für Ausfallsicherheit bei Katastrophen
- Rollenbasierte Authentifizierung
- Zwei-Faktor-Authentifizierung unserer autorisierten Mitarbeiter
- Kontinuierliche Systemüberwachung
- Sicherheitsbewertungen nach Branchenstandard
- Unabhängige Sicherheitsüberprüfungen und Pentesting von Drittanbietern
- Einstellung eines neuen Chief Information Security Officers (CISO)
- Mehr als 200 Phishing-Websites seit dem ursprünglichen Verstoß entfernt
Sind Sie sicher, dass es auf Ihrer E-Commerce-Website kein ähnliches Problem gibt? Verwenden Sie andere APIs?
Wir haben eine interne Revision durchgeführt und keine weiteren Probleme festgestellt. Wir überprüfen das jedoch weiterhin regelmäßig, um dies weiter sicherzustellen. Wir führen regelmäßig externes Pentesting durch und ermutigen andere IT-Sicherheitsforscher, sich über unser Bug-Bounty-Programm an uns zu wenden.
Wie können Sie sicher sein, dass der im Mai bekannt gegebene mutmaßliche Verstoß gegen Shopify-Daten ein falscher Alarm war?
Wir hatten Zugriff auf eine Stichprobe der angeblich geleakten Datenbank und stellten fest, dass diese nicht mit unserer Datenbank übereinstimmte.
Wie hat sich die Datenpanne auf Amazon-Bestellungen ausgewirkt, insbesondere auf Rechnungs-/Versandadressen?
Informationen aus Amazon-Bestellungen (einschließlich E-Mail-, Rechnungs- und Versandadressen aus Bestellungen) waren von der Datenpanne nicht betroffen.
Haben Sie Kenntnis von derzeit laufenden Phishing-Angriffe auf Ihre Kunden?
Ja, wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite. Phishing-Kampagnen gehören in dieser Branche zum Alltag. Deshalb haben wir die Ledger Academy gegründet, um unsere Benutzer zu schulen. Wir führen regelmäßig Kampagnen durch, um unsere Benutzer an die Gefahren von Phishing-Angriffen zu erinnern und Ihnen beizubringen stets Vorsicht walten zu lassen. Wir haben seit 2 Jahren ein Markenschutzteam, um solche missbräuchlichen Inhalte zu überwachen und durchzusetzen.
Haben Sie identifiziert, wer Ihre Datenbank kompromittiert hat? Haben Sie eine Ahnung?
Nein. Wir haben beim französischen Staatsanwalt eine Strafanzeige eingereicht, die auf vorläufigen Beweisen basiert, die dank des unabhängigen forensischen Untersuchungsberichts von Orange Cyberdefense, den wir ständig aktualisieren, dargelegt wurden. Die Untersuchungen dauern an.
Kreuzen Sie meine Ledger Live-Daten mit anderen Daten? (E-Com, HW)
Nein, wir kreuzen sie nicht mit anderen Daten.
Geben Sie Daten an Behörden weiter?
Ledger gibt keine Kundendaten weiter, es sei denn, dies ist nach geltendem Recht, wie in unserer Datenschutzrichtlinie beschrieben, erforderlich.
Warum löschen Sie Ihre Datenbank nicht?
Aus rechtlichen Gründen sind wir verpflichtet, einige Transaktionsinformationen zu den Kontaktdaten unserer Kunden und deren Bestelldaten zu speichern.
In Übereinstimmung mit dem Grundsatz der Begrenzung der Aufbewahrung von Daten im Rahmen der geltenden Gesetze sind wir bestrebt, Daten nur so lange aufzubewahren, wie es zur Erfüllung solcher legitimer und rechtmäßiger Zwecke erforderlich ist, einschließlich der Erfüllung rechtlicher, buchhalterischer, steuerlicher oder sonstiger Berichtspflichten.
Wir können einige Ihrer personenbezogenen Daten mit eingeschränktem Zugriff für einen zusätzlichen Zeitraum archivieren, wenn es unbedingt erforderlich ist, dass wir unseren gesetzlichen und/oder behördlichen Archivierungspflichten und den geltenden Verjährungsfristen nachkommen. Am Ende dieses zusätzlichen Zeitraums werden Ihre verbleibenden personenbezogenen Daten dauerhaft aus unseren Systemen gelöscht oder anonymisiert.
Wenn Sie ein Produkt oder einen Service bei uns gekauft haben, können wir einige Transaktionsdaten, die Ihren Kontaktdaten beigefügt sind, aufbewahren, um unseren gesetzlichen, steuerlichen oder buchhalterischen Verpflichtungen für einen Zeitraum von maximal 10 Jahren gemäß den geltenden französischen Gesetzen nachzukommen. Dies lässt uns außerdem unsere Rechte verwalten (zum Beispiel unsere Ansprüche vor Gerichten geltend zu machen), während der geltenden französischen Verjährungsfristen.
