电子商务和营销数据泄露 - 常见问题解答
2020 年 7 月 14 日,一位研究人员通过赏金计划联系并告知我们,电子商务和营销数据库的数据发生泄露。我们立即修复了数据泄露并启动内部调查,我们发现暴露的数据遭到未经授权的访问。您的资金是安全的。
2020 年 12 月 20 日,我们得知 Ledger 客户数据库的内容被转储。虽然我们仍在调查中,但此前的迹象告诉我们,这些确实可能是我们之前泄露的电子商务数据库的内容。
2020 年 12 月 23 日,我们的电子商务服务提供商 Shopify 向我们通知了一起商家数据事件,称其支持团队中有行为不轨的成员取得了包括 Ledger 在内的客户交易记录。
请查看以下常见问题的答案。如需了解关于数据泄露的详情,请查看我们的博客文章;如需了解 Shopify 事件,请查看这篇文章。
我的个人详细信息(姓名、地址、电话号码)是否被泄露?
在 2020 年 7 月发现数据泄露后,我们已经通过客户日志确定了个人详细信息被泄露的 9500 名客户,并向所有受影响的客户发送了电子邮件。如果您目前仍未收到此电子邮件,我们没有证据表明您的个人数据(除电子邮件地址以外)被泄露。
我们在得知 2020 年 12 月 20 日数据被转储后发现,除了最初 9500 名客户外,还有更大一部分个人数据暴露。我们已经向该部分的所有客户(约 272,000 人)发送了电子邮件。如果您是该详细个人信息部分中的一员,您应该在 2020 年 12 月 21 日收到了专门的电子邮件通知。
2021 年 1 月 13 日,我们通知了约 292,000 名受 Shopify 泄露影响的客户。如果您的数据在此次 Shopify 数据泄露事件中遭到泄露,您应该已收到了电子邮件通知,电子邮件标题为“安全通知:Ledger 受到 Shopify 数据库泄露事件的影响”,发送时间为中欧标准时间 (CET) 2021 年 1 月 13 日下午 4 点左右。
2020 年 7 月报告的数据泄露是怎么回事?
攻击者通过在我们网站上错误配置的第三方 API 密钥访问了电子商务和营销数据库的一部分,未经授权访问了我们客户的联系方式和订单数据。
第三方解决方案提供商是谁?他们为什么要处理客户的数据?
Ledger 电子商务和营销团队使用第三方解决方案 (Iterable) 向通过 ledger.com 购买过产品或已同意接收我们简报的客户发送交易和营销电子邮件并进行分析。
这个问题从何时开始出现?
有问题的第三方 API 密钥错误配置从 2018 年 8 月 9 日起一直在运行。根据我们掌握的证据和日志,我们认为该配置是在 2020 年 4 月至 2020 年 6 月 28 日期间被发现和利用的。
Shopify 发生了什么?
2020 年 12 月 23 日,我们收到电子商务服务提供商 Shopify 关于商家数据事件的通知,称其支持团队中有行为不轨的成员取得了包括 Ledger 在内的客户交易记录。一名或多名支持人员于 2020 年 4 月和 6 月非法导出客户交易记录。据 Shopify 称,此事与 2020 年 9 月 报告的事件有关,涉及 200 多家商家,但直到 2020 年 12 月 21 日,Shopify 才发现 Ledger 也是此次攻击的目标。Shopify 告诉我们,他们聘请了数字取证专家和法律顾问继续调查此事,并已将此事报告给加拿大和美国的执法部门。
我们与取证公司 Orange Cyberdefense 合作,确认此次攻击大约影响了 292,000 名客户。虽然该数据库与上次攻击中暴露的数据库相似度为 93%,但此次侵入涉及大约 20,000 条新的客户记录,其中包括电子邮件、姓名、邮政地址、订购的产品和电话号码。
如果您在 2020 年 6 月之后购买了 Ledger 产品,或者您是在 Ledger.com 之外购买的产品, 则您的数据并未在这些事件中暴露。
Ledger 的客户数据库中有哪些类型的数据被泄露?
在两起泄露事件中,暴露的信息均与电子商务和营销数据库有关,其中包含电子邮件、姓名、电话号码和邮政地址,以及购买的产品类型。
泄露的信息不包括信用卡信息。
我们现在已知,约 100 万个电子邮件地址以及约 292,000 条个人信息记录(如姓名、电话号码、邮政地址和购买的产品)被泄露。
2020 年 7 月确定的个人详细信息(姓名、实际地址、电话号码)数量是基于第三方安全咨询公司的取证分析结果,该公司表示,当时只有 9,500 名受影响客户的证据。我们迅速采取行动,并充分利用了当时我们所掌握的所有信息。现在我们可以通过已公布的数据库核实,大约 272000 名用户的详细信息(姓名、邮政地址、电话号码)遭到泄露。
数据泄露问题得到修复了吗?
关于 7 月发现的数据泄露:我们在 7 月发现数据泄露后,当天就修复了数据泄露,也停用了 API 密钥。
关于 Shopify 数据泄露:Shopify 得知该事件后立即暂停了涉事人员的网络访问权限,没收了此人的笔记本电脑,并聘请了数字取证专家和法律顾问展开进一步调查。
我们正在尽一切可能让 Ledger 未来更加强大。我们聘请了新的首席信息安全官 (CISO),也在进一步强化我们已经很强有力的系统。我们与外部安全公司进行了渗透测试和取证分析,检测并发现我们电子商务系统中的任何其他漏洞。
我们一直在与执法部门合作起诉犯罪分子。我们已经向法国数据保护局通报了数据泄露事件,同时也在与世界各地的其他数据保护机构积极合作。
客户资金会受到影响吗?
不会。付款信息、凭据(密码)或加密货币资金没有受到影响。我们的硬件钱包和 Ledger Live 应用程序与此次数据泄露没有任何关系,也不会因此受到影响。您的加密货币资产是安全的,没有风险。
我们的安全性模型可防止攻击者访问与我们的硬件设备相关的任何敏感信息,如恢复短语和私钥。用户拥有完全控制权,也是是唯一能够访问此类信息的人。
银行账号、社会保障详细信息等“非公开身份信息”呢?
根据我们的隐私政策,我们从未请求获得或持有此类信息。
客户数据是内部处理还是由第三方供应商处理?
根据我们的隐私政策,作为数据控制方,我们可能在适用的合约及法律框架内将您的部分数据传输给第三方,如支付服务提供商 (PSP) 基础设施、物流和其他服务提供商。
是否有人要求提供赎金?
我们收到了一些赎金要求。我们认为这是又一起全球性欺诈事件,因为不同语言的相同消息正在通过电子邮件和短信发送给用户。我们也在专门页面上持续监控活动。
Ledger 在采取哪些补救措施解决这个问题?
- 我们立即修复了数据泄露。
- 我们立即调查了数据泄露事件,包括内部调查和外部取证专家 (Orange Cyber Defense) 合作调查,以发现是否有第三方未经授权访问了我们的客户数据
- 我们已经向法国数据保护局通报了数据泄露事件和最新情况。
- 我们已经通知了客户。
- 我们已经向法国检察机关正式提起刑事诉讼,目前正在提供最新信息。
- 我们已经完成了内部渗透测试,也正在准备原定于 2020 年 9 月的外部渗透测试。
- 我们计划定期对我们的数据保留政策进行内部审查,确保我们始终遵守适用法律。
- 我们正在将电子商务纳入我们最初适用产品(硬件和保险柜)的安全和组织计划范围。我们正在采取行动达到 ISO 27001 所列的要求。
黑客获得的信息能否绕过双重身份验证 (2FA) 手段?
否。我们的电子商务网站不保留任何登录名/密码信息,因为我们的安全方案不采用双重身份验证。
有客户举报人身勒索吗?
据我们所知没有。无论是最近还是过去都没有人身勒索,但一些欺诈涉及人身暴力威胁。如果您受到此类威胁,请立即联系当地执法部门。您也可以在本页面上向我们报告威胁事件,以便我们展开调查。请知晓,Ledger 的设计考虑到了人身攻击的威胁,参见高级安全措施的最佳实践,了解如何保护自己并保持警惕。我们也在专门页面上持续监控活动。
如果对此有所担忧,我们建议客户参见我们的高级安全措施最佳实践并谨记,在紧急情况下输入 3 次错误识别码可重置您的设备。
为什么 Ledger 在一个多星期后才通告这次营销和电子商务数据泄露事件?
我们首先需要获得所有必要的数据并符合法律规定。
我们立即修复了问题并展开内部调查,以评估违规泄露的范围。我们还与 Orange Cyberdefense 合作调查并评估数据泄露的程度,我们在 7 月 24 日收到了 OCD 的初步报告。
我们根据适用法律向法国数据保护局 (CNIL) 通报了此次数据泄露事件。
Ledger 是否符合《一般数据保护条例》(GDPR) 的规定?
Ledger 的目标不仅是遵守 GDPR 和其他数据保护法规。 在发现数据泄露后的 3 天内,Ledger 向法国数据保护局报告了相关信息,并在掌握更多信息后汇报了最新情况。Ledger 也在与其他数据保护机构积极合作并敞开沟通。
Ledger 还组织隐私团队回应和管理客户可能提出的任何关于隐私的咨询。如果您对您的数据有具体要求(访问、删除等)请点此填写表格。
我们的目标是尽快将您的姓名、地址和电话号码等个人数据彻底删除。除了 GDPR 的规定以外,我们要求自己和第三方提供商仅在尽可能短的必要时间内保存此类数据,用于履行我们对客户的义务(例如完成您的订单)和法律事务(例如会计和法律义务)。需要保留的数据将存储在进一步隔离的环境中。例如,我们的目标是在产品发货后将您的电子商务订单信息(如姓名、地址、电话号码)置于隔离环境中三个月。
我该如何防止我的数据被泄露?
谨防冒充 Ledger 要求您提供恢复短语的网络钓鱼式攻击。Ledger 决不会要求您提供恢复短语的 24 个助记词(即使在 Ledger Live 中也不会),Ledger 也决不会通过短信或电话联系您。
如果您想提高恢复短语的安全性,我们建议您参见我们的高级安全措施最佳实践并谨记,在紧急情况下输入 3 次错误识别码可重置您的设备。
你们采取了哪些安全措施来保护我们的个人信息?
为了确保您的个人数据的完整性和机密性,我们实施了适当的物理、电子和组织程序,在我们服务期间全程保护个人数据。
如需详细了解我们实施的安全措施,请参见我们的《隐私政策》。
除此之外,我们专门实施了以下安全措施:
- 支付数据安全:如果您向我们提供信用卡信息,我们将使用安全的互联网交易协议 (TLS) 对此类信息进行加密,并直接发送给我们的支付服务提供商 (PSP)。此类信息不会存储在我们的服务器上。
- 意识强化计划和员工培训
- 传输和静态数据加密
- 数据中心定期审查
- 数据冗余可帮助灾难恢复
- 基于角色的身份验证
- 授权员工的双重身份验证
- 持续监控系统
- 符合行业标准的安全性评估
- 第三方独立安全审查和渗透测试
- 聘请新的首席信息安全官 (CISO)
- 自最初泄露事件发生后已关闭 200 多个网络钓鱼网站
你们确定你们的电子商务网站没有其他类似问题吗?你们是否还使用其他 API?
我们进行了内部审查,没有发现任何其他问题。不过,我们会继续定期评估,进一步确保安全性。我们定期进行外部渗透测试,同时通过漏洞赏金计划鼓励其他 IT 安全研究人员与我们联系。
你们如何认定 5 月份公开的 Shopify 数据泄露是一场骗局?
我们获得了据称泄露的数据库样本,发现该样本与我们的数据库不匹配。
数据泄露对亚马逊订单有何影响,具体来说,对账单/送货地址有何影响?
亚马逊订单中的所有信息(包括电子邮件、账单和订单送货地址)均未受到数据泄露的影响。
你们可否发现针对你们客户的网络钓鱼式攻击?
可以,我们在专门页面上持续监控活动。网络钓鱼式攻击在我们行业中十分普遍,因此我们创建了 Ledger 学院,帮助用户了解如何应对。我们定期开展活动,提醒用户注意网络钓鱼式攻击的危险,并始终保持警惕。我们成立了一个品牌保护团队,过去 2 年来该团队一直负责监控和处置此类滥用内容。
你们确定了破坏数据库的人吗?你们有什么线索吗?
没有。在获得 Orange Cyberdéfense 的独立调查取证报告后,我们根据初步证据向法国检察机关提起刑事诉讼,同时也在不断更新相关消息。调查仍在进行中。
你们是否将我的 Ledger Live 数据与其他数据(电子商务、硬件)交叉?
否,我们没有这么做。
你们是否与政府部门共享数据?
根据我们的隐私政策,除非适用法律要求,否则 Ledger 不会共享客户信息。
你们为什么不清除数据库?
出于法律原因,我们有义务存储一些与客户联系方式及其订单数据相关的交易信息。
根据适用法律规定的存储时效原则,我们尽可能只在适用法律规定的时间范围内保留数据,包括符合任何法律、会计、税务或其他合规报告要求。
如果我们有绝对必要遵守我们的法律和/或监管存档义务以及适用的时效期限规定,我们可能将您的部分个人数据额外存档一段时间,同时限制访问。在额外存档时间结束后,剩余的个人数据将从我们的系统中永久擦除或匿名化。
为了履行法国适用法律规定的最高 10 年的法律、税务或会计义务,以及便于我们在适用的法国时效规定期间管理我们的权利(例如在法庭上主张我们的合法要求),如果您购买了我们的产品或服务,我们可能保留一些与您的联系方式关联的交易数据。
我们还需要保留此数据库中的一些您的个人数据,以便我们为您解答问题、处理可能的要求并为刑事调查保留证据。
Shopify 泄漏事件发生后,我们仍在改变这些数据的处理方法,以期实现超越 GDPR 的原则并采用业内最佳方法:
- 我们的目标是尽快将您的姓名、地址和电话号码等个人数据彻底删除。我们要求自己和第三方提供商仅在尽可能短的必要时间内保存此类数据,用于履行我们对客户的义务(例如完成您的订单)和法律事务(例如会计和法律义务)。需要保留的数据将存储在进一步隔离的环境中。例如,我们的目标是在产品发货后将您的电子商务订单信息(如姓名、地址、电话号码)置于隔离环境中三个月。
- 我们将尽可能减少展示您个人信息的地方。例如,在向您发送电子邮件以确认订单时,我们会删除其中的姓名、地址和电话号码,以免我们的电子商务电子邮件提供商经手这些信息。
- 我们将采用一套消息模型,主动通过 Ledger Live 传送重要的安全和技术信息。电子邮件和社交媒体将仅用于广播产品消息和公告。
- 我们将对所有供应商和合作伙伴进行详细的重新评估,确保他们维持最高标准。
数据库中是否存储了 24 个助记词?
否,恢复短语完全由我们的客户独自控制。Ledger 绝不会要求您提供恢复短语。
如果你们不能保护我们的电子商务数据,你们又如何保护我们的资金?
我们可以理解并应对客户提出的这个精准而合理的问题。实际上,Ledger 自成立以来一直很重视产品的安全性,因为我们知道这个行业的发展需要依靠全面监控且可审查的强大安全解决方案,我们始终致力于为客户提供采用先进技术进行监控的安全产品。
此次数据泄露的原因是托管在我们电子商务网页上错误配置的第三方 API 密钥,与我们的安全产品和产品基础设施无关。这并不意味着这起事件不严重,这只能说明与我们产品的安全级别无关。
我们对此次事件深表遗憾。我们非常重视隐私,我们通过自己的“漏洞赏金”计划发现了这个问题并立即进行了修复。但是,不论我们如何努力避免和解决这种情况,我们都要对此次事件给我们客户带来的不便表示歉意。
目前事态发展很不乐观,我怎么才能放心?
我们理解您的担忧,也对此次事件深表遗憾。数据泄露和网络钓鱼式攻击是全行业所面临的问题。我们每天都在解决这类问题,我们非常重视隐私和数据安全。我们在通过自己的“漏洞赏金”计划发现了这个问题后,立即进行了修复并及时通知您。但是,不论我们如何努力避免和解决这种情况,我们都要对此次事件给您带来的不便表示歉意。不过,我们的硬件钱包和 Ledger Live 安全与此次数据泄露没有任何关系,也不会因此受到影响。
Crypto Casey 在此视频和播客中全面总结了当前情况并介绍了如何保护自己。请采取一切措施确保您和您的加密货币安全。
您的加密货币资产一直是安全的,没有风险。我们非常感谢您对我们产品的信任。未来,我们将为您提供更加专业、透明和及时的服务。
你们是否了解、提供或建议使用“身份盗用”监控服务吗?
否,我们不建议使用此类服务。我们建议我们的客户采取预防措施,谨防冒充 Ledger 要求您提供恢复短语的网络钓鱼式攻击。Ledger 决不会要求您提供恢复短语的 24 个助记词(即使在 Ledger Live 中也不会),Ledger 也决不会通过短信或电话联系您。
如果您想提高恢复短语的安全性,我们建议您参见我们的高级安全措施最佳实践并谨记,在紧急情况下输入 3 次错误识别码可重置您的设备。
你们采取了哪些措施防止再次发生数据泄露?
数据泄露事件给我们带来了巨大的挑战。对我们而言,取得您的信任比获得您的数据更有价值。因此我们决定彻底改变 Ledger 的数据处理方式,我们仍在改变这些数据的处理方法,以期实现超越 GDPR 的原则并采用业内最佳方法:
- 我们的目标是尽快将您的姓名、地址和电话号码等个人数据彻底删除。我们要求自己和第三方提供商仅在尽可能短的必要时间内保存此类数据,用于履行我们对客户的义务(例如完成您的订单)和法律事务(例如会计和法律义务)。需要保留的数据将存储在进一步隔离的环境中。例如,我们的目标是在产品发货后将您的电子商务订单信息(如姓名、地址、电话号码)置于隔离环境中三个月。
- 我们将尽可能减少展示您个人信息的地方。例如,在向您发送电子邮件以确认订单时,我们会删除其中的姓名、地址和电话号码,以免我们的电子商务电子邮件提供商经手这些信息。
- 我们将采用一套消息模型,主动通过 Ledger Live 传送重要的安全和技术信息。电子邮件和社交媒体将仅用于广播产品消息和公告。
- 我们将对所有供应商和合作伙伴进行详细的重新评估,确保他们维持最高标准。
此类盗窃和攻击行为必须得到调查和起诉。加密货币要想蓬勃发展,盗窃加密货币的行为就必须付出代价。我们继续就此类案件与执法部门和私人调查员合作,同时也在扩充我们的火力:
- 我们聘用了更多私人调查力量,借助更多的经验和方法来搜寻应当对数据盗窃负责的人。 我们将继续与全球执法部门合作,尽可能地搜寻、逮捕并起诉责任人。
- 对于通过合法途径获取的新信息,如果能够据此信息识别、逮捕并成功起诉攻击 Ledger 和 Ledger 客户的责任方,我们将为其提供赏金。Ledger 已拿出包含 10 BTC 的钱包(地址:bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd)作为初始的赏金储备。是否支付将由 Ledger 在考虑以下因素后自行决定 - 信息获取途径是否合法?是否为新信息?这些信息有多重要?它将在多大程度上推进调查并有能力直接用于起诉个人?起诉是否成功?更笼统地讲,这将受此处提供的赏金计划条款约束。
- 我们宣布了与其他行业人士就此计划展开合作的意向。 我们正在联系行业内的其他公司与个人,讨论为这项针对加密货币社区犯罪的赏金计划持续提供支持事宜。 加密货币行业其他公司的各位首席执行官,如果您想加入我们的项目,请尽快与我们联系。
Perte de confidentialité de données de e-commerce et marketing - FAQ
Le 14 juillet, un chercheur nous a contactés via notre programme de primes pour nous informer d’une faille de sécurité sur notre base de données de commerce électronique et de marketing. Nous avons immédiatement mis un terme à la violation de données et lancé des enquêtes internes. Nous avons constaté que les données avaient fait l’objet d’un accès non autorisé. Vos fonds sont en sécurité.
Le 20 décembre, nous avons été informés de l’exposition d’une base de données clients de Ledger. Nous pensons qu’il s’agit du contenu de notre base e-commerce du mois de juin 2020.
Le 23 décembre, Shopify, notre fournisseur de services de commerce en ligne nous a notifié un incident impliquant des données de ses marchands au cours duquel un ou plusieurs membres malhonnêtes de leur service client ont obtenu des données transactionnelles, y compris certaines de Ledger.
Vous trouverez ci-dessous les réponses aux questions fréquemment posées. Pour tous les détails concernant la violation de données, nous vous invitons à vous référer à cet article de blog.
Mes données personnelles (nom, adresse, numéro de téléphone) sont-elles compromises ?
Après avoir découvert la brèche en juillet, nous avons envoyé un e-mail à l’ensemble des 9 500 clients pour lesquels les informations dont nous disposions indiquaient que leur données personnelles avaient été divulguées. Si vous n’aviez pas reçu cet e-mail à ce moment, cela signifie que nous n’avions aucune preuve que vos données personnelles avaient été divulguées, à l’exception de votre adresse e-mail.