Wir müssen auch einige Ihrer in dieser Datenbank enthaltenen personenbezogenen Daten aufbewahren, damit wir Ihre Fragen beantworten, potenzielle Ansprüche bearbeiten und Beweise für strafrechtliche Ermittlungen aufbewahren können.
Nach der Shopify-Datenpanne ändern wir die Art und Weise, wie wir mit diesen Daten umgehen und gehen damit über die Anforderungen der DSGVO hinaus und verfolgen einen Best-in-Class-Ansatz:
- Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Wir streben an, diese Daten so kurz wie möglich zu halten, um unseren Verpflichtungen gegenüber unseren Kunden (z. B. Abwicklung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Dies gilt auch für Drittanbieter. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
- Wir wollen die Anzahl der Stellen reduzieren, an denen Ihre personenbezogenen Daten angezeigt werden. Beispielsweise löschen wir die Namen, Adressen und Telefonnummern aus den Bestellbestätigungs-E-Mails, die wir an Sie senden, damit diese Daten nicht über unseren E-Commerce-E-Mail-Anbieter übertragen werden.
- Wir werden ein Messaging-Modell implementieren, über das proaktiv wichtige Sicherheits- und technische Informationen über Ledger Live übertragen werden. E-Mails und soziale Medien werden NUR für die Übertragung von Produktnachrichten und Ankündigungen verwendet.
- Wir werden eine detaillierte Neubewertung aller unserer Lieferanten und Partner durchführen, um sicherzustellen, dass sie weiterhin den höchsten Standards entsprechen.
Sind die 24 Wörter in der Datenbank gespeichert?
Nein, unsere Kunden haben die vollständige und alleinige Kontrolle über ihre Wiederherstellungsphrase. Ledger wird niemals Ihre Wiederherstellungsphrase anfordern.
Wenn Sie unsere E-Commerce-Daten nicht schützen können, wie können Sie unsere Gelder schützen und sichern?
Dies ist die genaueste und legitimste Frage, die wir von unseren Kunden beantworten können. In der Tat haben wir uns seit der Gründung von Ledger auf die Sicherheit unserer Produkte konzentriert, da wir wussten, dass diese Branche starke, vollständig überwachte und überprüfbare Sicherheitslösungen benötigt. Wir sind entschlossen, unseren Kunden Sicherheitsprodukte anzubieten, die wir mit bestem Wissen überwachen.
Diese Datenpanne ist auf einen falsch konfigurierten API-Schlüssel eines Drittanbieters zurückzuführen, der auf unserer E-Commerce-Webseite gehostet wurde. Es hat nichts mit unseren Sicherheitsprodukten und ihren eigenen Infrastrukturen zu tun. Dies bedeutet nicht, dass diese Situation nicht ernst ist. Dies bedeutet, dass es sich nichts mit dem Sicherheitsniveau unserer Produkte zu tun hat.
Wir bedauern diesen Vorfall sehr. Wir nehmen Datenschutz sehr ernst. Wir haben dieses Problem dank unseres eigenen Bug-Bounty-Programms entdeckt und es sofort behoben. Unabhängig von allem, was wir getan haben, um diese Situation zu vermeiden und zu beheben, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten, die diese Angelegenheit bei unseren Kunden verursacht hat.
Diese Situation ist sehr stressig. Was soll mich beruhigen?
Wir verstehen Ihre Bedenken und bedauern diesen Vorfall zutiefst. Datenpannen und Phishing-Angriffe sind ein branchenweites Problem. Wir arbeiten jeden Tag weiter an diesem Problem und nehmen Datenschutz und Datensicherheit sehr ernst. Sobald wir dieses Problem dank unseres eigenen Bug-Bounty-Programms entdeckt haben, haben wir es sofort behoben und uns bemüht, Sie zu informieren. Unabhängig von allem, was wir getan haben, um diese Situation zu vermeiden und zu beheben, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten, die diese Angelegenheit bei unseren Kunden verursacht hat. Diese Datenpanne steht jedoch nicht im Zusammenhang mit unseren Hardware-Wallets und der Sicherheit von Ledger Live und hat keine Auswirkungen darauf.
Crypto Casey fasst die Situation hervorragend in diesem Video und diesem Podcast zusammen und zeigt, wie Sie sich schützen können. Bitte unternehmen Sie alle Schritte, um sich und Ihre Krypto zu schützen.