Après avoir été informés du transfert de données du 20 décembre, il est apparu clairement qu’un sous-ensemble plus important que les 9 500 clients initiaux avait vu ses données personnelles exposées. Nous avons envoyé un e-mail à tous les clients de ce sous-ensemble (~272 000 personnes). Si vous faisiez partie de ce sous-ensemble vous avez reçu le 21 décembre 2020 un e-mail spécifique vous en informant.
Le 13 Janvier 2021, nous avons envoyé une communication aux environ 292 000 clients impactés par la violation de données Shopify. Si vos données ont été compromises au cours de la violation de données Shopify vous avez été notifiés par email. Le titre de l’email est “SECURITY NOTICE: Ledger included in Shopify database breach”. Ce mail a été envoyé autour de 16:00 CET le 13 janvier 2020.
Que s’est-il passé lors de la perte de confidentialité de données du mois de juillet 2020?
Une personne a mené une attaque pour obtenir l’accès à une partie de notre base de données e-commerce et marketing au travers d’une clé API tierce qui était mal configurée sur notre site web, ce qui a permis un accès non autorisé aux informations de contact de clients et à leurs commandes.
Qui est cette solution tierce ? Pourquoi utilisaient-ils des données client ?
Les équipes e-commerce et marketing de Ledger utilisent une solution tierce (Iterable) pour analyser les transactions et envoyer des emails marketing aux clients qui ont acheté des produits sur ledger.com, ou qui se sont abonnés à nos newsletters.
Depuis quand ce problème existe-t-il ?
La mauvaise configuration de la clé d’API tierce en question était présente depuis le 9 août 2018. Sur la base des preuves et des registres dont nous disposons, nous pensons qu’elle a été découverte et exploitée d’avril 2020 jusqu’au 28 juin 2020.
Que s’est-il passé avec Shopify?
Le 23 décembre 2020 nous avons reçu une notification de notre fournisseur de service e-commerce, Shopify, au sujet d’un incident visant les données de ses marchands. Au cours de cet incident, un ou des agents malhonnêtes du support client de Shopify ont obtenu des fichiers des transactions de plusieurs marchands, dont ceux de Ledger. Le ou les agents ont exporté illégalement les données de transactions de clients Ledger aux mois d’avril et de juin 2020. D’après Shopify, cet incident est en lien avec celui communiqué en septembre 2020 qui a impacté plus de 200 marchands. Shopify n’a découvert que le 21 décembre 2020 que Ledger était également concerné par cette attaque. Shopify nous a communiqué qu’ils avaient engagé des experts de l’analyse des attaques informatiques, ainsi que des juristes pour continuer d’enquêter sur cette affaire. Ils nous ont aussi informés avoir effectué un signalement auprès des autorités judiciaires, à la fois au Canada et aux Etats-Unis.
En collaboration avec le prestataire de services en cybersécurité (Orange Cyberdefense), nous avons pu déterminer que l’incident affecte environ 292 000 clients. Bien que la base de données soit à 93% similaire à celle divulguée lors de l’attaque précédente, nous avons constaté qu’environ 20 000 clients supplémentaires étaient impactés par cette violation, incluant leurs emails, noms, adresses postales, numéros de téléphone et produit(s) commandé(s).
Si vous avez commandé un produit Ledger fin juin 2020 ou si vous avez acheté votre produit ailleurs que sur Ledger.com, vos données n’ont pas été divulguées.
Quels types de données ont été compromises à partir de la base de données clients de Ledger ?
Dans les deux cas, c'est la base de données de commerce électronique et de marketing qui a été divulguée. Elle contient des e-mails, des noms et prénoms, des numéros de téléphone et des adresses postales, ainsi que le type de produit acheté.
Elle n’inclut aucune information concernant les cartes bancaires.
Nous savons maintenant qu’environ 1 million d’adresses e-mail ont été divulguées ainsi qu’environ 292 000 ensembles d’informations personnelles plus détaillées comprenant le prénom, le nom, le numéro de téléphone, l’adresse postale et les produits achetés.
Pourquoi avez-vous communiqué sur 9 500 ensembles de données personnelles, et non 272 000 lors de la première perte de confidentialité de données ?
La détermination du nombre d' ensembles de données personnelles (nom, adresse physique, numéro de téléphone) qui a été effectuée en juillet 2020 était basée sur l’analyse à posteriori par notre cabinet de conseil en cybersécurité qui n’a obtenu des preuves que pour 9 500 personnes. Les registres analysés n’avaient permis d’identifier spécifiquement qu’un peu plus de 9 500 personnes pour lesquelles des informations personnelles plus détaillées avaient été obtenues par les attaquants. Nous pouvons désormais vérifier, à partir de la base de données publiée, que des informations personnelles détaillées (nom, adresse postale, numéro de téléphone) d’environ 272 000 utilisateurs ont été obtenues.
Les brèches ont-elles été corrigées ?
Dès que nous l’avons découverte, cette brèche a été corrigée le jour même, et la clé d’API a été désactivée.
Concernant la faille Shopify: Dès qu’ils ont été au courant de cet incident, Shopify a suspendu immédiatement les accès réseaux et confisqué l’ordinateur de la personne incriminée, et engagé des experts en analyse des attaques informatiques, ainsi que des juristes pour poursuivre leur enquête.
Nous faisons tout notre possible pour rendre Ledger encore plus solide à l’avenir. Nous avons engagé un nouveau responsable de la sécurité de l’information (CISO). Nous renforçons encore nos systèmes déjà solides. Nous avons effectué des tests d’intrusion et des analyses de cyber-attaques avec des sociétés de cybersécurité externes, afin de tester nos systèmes et de trouver d’autres vulnérabilités sur nos systèmes de commerce électronique.
Nous travaillons en permanence avec les forces de l’ordre pour poursuivre les pirates et arrêter les personnes responsables et/ ou impliquées dans les campagnes de phishing, et nous travaillons avec d’autres autorités de protection des données dans le monde entier.
Les fonds des clients sont-ils touchés ?
Non. Les informations de paiement, les informations d’identification (mots de passe) ou les fonds en cryptomonnaie n’ont pas été affectés. Cette violation de données n’a aucun lien ni impact sur nos wallets physiques et l’application Ledger Live. Vos crypto-actifs sont en sécurité et ne sont pas en danger.
Notre modèle de sécurité empêche les attaquants d’accéder aux informations sensibles liées à nos appareils matériels, telles que les phrases secrètes de récupération et les clés privées. Les utilisateurs ont un contrôle total et sont les seuls à pouvoir accéder à ces informations.
Qu’en est-il des « informations d’identification non publiques » comme les numéros de compte bancaire et les informations de sécurité sociale ?
Comme indiqué dans notre Politique de confidentialité, nous ne demandons ni ne conservons jamais ces informations.
Les données clients sont-elles gérées en interne ou par un fournisseur tiers ?
Conformément à notre Politique de confidentialité, en tant que contrôleur de données, nous pouvons transmettre certaines de vos données à des tiers tels que les serveurs des fournisseurs de services de paiement (PSP), la logistique, et d’autres fournisseurs de services, dans les cadres contractuels et juridiques applicables.
Y a-t-il eu des demandes de rançon ?
Nous avons été informés de certaines demandes de rançon. Nous pensons qu’il s’agit d’une autre tentative d’escroquerie mondiale, car le même message est envoyé par e-mail et SMS dans différentes langues. Nous surveillons en permanence la campagne sur une page dédiée.
Quelles mesures correctives Ledger prend-il pour résoudre ce problème ?
- Nous avons immédiatement corrigé la faille.
- Nous avons enquêté immédiatement sur la violation de données, en interne et avec des experts judiciaires externes (Orange Cyber Defense) pour découvrir tout accès non autorisé aux données de nos clients par un tiers.
- Nous avons informé l’autorité de protection des données de la violation de données et l’avons mise au courant de la situation.
- Nous avons informé nos clients.
- Nous avons déposé une plainte formelle auprès du Procureur de la République Française et la mettons à jour avec de nouvelles informations.
- Nous avons effectué des tests de pénétration en interne et nous anticipons les tests de pénétration externes initialement prévus pour septembre 2020.
- Nous menons des audits internes périodiques sur nos politiques de conservation des données, pour assurer la conformité continue avec les lois applicables.
- Nous étendons au commerce électronique la portée de notre programme de sécurité et d’organisation qui se concentrait à l’origine sur nos produits (matériel et coffre-fort). Nous prenons des mesures pour répondre aux exigences énumérées dans la norme ISO 27001.
Les informations obtenues par les pirates peuvent-elles contourner les mesures d’authentification à deux facteurs (2FA) ?
Non. Notre site Web de commerce électronique ne conserve aucune information de connexion/mot de passe puisque l’authentification 2FA n’est pas pertinente par rapport à notre système de sécurité.
Des clients signalent-ils des extorsions physiques ?
Pas à notre connaissance. Ni récemment, ni dans le passé, mais certaines de ces escroqueries impliquent une menace de violence physique. Si vous recevez une telle menace, veuillez contacter immédiatement les autorités locales. Vous pouvez également nous signaler la menace sur cette page afin qu’elle soit incluse dans notre enquête. Sachez que les produits Ledger ont été conçus en tenant compte des menaces d’attaques physiques. Nous vous invitons à consulter les bonnes pratiques en matière de mesures de sécurité avancées pour savoir comment vous protéger et rester vigilant(e). Nous surveillons en permanence les campagnes d’hameçonnage sur une page dédiée.
Nous recommandons à nos clients préoccupés par cette éventualité de consulter nos bonnes pratiques en matière de mesures de sécurité avancées et de garder à l’esprit qu’en cas d’urgence, en tapant 3 fois le mauvais code PIN, votre appareil sera réinitialisé.
Pourquoi Ledger a-t-il attendu plus d’une semaine pour communiquer publiquement sur cette violation de données relatives au marketing et au commerce électronique ?
Nous voulions avoir toutes les données nécessaires et nous devions d’abord nous conformer aux obligations légales et règlementaires qui nous incombent.
Nous avons immédiatement résolu le problème et lancé une enquête interne pour évaluer l’étendue de la violation. Nous avons également enquêté avec Orange Cyberdefense pour évaluer la gravité de la violation et avons reçu le rapport initial d’OCD le 24 juillet.
Nous avons notifié cette violation de données à l’autorité française de protection des données, la CNIL, dans le respect des lois applicables.
Ledger respecte-t-il le Réglement Général sur la Protection des Données (RGPD)?
Le but de Ledger est d’aller au-delà de la simple conformité avec le RGPD et aux autres réglementations sur la protection des données. C’est pourquoi, dans les trois jours qui ont suivi la découverte de la violation des données, Ledger a signalé les informations à la CNIL, et a fourni des mises à jour dès qu’elles étaient disponibles. Ledger travaille également et communique ouvertement avec d’autres autorités de protection des données.
L’équipe de Ledger chargée de la protection de la vie privée est également mobilisée pour répondre et gérer toute demande liée à la protection de la vie privée dont nos clients pourraient nous faire part. Si vous avez une demande spécifique concernant vos données (accès, effacement…), veuillez nous adresser votre requête à privacy@ledger.fr.
Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Pour aller au-delà de ce qui est requis par le RGPD, nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé. Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
Que puis-je faire pour protéger mes données à l’avenir ?
Méfiez-vous des tentatives d’hameçonnage qui usurperaient l’identité de Ledger pour demander votre phrase de récupération. Ledger ne vous demandera jamais les 24 mots de votre phrase de récupération, pas même dans Ledger Live, et Ledger ne vous contactera jamais par SMS ou téléphone.
Si vous souhaitez améliorer la sécurité de votre phrase de récupération, nous vous recommandons de consulter nos bonnes pratiques en matière de mesures de sécurité avancée et de garder à l’esprit qu’en cas d’urgence, le fait de taper 3 fois le mauvais code PIN réinitialisera votre appareil.
Quelles mesures de sécurité étaient en place pour protéger nos informations personnelles ?
Afin d’assurer l’intégrité et la confidentialité de vos données personnelles, nous mettons en œuvre des procédures physiques, électroniques et organisationnelles appropriées pour sauvegarder et sécuriser les données personnelles dans tous nos services.
Plus de détails sur les mesures de sécurité mises en œuvre sont disponibles dans notre Politique de confidentialité.
Nous mettons notamment en œuvre les mesures de sécurité suivantes :
- Sécurité des données de paiement : si vous nous fournissez des informations de carte de crédit, ces informations sont cryptées à l’aide d’un protocole Internet Trade Protocol (TLS) sécurisé et envoyées directement à notre fournisseur de services de paiement (PSP). Ces informations ne sont jamais stockées sur notre serveur.
- Programme de sensibilisation et de formation des employés.
- Chiffrement des données transférées et stockées.
- Centres de données régulièrement audités.
- Redondance des données pour la résilience en cas de dommage.
- Authentification basée sur les rôles.
- Authentification à deux facteurs de nos employés autorisés.
- Surveillance continue des systèmes.
- Évaluations de sécurité conformes aux normes du secteur.
- Audits de sécurité tiers indépendants et tests de pénétration.
- Recrutement d’un nouveau Responsable de la Sécurité Informatique (CISO)
- Mise hors ligne de plus de 200 sites d'hameçonnage depuis la perte de confidentialité de données initiale.
Êtes-vous sûr qu’il n’y a pas d’autre problème similaire sur votre site de commerce électronique ? Utilisez-vous d’autres API ?
Nous avons effectué un audit interne et n’avons trouvé aucune brèche similaire. Cependant, nous continuons d’investiguer régulièrement. Nous effectuons donc un test de pénétration externe et encourageons d’autres chercheurs en sécurité informatique à nous contacter via notre programme de prime aux bogues.
Comment pouvez-vous être sûr que la violation présumée de données Shopify révélée en mai était un canular ?
Nous avons eu accès à un échantillon de la base de données qui aurait prétendument été divulguée et avons constaté qu’elle ne correspondait pas à notre base de données.
Comment la violation de données a-t-elle eu un impact sur les commandes Amazon, plus précisément sur les adresses de facturation/livraison ?
Aucune information concernant des commandes sur Amazon (y compris les adresses e-mail, de facturation et d’expédition des commandes) n’a été affectée par la violation de données.
Êtes-vous au courant des attaques d’hameçonnage existantes ciblant vos clients ?
Oui, et nous surveillons en permanence la campagne sur une page dédiée. Les campagnes d’hameçonnage sont très courantes dans le secteur, c’est pourquoi nous avons créé la Ledger Academy pour sensibiliser nos utilisateurs. Nous menons des campagnes régulières pour rappeler à nos utilisateurs les dangers des attaques d’hameçonnage, et de toujours rester prudents. Nous avons mis en place une équipe de protection contre la contrefaçon depuis deux ans afin de surveiller et faire disparaître ces contenus abusifs.
Avez-vous identifié qui a compromis votre base de données ? Avez-vous des indices ?
Non. Nous avons déposé une plainte auprès du Procureur de la République Française sur la base de preuves préliminaires exposées grâce au rapport indépendant d’enquête de cyberattaque d’Orange Cyberdefense, que nous avons continuellement mis à jour. Une enquête est en cours.
Croisez-vous mes données Ledger Live avec d’autres données ? (e-com, matériel)
Non.
Partagez-vous des données avec les gouvernements ?
Ledger ne partage pas les informations sur ses clients, sauf si les lois applicables l’exigent, comme décrit dans notre Politique de confidentialité.
Pourquoi ne purgez-vous pas votre base de données ?
Pour des raisons légales, nous sommes obligés de stocker certaines informations transactionnelles relatives aux coordonnées de nos clients et aux données de leurs commandes.
Conformément au principe de limitation du stockage énoncé dans les lois applicables, nous nous efforçons de ne pas conserver les données plus longtemps que le temps nécessaire pour se conformer à ces objectifs légitimes et légaux, y compris afin de satisfaire à toute exigence légale, comptable, fiscale ou autre en matière de rapports de conformité.
Nous pouvons archiver certaines de vos données personnelles, avec un accès restreint, pour une période supplémentaire lorsque cela est strictement nécessaire pour nous conformer à nos obligations légales et/ou réglementaires d’archivage et pour les délais de prescription applicables. À la fin de cette période supplémentaire, vos données personnelles restantes seront définitivement effacées de nos systèmes, ou anonymisées.
Si vous avez acheté un produit ou un service chez nous, nous pouvons conserver certaines données transactionnelles jointes à vos coordonnées afin de nous conformer à nos obligations légales, fiscales ou comptables, et ce pendant une période maximale de 10 ans fixée par les lois françaises applicables, ainsi que pour nous permettre de préserver et/ ou de faire valoir nos droits (par exemple, dans l’exercice de certains de nos droits devant les tribunaux) pendant les délais de prescription français applicables.
Nous devons également conserver certaines de vos données personnelles contenues dans cette base de données, afin de pouvoir répondre à vos questions, de traiter des réclamations potentielles et de conserver des preuves nécessaires à l’enquête pénale.
Suite à la violation de données Shopify, nous avons changé en profondeur la manière dont nous gérons les données pour aller encore plus loin que ce que demande le Réglement Général sur la Protection des Données (RGPD) :
-
Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé.Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
- Nous allons réduire au maximum les occasions d’affichage de vos informations personnelles. Par exemple, nous effacerons vos noms, adresse et numéro de téléphone des emails de confirmation de commande que nous vous adresserons, afin que ces informations ne circulent pas via notre prestataire de gestion d’emails e-commerce.
-
Nous implémenterons prochainement un modèle de communication dans lequel les messages importants de sécurité et à visée technique seront diffusés via Ledger Live. Lorsque nous nous adresserons à vous, les emails et réseaux sociaux seront utilisés UNIQUEMENT pour les communications promotionnelles et le marketing.
- Nous allons mener un nouvel audit de tous nos fournisseurs et partenaires afin de nous assurer qu’ils continuent d’opérer au plus haut niveau de qualité.
Les 24 mots sont-ils stockés dans la base de données ?
Non, nos clients ont le contrôle total et unique de leur phrase de récupération. Ledger ne demandera jamais votre phrase de récupération.
Si vous n’êtes pas en mesure de protéger nos données de commerce électronique, comment pourriez-vous protéger et sécuriser nos fonds ?
C’est la question la plus précise et la plus légitime que nos clients puissent nous poser. En effet, depuis la création de Ledger, nous avons mis l’accent sur la sécurité de nos produits car nous savions que ce secteur avait besoin de solutions de sécurité solides, entièrement surveillées et vérifiables pour prendre son essor, et nous nous sommes engagés à offrir à nos clients des produits de sécurité que nous développons sur la base de connaissances extrêmement pointues.
Cette violation de données provient d’une clé d’API tierce mal configurée et hébergée sur notre page Web de commerce électronique. Elle n’est en rien liée à nos produits de sécurité, qui disposent de leurs propres infrastructures. Cela ne veut pas dire que cette situation n’est pas grave. Cela signifie qu’elle ne concerne pas le niveau de sécurité de nos produits.
Nous regrettons profondément cet incident. Nous prenons la confidentialité très au sérieux, nous avons découvert ce problème grâce à notre propre programme de « primes aux bogues », et l’avons corrigé immédiatement. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que cette affaire peut causer à nos clients.
Cette situation est très stressante, qu’est-ce qui est censé me rassurer ?
Nous comprenons vos préoccupations et nous regrettons profondément cet incident. Les pertes de confidentialité de données et les attaques d’hameçonnage sont un problème pour tout le secteur. Nous continuons chaque jour de travailler sur ce problème et nous prenons très au sérieux la confidentialité et la sécurité des données. Dès que nous avons découvert ce problème, grâce à notre propre programme de prime aux bogues, nous l’avons immédiatement corrigé et avons mis en œuvre les mesures requises pour vous en informer. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que ce problème peut vous causer. Cependant, cette violation de données n’a aucun lien avec ni aucun impact sur nos wallets physiques, ni sur la sécurité de Ledger Live. Vos crypto-actifs sont en sécurité et n’ont jamais été en danger.
Crypto Casey fait un excellent travail pour résumer la situation et pour expliquer comment se protéger dans cette vidéo et ce podcast. Prenez toutes les mesures nécessaires pour assurer votre sécurité, et celle de vos crypto-actifs.
Vos crypto-actifs n’ont jamais été menacés. Nous sommes reconnaissants de la confiance que vous accordez à nos produits. À l’avenir, vous pouvez attendre de nos services le plus haut niveau de professionnalisme, de transparence et de réactivité.
Connaissez-vous, fournissez-vous ou recommandez-vous un service de surveillance de type “ID theft” ?
Non, nous ne recommandons pas d’utiliser ce type de services. Nous recommandons à la place à nos clients d’appliquer des mesures de précaution et d’être au courant des tentatives d’hameçonnage qui pourraient imiter Ledger en vue d'obtenir de votre part votre phrase de récupération. Ledger ne vous demandera jamais les 24 mots de votre phrase de récupération, pas même sur Ledger Live. Et Ledger ne vous contactera jamais par SMS ni par téléphone.