Ihre Krypto-Assets sind sicher und waren nie in Gefahr. Wir sind dankbar für das Vertrauen, das Sie in unsere Produkte gesetzt haben. In Zukunft können Sie von unseren Services ein Höchstmaß an Professionalität, Transparenz und Reaktionsfähigkeit erwarten.
Kennen, bieten oder empfehlen Sie es, einen Überwachungsservice für „ID-Diebstahl“?
Nein, wir empfehlen es nicht, einen solchen Service zu nutzen. Stattdessen empfehlen wir unseren Kunden, Vorsichtsmaßnahmen zu treffen und sich vor Phishing-Versuchen zu hüten, die sich als Ledger ausgeben, um Ihre Wiederherstellungsphrase anzufordern. Ledger wird Sie niemals nach den 24 Wörtern Ihrer Wiederherstellungsphrase fragen, auch nicht in Ledger Live, und Ledger wird Sie niemals per SMS oder Telefonanruf kontaktieren.
Wenn Sie die Sicherheit Ihrer Wiederherstellungsphrase verbessern möchten, empfehlen wir Ihnen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.
Was tun Sie, um zu verhindern, dass erneut eine Datenpanne auftritt?
Diese Datenpannen stellen uns vor eine große Herausforderung. Ihr Vertrauen ist uns sehr viel mehr wert als Ihre Daten. Aus diesem Grund haben wir uns entschlossen, den Umgang mit Daten bei Ledger vollständig zu ändern. Wir gehen damit über die Anforderungen der DSGVO hinaus und verfolgen einen Best-in-Class-Ansatz:
- Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Wir streben an, diese Daten so kurz wie möglich zu halten, um unseren Verpflichtungen gegenüber unseren Kunden (z. B. Abwicklung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Dies gilt auch für Drittanbieter. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
- Wir wollen die Anzahl der Stellen reduzieren, an denen Ihre personenbezogenen Daten angezeigt werden. Beispielsweise löschen wir die Namen, Adressen und Telefonnummern aus den Bestellbestätigungs-E-Mails, die wir an Sie senden, damit diese Daten nicht über unseren E-Commerce-E-Mail-Anbieter übertragen werden.
- Wir werden ein Messaging-Modell implementieren, über das proaktiv wichtige Sicherheits- und technische Informationen über Ledger Live übertragen werden. E-Mails und soziale Medien werden NUR für die Übertragung von Produktnachrichten und Ankündigungen verwendet.
- Wir werden eine detaillierte Neubewertung aller unserer Lieferanten und Partner durchführen, um sicherzustellen, dass sie weiterhin den höchsten Standards entsprechen.
Diebstähle und Angriffe wie diese müssen untersucht oder strafrechtlich verfolgt werden. Damit Kryptowährungen sich entwickeln können, muss der Diebstahl von Kryptowährungen mit einer Strafe geahndet werden. Wir arbeiten weiterhin mit Strafverfolgungsbehörden sowie privaten Ermittlern in diesen Fällen zusammen und fügen mehr Schlagkraft hinzu:
- Wir stellen zusätzliche private Ermittler ein und gewinnen somit Erfahrung und Ansätze, um die Verantwortlichen für diese Datendiebstähle zu finden. Wir werden weiterhin mit den globalen Strafverfolgungsbehörden zusammenarbeiten, um die Verantwortlichen zu finden, zu verhaften und strafrechtlich zu verfolgen, wo immer dies möglich ist.
- Wir setzen eine Belohnung für neue Informationen, die legal erhalten werden und zur Identifizierung, Verhaftung und erfolgreichen strafrechtlichen Verfolgung der Verantwortlichen für die Angriffe gegen Ledger und unsere Kunden führen. Ledger hat ein Wallet mit 10 BTC (Adresse: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) als anfängliche Belohnung gesetzt. Dies wird nach Ermessen von Ledger ausgezahlt und berücksichtigt Faktoren wie, ob die Informationen legal eingeholt wurden. Sind sie neu? Wie umfangreich sind die Informationen und inwieweit werden sie dazu beitragen, die Ermittlungen voranzutreiben und eine direkte Möglichkeit zur strafrechtlichen Verfolgung der schuldigen Personen zu schaffen? War diese Verfolgung erfolgreich? Im Allgemeinen unterliegt es den hier verfügbaren Bestimmungen unseres Belohnungsprogramms.
- Wir geben unsere Absicht bekannt, bei dieser Initiative mit anderen in der Branche zusammenzuarbeiten. Wir haben uns auch an andere Unternehmen und Einzelpersonen in der Branche gewandt, um das Belohnungsprogramm für Straftaten gegen die Krypto-Community finanziell zu unterstützen. CEOs anderer Unternehmen im Kryptobereich, wenn Sie sich uns bei diesem Projekt anschließen möchten, setzen Sie sich bitte umgehend mit uns in Verbindung