Si vous souhaitez améliorer la sécurité de votre phrase de récupération, nous vous recommandons de consulter notre guide des meilleures pratiques en matière de sécurité avancée, et de garder en tête que 3 codes PIN erronés sur votre appareil effaceront son contenu.
Que faites-vous pour prévenir d’autres pertes de confidentialité à l’avenir?
Ces pertes de confidentialité de données sont pour nous une remise en cause. Être digne de votre confiance est beaucoup plus important pour nous que de posséder vos données. C’est pourquoi nous changeons la manière dont nous gérons ces données, pour aller encore plus loin que ce que recommande le Règlement Général sur la Protection des Données et être les meilleurs sur ce sujet :
- Notre but est d’effacer vos données personnelles telles que vos noms, adresses et numéros de téléphone aussi vite que possible. Nous nous fixons pour but de garder ces données aussi peu de temps que nécessaire pour remplir nos obligations envers nos clients (par exemple le bon déroulement de votre commande) et en termes réglementaires (par exemple les obligations comptables et juridiques). Les données qui doivent être conservées le seront dans un environnement séparé. Cet objectif s’applique également à nos fournisseurs. Par exemple, notre but est que trois mois après l’envoi de votre produit, les informations telles que vos noms, adresse postale et numéro de téléphone soient stockés dans une base séparée.
-
Nous allons réduire au maximum les occasions d’affichage de vos informations personnelles. Par exemple, nous effacerons vos noms, adresse et numéro de téléphone des emails de confirmation de commande que nous vous adresserons, afin que ces informations ne circulent pas via notre prestataire de gestion d’emails e-commerce.
-
Nous implémenterons prochainement un modèle de communication dans lequel les messages importants de sécurité et à visée technique seront diffusés via Ledger Live. Lorsque nous nous adresserons à vous, les emails et réseaux sociaux seront utilisés UNIQUEMENT pour les communications promotionnelles et le marketing.
- Nous allons mener un nouvel audit de tous nos fournisseurs et partenaires afin de nous assurer qu’ils continuent d’opérer au plus haut niveau de qualité.
Ces vols et ces attaques ne peuvent rester impunis. Des enquêtes doivent être menées. Pour que l’industrie de la crypto se développe il est impératif que le vol de crypto actifs soit sévèrement puni. Nous travaillons sur ces affaires avec les autorités compétentes et avec des enquêteurs privés :
- Nous augmentons nos capacités d’enquête via des sociétés privées spécialisées pour apporter davantage d’expertise et varier les approches permettant de retrouver les responsables de ces vols de données. Nous continuerons de travailler main dans la main avec les autorités judiciaires à travers le monde pour identifier, arrêter et traduire en justice les responsables de ces vols de données.
- Nous créons une récompense pour l’obtention de nouvelles informations, obtenues légalement, qui permettront d’identifier, d’arrêter et de traduire en justice avec succès les responsables de ces attaques contre Ledger et ses clients. Ledger a abondé un wallet avec 10 BTC (adresse : bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) comme réserve initiale pour cette récompense. Cette récompense sera versée à l’entière discrétion de Ledger en prenant en compte des facteurs tels que la légalité de l’obtention des informations, la nouveauté des informations, leur importance, leur impact positif sur les progrès de l’enquête et leurs conséquences directes en termes de capacité à poursuivre le ou les individus, ainsi que le résultat des poursuites.Plus généralement, cette récompense sera soumise aux règles de notre programme de récompenses disponibles ici.
- Nous annonçons notre intention de collaborer dans le cadre de cette initiative avec d’autres acteurs du secteur. Nous avons contacté d’autres sociétés comme des particuliers pour qu’ils abondent ce programme de récompense contre les crimes commis à l’encontre de la communauté crypto au sens large. PDG d’autres sociétés de l’univers des crypto, si vous voulez vous joindre à nous dans ce projet, merci d’avance de vous manifester au plus vite.
Filtración de datos de comercio electrónico y de marketing; preguntas frecuentes
El 14 de julio, un investigador se puso en contacto con nosotros a través de nuestro programa de recompensas para informarnos de una filtración de datos que afectaba a nuestra base de datos de comercio electrónico y marketing. Corregimos inmediatamente la filtración de datos e iniciamos una investigación interna. Descubrimos que los datos expuestos fueron objeto de un acceso no autorizado. Tus fondos están seguros.
El 20 de diciembre recibimos un aviso relativo a la subida de los contenidos de una base de datos de clientes de Ledger. La investigación sigue en curso, pero los primeros indicios apuntan a que, efectivamente, podría tratarse del contenido de nuestra base de datos de comercio electrónico que se había filtrado anteriormente.
El 23 de diciembre, Shopify, nuestro proveedor de servicios de comercio electrónico, nos notificó un incidente que afectaba a los datos de los comerciantes y en el que uno o varios miembros deshonestos de su equipo de asistencia habían obtenido registros de transacciones de clientes, entre los que se encontraban los de Ledger.
A continuación encontrarás las respuestas a las preguntas más frecuentes. Para obtener más información sobre la filtración de datos, consulta nuestra entrada en el blog, y sobre el incidente de Shopify, consulta este artículo.
¿Se han visto afectados mis datos personales (nombre, dirección, número de teléfono)?
Tras descubrir la filtración en julio, hemos enviado un correo electrónico a los 9500 clientes afectados para los que los registros nos permitían determinar que se habían filtrado sus datos personales. Si no has recibido este correo electrónico por el momento, no tenemos constancia de que se hayan filtrado tus datos personales, a excepción de tu dirección de correo electrónico.
Una vez que tuvimos conocimiento de la filtración del 20 de diciembre, se hizo evidente que un subconjunto mayor que los 9500 clientes iniciales habían visto expuestos sus datos personales. Hemos enviado un correo electrónico a todos los clientes de este subconjunto (unas 272 000 personas). Si formabas parte de este subconjunto, deberías haber recibido un correo electrónico específico de notificación el 21 de diciembre de 2020.
El 13 de enero informamos a los aproximadamente 292 000 clientes afectados por la filtración de Shopify. Si tus datos se han visto vulnerados a raíz de esta filtración de datos de Shopify, se te habría notificado por correo electrónico. El título del correo es «AVISO DE SEGURIDAD: Ledger afectado por la filtración de la base de datos de Shopify» y se envió el 13 de enero de 2021 sobre las 16:00 horas (CET).
¿Qué sucedió en la filtración de datos notificada en julio de 2020?
Un atacante obtuvo acceso a una parte de nuestra base de datos de comercio electrónico y de marketing a través de la clave API de un tercero que estaba mal configurada en nuestra página web, lo que permitió el acceso no autorizado a los datos de contacto y de los pedidos de nuestros clientes.
¿Quién es el tercero? ¿Por qué procesaban los datos de vuestros clientes?
Los equipos de comercio electrónico y de marketing de Ledger utilizan una solución de un tercero (Iterable) para enviar y analizar los correos electrónicos transaccionales y de marketing a los clientes que han comprado productos en ledger.com o se han inscrito para recibir nuestros boletines.
¿Desde cuándo existe este problema?
El error en la configuración de la clave de la API del tercero en cuestión ha existido desde el 9 de agosto de 2018. A tenor de las pruebas y los registros que poseemos, creemos que se descubrió y explotó entre abril de 2020 y el 28 de junio de 2020.
¿Qué pasó con Shopify?
El 23 de diciembre de 2020 recibimos una notificación de nuestro proveedor de servicios de comercio electrónico, Shopify, en relación con un incidente que afectaba a los datos de los comerciantes y en el que uno o varios miembros deshonestos de su equipo de asistencia habían obtenido registros de transacciones de clientes, entre los que se encontraban los de Ledger. Los responsables exportaron ilegalmente los registros transaccionales de los clientes en abril y junio de 2020. A juicio de Shopify, esto está relacionado con el incidente denunciado en septiembre de 2020, que afecta a más de 200 comerciantes, pero hasta el 21 de diciembre de 2020, Shopify no había descubierto que Ledger también fuera objeto de este ataque. Shopify nos informó de que habían contratado a expertos forenses digitales y a un abogado para seguir investigando el problema y que habían informado a las autoridades policiales tanto de Canadá como de Estados Unidos.
En colaboración con la empresa forense Orange Cyberdefense, hemos podido determinar que afecta a unos 292 000 clientes. Aunque el 93 % de la base de datos es semejante a la del ataque anterior, en esta filtración se incluyeron aproximadamente 20 000 nuevos registros de clientes que contenían el correo electrónico, el nombre, la dirección postal, los productos pedidos y el número de teléfono.
Si adquiriste un producto de Ledger después de finales de junio de 2020, o si compraste tu producto a través de un sitio web distinto de Ledger.com, tus datos no se han visto afectados por estos incidentes.
¿Qué tipo de información de la base de datos de clientes de Ledger se vio afectada?
En ambas filtraciones, la información expuesta está relacionada con bases de datos de comercio electrónico y de marketing. Incluye correos electrónicos, nombres y apellidos, números de teléfono y direcciones postales, así como el tipo de producto adquirido.
No incluye información relativa a las tarjetas de crédito.
Ahora sabemos que se filtraron aproximadamente 1 millón de direcciones de correo electrónico y unos 292 000 registros de información personal, que incluían el nombre y los apellidos, el número de teléfono, la dirección postal y los productos adquiridos.
¿Por qué se comunicó sobre 9500 datos personales y no sobre 272 000?
La determinación del número de datos personales (nombre, dirección física, número de teléfono) que se hizo en julio de 2020 se basó en el análisis forense de nuestra consultora de seguridad externa, la cual ha indicado que solo había indicios de 9500 personas afectadas. Hemos actuado con rapidez y según los conocimientos de los que disponíamos en ese momento. Ahora podemos constatar, gracias a la base de datos publicada, que se ha obtenido información detallada (nombre, dirección postal, número de teléfono) de unos 272 000 usuarios.
¿Se ha corregido la filtración de datos?
Respecto a la filtración de datos descubierta en julio: tan pronto como descubrimos la filtración de datos en julio, la misma se solucionó en el mismo día y la clave de la API se desactivó.
Respecto a la filtración de datos de Shopify: desde que se tuvo conocimiento del incidente, Shopify suspendió inmediatamente el acceso a la red del individuo, confiscó su ordenador portátil y contrató a expertos en análisis forense digital y a un abogado para continuar su investigación.
Estamos haciendo todo lo posible para que Ledger sea cada vez más fuerte de cara al futuro. Hemos contratado a un nuevo Director de Seguridad de la Información (CISO). Estamos consolidando aún más nuestros ya sólidos sistemas. Ejecutamos pruebas de penetración y análisis forenses con empresas de seguridad externas para ponerlas a prueba y encontrar cualquier otra vulnerabilidad en nuestros sistemas de comercio electrónico.
Trabajamos continuamente con las autoridades policiales para perseguir a los delincuentes. Hemos notificado a la autoridad francesa de protección de datos las filtraciones de datos y estamos trabajando con otras autoridades de protección de datos de todo el mundo.
¿Se han visto afectados los fondos de los clientes?
No. La información de pago, las credenciales (contraseñas) o los fondos de criptomonedas no han sido afectados. Esta filtración de datos no tiene ninguna relación ni repercusión en nuestras carteras de hardware ni en la aplicación Ledger Live. Tus criptoactivos están seguros y no corren peligro.
Nuestro modelo de seguridad impide que los atacantes accedan a la información confidencial relacionada con nuestros dispositivos de hardware, como las frases de contraseña y las claves privadas. Los usuarios tienen el control absoluto y son las únicas personas que tienen acceso a esta información.
¿Y qué hay de la "información de identificación no pública" como son los números de cuentas bancarias o los datos de la seguridad social?
Como se indica en nuestra política de privacidad, nunca solicitamos ni conservamos este tipo de información.
¿Los datos de los clientes se gestionan internamente o a través de un proveedor externo?
De acuerdo con nuestra política de privacidad, como responsables del tratamiento de datos, podemos ceder algunos de tus datos a terceros, como proveedores de servicios de pago (PSP), de infraestructura, de logística y de otros servicios, dentro de los marcos contractuales y legales aplicables.
¿Ha habido algún intento de chantaje?
Nos han informado de algunos casos de chantajes. Creemos que se trata de otro intento de estafa global, ya que el mismo mensaje se está enviando por correo electrónico y SMS en diferentes idiomas. Realizamos un seguimiento continuo de la campaña en una página específica.
¿Qué medidas correctivas está tomando Ledger para resolver la situación?
- Hemos corregido la filtración de datos inmediatamente
- Hemos investigado la filtración de datos inmediatamente, tanto internamente como con ayuda de expertos forenses externos (Orange Cyberdefense) para detectar cualquier acceso no autorizado a los datos de nuestros clientes por parte de terceros.
- Hemos informado a la autoridad francesa de protección de datos de la filtración de datos y les hemos puesto al corriente de la situación.
- Hemos informado a nuestros clientes.
- Hemos presentado una denuncia formal ante la fiscalía francesa y la vamos a actualizar con nueva información.
- Hemos realizado pruebas de penetración internas y estamos ampliando las pruebas de penetración externas que estaban previstas inicialmente para septiembre de 2020.
- Tenemos programadas auditorías internas periódicas de nuestras políticas de conservación de datos para garantizar el cumplimiento continuo de la legislación aplicable.
- Estamos ampliando el alcance de nuestro programa de seguridad y organización para incluir el comercio electrónico, que inicialmente se centraba solo en nuestros productos (HW y Vault). Estamos adoptando medidas para cumplir los requisitos recogidos por la norma ISO 27001.
¿La información obtenida por los hackers puede eludir las medidas de autenticación de dos factores (2FA)?
No. Nuestra página web de comercio electrónico no conserva ninguna información de inicio de sesión/contraseña, ya que el sistema 2FA no es relevante en lo que respecta a nuestra estructura de seguridad.
¿Algún cliente ha denunciado una extorsión física?
No que sepamos. Ni recientemente ni en el pasado, pero algunas de las estafas implican amenazas de violencia física. Si recibes una amenaza de este tipo, ponte en contacto inmediatamente con las autoridades policiales locales. También puedes denunciar la amenaza en esta página para que la incluyamos en nuestra investigación. Recuerda que Ledger se ha diseñado teniendo en cuenta la amenaza que suponen los ataques físicos; consulta nuestras recomendaciones en materia de seguridad avanzada para obtener instrucciones sobre cómo protegerte y mantenerte alerta. Realizamos un seguimiento continuo de la campaña en una página específica.
Recomendamos a nuestros clientes que estén preocupados por esa eventualidad que consulten nuestras recomendaciones en materia de seguridad avanzada y que tengan en cuenta que, en caso de emergencia, al teclear 3 veces el código PIN erróneo se reseteará su dispositivo.
¿Por qué esperó Ledger más de una semana para comunicar públicamente esta filtración de datos de marketing y de comercio electrónico?
Queríamos contar con todos los datos necesarios y teníamos que garantizar primero el cumplimiento de la legislación.
Corregimos inmediatamente el problema e iniciamos una investigación interna para evaluar el alcance de la vulneración. También hemos investigado con Orange Cyberdefense para evaluar el alcance de la filtración; recibimos el informe inicial de OCD el 24 de julio.
Hemos notificado esta filtración de datos a la autoridad francesa de protección de datos, la CNIL, en cumplimiento de la legislación aplicable.
¿Cumple Ledger con el RGPD?
El objetivo de Ledger va incluso más allá del simple cumplimiento del RGPD y otras normativas de protección de datos. En los tres días posteriores al descubrimiento de las filtraciones de datos, Ledger se lo notificó a la autoridad francesa de protección de datos y se le han facilitado actualizaciones a medida que han estado disponibles. Ledger también trabaja y colabora abiertamente con otras autoridades de protección de datos.
El equipo de privacidad de Ledger también se ha puesto en marcha para responder y gestionar cualquier consulta relacionada con la privacidad que los clientes nos hagan llegar. Si quieres realizar una solicitud específica relativa a tus datos (acceso, supresión...), envíanos un correo electrónico a privacy@ledger.fr.
Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Para ir más allá de lo que exige el RGPD, nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
¿Qué puedo hacer para proteger mis datos de ahora en adelante?
Ten cuidado con los intentos de phishing que suplantan la identidad de Ledger para obtener tu frase de contraseña. Ledger nunca te va a pedir las 24 palabras de tu frase de contraseña, ni siquiera en Ledger Live, y Ledger nunca se va a poner en contacto contigo mediante mensajes de texto o llamadas telefónicas.
Si quieres mejorar la seguridad de tu frase de contraseña, te recomendamos que consultes nuestras recomendaciones en materia de seguridad avanzada y que tengas en cuenta que, en caso de emergencia, si tecleas 3 veces el código PIN erróneo, tu dispositivo se reseteará.
¿Qué medidas de seguridad existían para proteger nuestros datos personales?
Para garantizar la integridad y confidencialidad de tus datos personales, implementamos procedimientos físicos, electrónicos y organizativos adecuados para salvaguardar y proteger los datos personales en todos nuestros servicios.
Puedes encontrar más información sobre las medidas de seguridad implementadas en nuestra política de privacidad.
Entre otras, implementamos en particular las siguientes medidas de seguridad:
- Seguridad de los datos de pago: cuando nos facilitas los datos de tu tarjeta de crédito, dichos datos se encriptan mediante un protocolo de comercio seguro de Internet (TLS) y se envían directamente a nuestro proveedor de servicios de pago (PSP). Esta información nunca se almacena en nuestro servidor.
- Programa de concienciación y formación de los empleados
- Encriptación de datos en tránsito y almacenados
- Los centros de datos se someten a auditorías periódicas
- Redundancia de datos para aumentar la resistencia en caso de incidentes
- Autenticación basada en funciones
- Autenticación de dos factores de nuestros empleados autorizados
- Monitorización continua del sistema
- Evaluaciones de seguridad conforme a las normas del sector
- Revisiones de seguridad y pruebas de penetración de terceros independientes
- Contratación de un nuevo Director de Seguridad de la Información (CISO)
- Se han eliminado más de 200 páginas web de phishing desde que se produjo la filtración original
¿Tenéis la certeza de que no hay ningún otro problema similar en vuestra página web de comercio electrónico? ¿Utilizáis otras API?
Hemos realizado una auditoría interna y no hemos encontrado ningún otro problema. No obstante, seguimos realizando evaluaciones periódicas para estar seguros. Llevamos a cabo pruebas de penetración externas periódicamente y fomentamos que otros investigadores de seguridad informática se pongan en contacto con nosotros a través de nuestro programa de recompensas.
¿Cómo podéis estar seguros de que la supuesta filtración de datos de Shopify revelada en mayo era un bulo?
Tuvimos acceso a una muestra de la supuesta base de datos filtrada y comprobamos que no coincidía con nuestra base de datos.
¿Cómo afectó la filtración de datos a los pedidos realizados a través de Amazon, más concretamente, a las direcciones de facturación/envío?
La filtración de datos no afectó a la información de los pedidos realizados a través de Amazon (incluidas las direcciones de correo electrónico, de facturación y de envío de los pedidos).
¿Tenéis constancia de la existencia de ataques de phishing contra vuestros clientes?
Sí, realizamos un seguimiento continuo de las campañas en una página específica. Las campañas de phishing son muy comunes en el sector, por lo que hemos creado la Ledger Academy para educar a nuestros usuarios. Organizamos campañas regularmente para ayudar a nuestros usuarios a recordar los peligros que entrañan los ataques de phishing, y para que siempre actúen con cautela. Contamos con un equipo de protección de la marca desde hace 2 años a fin de vigilar y hacer cumplir estos contenidos abusivos.
¿Se ha podido identificar al responsable de la vulneración de vuestra base de datos? ¿Tenéis alguna pista?
No. Presentamos una querella ante la fiscalía francesa partiendo de las pruebas preliminares esbozadas gracias al informe forense de investigación independiente elaborado por Orange Cyberdefense, el cual hemos ido actualizando continuamente. La investigación sigue en curso.
¿Se combinan los datos relativos a mi Ledger Live con otros datos? (e-com, HW)
No, no lo hacemos.
¿Compartís datos con los gobiernos?
Ledger no comparte la información de sus clientes a menos que lo exija la legislación aplicable, tal y como se describe en nuestra política de privacidad.
¿Por qué no se depura vuestra base de datos?
Por cuestiones legales, estamos obligados a almacenar cierta información transaccional relacionada con los datos de contacto de nuestros clientes y la información relativa a sus pedidos.
De acuerdo con el principio de limitación del almacenamiento establecido en las leyes aplicables, nos esforzamos por conservar los datos durante un tiempo no superior al necesario para cumplir con dichos fines legítimos y legales, incluido el cumplimiento de cualquier requisito de declaración legal, contable, fiscal o de otro tipo.
Podemos almacenar algunos de tus datos personales, en régimen de acceso restringido, durante un período de tiempo adicional cuando sea estrictamente necesario para cumplir con nuestras obligaciones legales y/o reguladoras de almacenamiento y durante los períodos de prescripción aplicables. Una vez finalizado este período adicional, tus datos personales restantes serán eliminados permanentemente o anonimizados de nuestros sistemas.
Si has adquirido uno de nuestros productos o servicios, podemos conservar algunos datos transaccionales adjuntos a tus Datos de Contacto para cumplir con nuestras obligaciones legales, fiscales o contables durante un período máximo de 10 años establecido por las leyes francesas aplicables, así como para permitirnos gestionar nuestros derechos (por ejemplo, para hacer valer nuestras reclamaciones ante los tribunales) durante los plazos de prescripción franceses aplicables.
También es necesario que conservemos algunos de tus datos personales recogidos en esta base de datos para poder responder a tus preguntas, tramitar posibles reclamaciones y conservar pruebas para la investigación judicial.
A raíz de la vulneración de Shopify, estamos cambiando la forma en que gestionamos estos datos, para ir más allá de los principios del RGPD y adoptar el mejor enfoque posible:
- Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
- Reduciremos al mínimo los lugares en los que se muestren tus datos personales. Por ejemplo, eliminaremos el nombre, la dirección y el número de teléfono de los correos electrónicos de confirmación de pedidos que te enviamos para que estos datos no pasen por nuestro proveedor de correo electrónico destinado al comercio electrónico.
- Implementaremos un modelo de mensajería en el que la información técnica y de seguridad proactiva importante se comunicará a través de Ledger Live. El correo electrónico y las redes sociales se utilizarán ÚNICAMENTE para difundir mensajes y anuncios relacionados con nuestros productos.
- Llevaremos a cabo una reevaluación detallada de todos nuestros proveedores y socios para asegurarnos de que siguen cumpliendo las normas más rigurosas.
¿Las 24 palabras están almacenadas en la base de datos?
No, nuestros clientes tienen el control absoluto y exclusivo de su frase de contraseña. Ledger nunca solicitará tu frase de contraseña.
Si no sois capaces de proteger nuestros datos de comercio electrónico, ¿cómo vais a proteger y asegurar nuestros fondos?
Esta es la pregunta más precisa y legítima que podemos abordar con nuestros clientes. En efecto, desde los inicios de Ledger, nos hemos centrado en la seguridad de nuestros productos porque sabíamos que este sector necesitaba soluciones de seguridad sólidas, totalmente supervisadas y auditables para prosperar, y nos hemos comprometido a ofrecer a nuestros clientes productos de seguridad que supervisamos aplicando los conocimientos más avanzados.
Esta filtración de datos surge a partir de una clave API de terceros erróneamente configurada y alojada en nuestra página web de comercio electrónico. No tiene nada que ver con nuestros productos de seguridad y sus propias infraestructuras. Esto no significa que esta situación no sea grave. Esto significa que no está relacionada con el nivel de seguridad de nuestros productos.
Lamentamos enormemente este incidente. Nos tomamos muy en serio la privacidad; descubrimos este problema gracias a nuestro propio programa de recompensas para encontrar vulnerabilidades y lo corregimos inmediatamente. Pero independientemente de todo lo que se hizo para evitar y corregir esta situación, pedimos disculpas de corazón por las molestias que este asunto haya podido causar a nuestros clientes.
Esta situación es muy estresante, ¿qué se supone que debe tranquilizarme?
Entendemos tu preocupación y lamentamos mucho este incidente. Las filtraciones de datos y los ataques de phishing son un problema que afecta a todo el sector. Seguimos trabajando en este problema cada día y nos tomamos muy en serio la privacidad y la seguridad de los datos. Tan pronto como descubrimos este problema gracias a nuestro propio programa de recompensas, lo corregimos inmediatamente y nos pusimos a trabajar para comunicártelo. Pero independientemente de todo lo que se hizo para evitar y corregir esta situación, pedimos disculpas de corazón por las molestias que este asunto te haya podido causar. No obstante, esta filtración de datos no tiene ninguna relación ni repercusión en nuestras carteras de hardware ni en la seguridad de Ledger Live.
Crypto Casey resume perfectamente la situación y la mejor manera de protegerse en este vídeo y en este podcast. Adopta todas las medidas necesarias para mantenerte a ti y a tu criptomoneda a salvo.
Tus criptoactivos están seguros y nunca han corrido peligro. Te agradecemos la confianza que has depositado en nuestros productos. De ahora en adelante, puedes contar con los más altos niveles de profesionalidad, transparencia y capacidad de respuesta de nuestros servicios.
¿Conocéis, ofrecéis o recomendáis un servicio de control de "robo de identidad"?
No, no recomendamos utilizar este tipo de servicio. En su lugar, recomendamos a nuestros clientes que apliquen medidas preventivas y tengan cuidado con los intentos de phishing, los cuales podrían suplantar la identidad de Ledger para obtener su frase de contraseña. Ledger nunca te va a pedir las 24 palabras de tu frase de contraseña, ni siquiera en Ledger Live, y Ledger nunca se va a poner en contacto contigo mediante mensajes de texto o llamadas telefónicas.
Si quieres mejorar la seguridad de tu frase de contraseña, te recomendamos que consultes nuestras recomendaciones en materia de seguridad avanzada y que tengas en cuenta que, en caso de emergencia, si tecleas 3 veces el código PIN erróneo, tu dispositivo se reseteará.
¿Qué medidas se están adoptando para evitar que vuelva a producirse una filtración de datos?
Estas filtraciones de datos han supuesto un gran reto para nosotros. La confianza de nuestros usuarios es mucho más importante que la posesión de sus datos. Es por eso que decidimos cambiar completamente la forma en que manejamos los datos en Ledger, estamos cambiando la forma en que gestionamos estos datos, para ir más allá de los principios del RGPD y adoptar el mejor enfoque posible:
- Nuestro objetivo es eliminar completamente tus datos personales, tales como tu nombre, dirección y número de teléfono, tan pronto como sea posible. Nos exigimos a nosotros mismos y a nuestros proveedores externos que conserven estos datos durante el periodo de tiempo necesario para cumplir con nuestras obligaciones para con nuestros clientes (como la ejecución de los pedidos) y con la ley (como las obligaciones contables y legales). Los datos que sea necesario conservar se pondrán en un entorno más segregado. Por ejemplo, nuestro objetivo es almacenar la información de tu pedido de comercio electrónico, tales como tu nombre, dirección y número de teléfono, en un entorno segregado tres meses después del envío de tu producto.
- Reduciremos al mínimo los lugares en los que se muestren tus datos personales. Por ejemplo, eliminaremos el nombre, la dirección y el número de teléfono de los correos electrónicos de confirmación de pedidos que te enviamos para que estos datos no pasen por nuestro proveedor de correo electrónico destinado al comercio electrónico.
- Implementaremos un modelo de mensajería en el que la información técnica y de seguridad proactiva importante se comunicará a través de Ledger Live. El correo electrónico y las redes sociales se utilizarán ÚNICAMENTE para difundir mensajes y anuncios relacionados con nuestros productos.
- Llevaremos a cabo una reevaluación detallada de todos nuestros proveedores y socios para asegurarnos de que siguen cumpliendo las normas más rigurosas.
Los robos y ataques de esta índole deben ser investigados y perseguidos. Para que las criptomonedas prosperen debe pagarse un precio por cometer un robo de las mismas. Seguimos trabajando con las autoridades policiales e investigadores privados en estos casos, y estamos incorporando más medios:
- Estamos ampliando los servicios de investigación privada, sumando experiencia y enfoques para encontrar a los responsables de estos robos de datos. Seguiremos colaborando con las autoridades policiales de todo el mundo para encontrar, detener y enjuiciar a los responsables en la medida de lo posible.
- Estamos creando una recompensa a cambio de recibir nueva información, que se haya obtenido de forma legal, que conduzca a la identificación, la detención y el enjuiciamiento satisfactorios de los responsables de los ataques contra Ledger y contra nuestros clientes. Ledger ha creado una cartera inicial con 10 BTC (dirección: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) como fondo de recompensa. Esta cantidad se otorgará a discreción de Ledger y se tendrán en cuenta factores como: ¿se ha obtenido la información de forma legal? ¿Es nueva? ¿En qué medida es la información sustancial y en qué medida ayudará a que la investigación avance y se pueda perseguir directamente al individuo o individuos? ¿Ha tenido éxito esa persecución? En términos más generales, estará sujeta a las condiciones de nuestro programa de recompensas que puedes consultar aquí.
- Anunciamos nuestra intención de colaborar con otros miembros del sector en esta iniciativa. Nos estamos poniendo en contacto con otras empresas y particulares de este ámbito para obtener financiación para el programa de recompensas por delitos cometidos contra la comunidad de criptomonedas. Alentamos a los CEO de otras empresas del sector de las criptomonedas a que se pongan en contacto con nosotros lo antes posible si quieren unirse a nuestro proyecto.
E-Commerce- und Marketing-Datenpanne – FAQ
Am 14. Juli kontaktierte uns ein Forscher über unser Belohnungsprogramm, um uns über eine Datenpanne in unserer E-Commerce- und Marketing-Datenbank zu informieren. Wir haben die Datenpanne sofort behoben und interne Untersuchungen eingeleitet. Wir haben festgestellt, dass die offengelegten Daten einem unbefugten Zugriff unterliegen. Ihr Geld ist sicher.
Am 20. Dezember wurden wir über den Speicherauszug des Inhalts einer Ledger-Kundendatenbank informiert. Die Untersuchungen dauern noch an, aber erste Anzeichen deuten darauf hin, dass es sich tatsächlich um den Inhalt unserer zuvor angegriffenen E-Commerce-Datenbank handeln könnte.
Am 23. Dezember wurden wir von Shopify, unserem E-Commerce-Dienstleister, über einen Vorfall mit Händlerdaten informiert, bei dem betrügerische Mitglieder ihres Supportteams Kundentransaktionsaufzeichnungen, einschließlich denen von Ledger, erhalten haben.
Antworten auf häufig gestellte Fragen finden Sie unten. Details zur Datenpanne finden Sie in unserem Blogpost. Informationen zum Shopify-Vorfall finden Sie in diesem Artikel.
Sind meine persönlichen Daten (Name, Adresse, Telefonnummer) kompromittiert?
Nachdem wir den Verstoß im Juli entdeckt haben, haben wir eine E-Mail an alle 9500 betroffenen Kunden gesendet, für die wir anhand der Protokolle feststellen konnten, dass persönliche Daten geleakt wurden. Wenn Sie diese E-Mail zu diesem Zeitpunkt nicht erhalten haben, hatten wir keine Beweise dafür, dass Ihre persönlichen Daten außer Ihrer E-Mail-Adresse geleakt wurden.
Nachdem wir auf den Speicherauszug vom 20. Dezember aufmerksam gemacht worden waren, wurde klar, dass die persönlichen Daten einer größeren Untergruppe als den ursprünglichen 9500 Kunden offengelegt wurden. Wir haben eine E-Mail an alle Kunden in dieser Untergruppe gesendet (etwa 272.000 Personen). Wenn Sie Teil dieser Untergruppe, deren persönliche Informationen geleakt wurden, waren, haben Sie am 21. Dezember 2020 eine spezielle E-Mail erhalten, in der Sie darüber benachrichtigt wurden.
Am 13. Januar haben wir die rund 292.000 Kunden, die von der Shopify-Verletzung betroffen waren, kontaktiert. Wenn Ihre Daten durch diese Shopify-Datenpanne kompromittiert wurden, wurden Sie per E-Mail benachrichtigt. Der Titel der E-Mail lautete „SICHERHEITSHINWEIS: Ledger von Shopify-Datenpanne betroffen“ und wurde am 13. Januar 2021 gegen 16:00 Uhr (MEZ) gesendet.
Was ist bei der im Juli 2020 gemeldeten Datenpanne passiert?
Ein Angreifer erhielt Zugriff auf einen Teil unserer E-Commerce- und Marketingdatenbank über den auf unserer Website falsch konfigurierten API-Schlüssel eines Drittanbieters, der den unbefugten Zugriff auf die Kontaktdaten und Bestelldaten unserer Kunden ermöglichte.
Wer ist die Drittanbieterlösung? Warum verarbeiteten sie Kundendaten?
Die E-Commerce- und Marketingteams von Ledger verwenden eine Drittanbieterlösung (Iterable), um Transaktions- und Marketing-E-Mails an Kunden, die Produkte auf ledger.com gekauft oder sich für den Empfang unserer Newsletter angemeldet haben, zu senden und zu analysieren.
Seit wann besteht dieses Problem?
Die fragliche Fehlkonfiguration des API-Schlüssels eines Drittanbieters wird seit dem 9. August 2018 ausgeführt. Basierend auf den uns vorliegenden Beweisen und Protokollen glauben wir, dass er vom April 2020 bis zum 28. Juni 2020 entdeckt und genutzt wurde.
Was ist mit Shopify passiert?
Am 23. Dezember 2020 erhielten wir von unserem E-Commerce-Dienstleister Shopify eine Benachrichtigung über einen Vorfall mit Händlerdaten, bei dem betrügerische Mitglieder ihres Support-Teams Kundentransaktionsdokumente erhalten haben, einschließlich denen von Ledger. Die Agenten haben im April und Juni 2020 illegal Kundentransaktionsaufzeichnungen exportiert. Laut Shopify hängt dies mit dem Vorfall zusammen, der im September 2020 gemeldet wurde und mehr als 200 Händler betraf. Bis zum 21. Dezember 2020 hatte Shopify jedoch nicht festgestellt, dass Ledger ebenfalls von diesem Angriff betroffen war. Shopify teilt uns mit, dass sie Experten und Anwälte für digitale Forensik beauftragt haben, ihre Ermittlungen in dieser Angelegenheit fortzusetzen, und die Angelegenheit den Strafverfolgungsbehörden in Kanada und den USA gemeldet haben.
Zusammen mit dem Forensikunternehmen Orange Cyberdefense konnten wir feststellen, dass es rund 292.000 Kunden betrifft. Bei der Datenbank handelt es sich zu 93 % um die gleiche Datenbank, die bei dem vorangegangenen Angriff offengelegt wurde. Es wurden jedoch ca. 20.000 neue Kundendatensätze einschließlich E-Mail-Adresse, Name, Postanschrift, bestellte(s) Produkt(e) und Telefonnummer bei diesem Angriff erfasst.
Wenn Sie ein Ledger-Produkt nach Ende Juni 2020 gekauft haben oder wenn Sie Ihr Produkt außerhalb von Ledger.com gekauft haben, wurden Ihre Daten bei diesen Vorfällen nicht offengelegt.
Welche Art von Daten aus der Kundendatenbank von Ledger wurde kompromittiert?
Bei beiden Verstößen beziehen sich die offengelegten Informationen auf E-Commerce- und Marketingdatenbanken. Sie enthalten E-Mail-Adressen, Vor- und Nachnamen, Telefonnummern und Postanschriften sowie die Art des gekauften Produkts.
Sie enthalten keine Kreditkarteninformationen.
Wir wissen jetzt, dass ungefähr 1 Million E-Mail-Adressen zusammen mit ungefähr 292.000 persönlichen Informationsdatensätzen wie Vor- und Nachnamen, Telefonnummern, Postanschriften und gekauften Produkten geleakt wurden.
Warum haben Sie 9.500 Personen bezüglich ihrer persönlichen Daten kontaktiert und nicht 272.000?
Die Ermittlung der Anzahl der persönlichen Daten (Namen, Anschriften, Telefonnummern), die im Juli 2020 vorgenommen wurde, basierte auf der forensischen Analyse unserer externen Sicherheitsberatung, die darauf hingewiesen hat, dass nur 9.500 betroffene Personen nachgewiesen wurden. Wir haben schnell und mit dem besten Wissen gehandelt, das uns damals zur Verfügung stand. Aus der veröffentlichten Datenbank können wir nun nachweisen, dass detaillierte Informationen (Namen, Postanschriften, Telefonnummern) von etwa 272.000 Benutzern erlangt wurden.
Wurde die Datenpanne behoben?
In Bezug auf die im Juli festgestellte Datenpanne: Sobald wir die Datenpanne im Juli entdeckten, wurde sie am selben Tag behoben und der API-Schlüssel deaktiviert.
In Bezug auf die Shopify-Datenpanne: Seit Shopify Kenntnis von dem Vorfall erlangt hat, hat es den Netzwerkzugriff der Person sofort gesperrt, den Laptop der Person beschlagnahmt und Experten und Berater für digitale Forensik beauftragt, ihre Ermittlungen fortzusetzen.
Wir tun alles, was uns möglich ist, um Ledger für die Zukunft zu stärken. Wir haben einen neuen Chief Information Security Officer (CISO) eingestellt. Wir verstärken unsere bereits starken Systeme weiter. Wir haben Pentesting und forensische Analysen mit externen Sicherheitsfirmen durchgeführt, um sie zu testen und zusätzliche Schwachstellen in unseren E-Commerce-Systemen zu finden.
Wir arbeiten kontinuierlich mit den Strafverfolgungsbehörden zusammen, um Kriminelle strafrechtlich zu verfolgen. Wir haben die französische Datenschutzbehörde über die Datenpannen informiert und arbeiten mit anderen Datenschutzbehörden auf der ganzen Welt zusammen.
Sind Kundengelder betroffen?
Nein. Zahlungsinformationen, Anmeldeinformationen (Passwörter) oder Kryptoguthaben waren nicht betroffen. Diese Datenpanne hat keine Auswirkungen auf unsere Hardware-Wallet und die Ledger-Live-Anwendung. Ihre Krypto-Assets sind sicher und nicht in Gefahr.
Unser Sicherheitsmodell verhindert, dass Angreifer auf vertrauliche Informationen zu unseren Hardwaregeräten wie Wiederherstellungsphrasen und private Schlüssel zugreifen können. Benutzer haben die vollständige Kontrolle und sind die einzigen, die auf diese Informationen zugreifen können.
Was ist mit „nicht öffentlichen Identifikationsinformationen“ wie Bankkontonummern und Sozialversicherungsdaten?
Wie in unserer Datenschutzrichtlinie angegeben, fordern wir diese Informationen niemals an und speichern sie nicht.
Werden Kundendaten intern oder von einem Drittanbieter verarbeitet?
In Übereinstimmung mit unserer Datenschutzrichtlinie können wir als Datenverantwortlicher einige Ihrer Daten innerhalb der geltenden vertraglichen und rechtlichen Rahmenbedingungen an Dritte wie die Infrastruktur von Payment-Service-Providern (PSPs), die Logistik und andere Dienstleister im Rahmen der geltenden vertraglichen und rechtlichen Rahmenbedingungen übertragen.
Gab es Lösegeldforderungen?
Wir wurden auf einige Lösegeldforderungen aufmerksam gemacht. Wir glauben, dass dies ein weiterer globaler Betrugsversuch ist, da dieselbe Nachricht per E-Mail und SMS in verschiedenen Sprachen gesendet wurde. Wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite.
Welche Abhilfemaßnahmen ergreift Ledger, um dieses Problem zu beheben?
- Wir haben die Datenpanne sofort behoben.
- Wir haben die Datenpanne sowohl intern als auch mit externen forensischen Experten (Orange Cyberdefense) sofort untersucht, um festzustellen, ob Dritte nicht autorisierten Zugriff auf unsere Kundendaten haben.
- Wir haben die französische Datenschutzbehörde über die Datenpanne in Kenntnis gesetzt und sie über die Situation informiert.
- Wir haben unsere Kunden informiert.
- Wir haben eine formelle Strafanzeige beim französischen Staatsanwalt eingereicht und aktualisieren diese mit neuen Informationen.
- Wir haben intern Pentesting durchgeführt und treiben das ursprünglich für September 2020 geplante externen Pentesting voran.
- Wir haben regelmäßige interne Audits für unsere Richtlinien zur Vorratsdatenspeicherung geplant, um sicherzustellen, dass die geltenden Gesetze weiterhin eingehalten werden.
- Wir erweitern den Umfang unseres Sicherheits- und Organisationsprogramms auf den E-Commerce und konzentrieren uns ursprünglich auf unsere Produkte (HW & Vault). Wir unternehmen Schritte, um die in ISO 27001 aufgeführten Anforderungen zu erfüllen.
Können die von den Hackern erhaltenen Informationen die 2FA-Maßnahmen (Zwei-Faktor-Authentisierung) umgehen?
Nein. Auf unserer E-Commerce-Website werden keine Anmelde-/Kennwortinformationen gespeichert, da 2FA für unser Sicherheitsschema nicht relevant ist.
Melden Kunden physische Erpressung?
Nach unserem Wissen nicht. Weder in jüngster Zeit noch in der Vergangenheit haben wir von solchen Fällen erfahren, aber einige der Betrugsmaschen beinhalten die Androhung von körperlicher Gewalt. Wenn Sie eine solche Bedrohung erhalten, wenden Sie sich bitte umgehend an die örtlichen Strafverfolgungsbehörden. Sie können uns die Bedrohung auch auf dieser Seite melden, damit wir sie in unsere Untersuchung einbeziehen. Bitte beachten Sie, dass Ledger unter Berücksichtigung der möglichen Gefahr durch physische Angriffe entwickelt wurde. Anweisungen zum Schutz Ihrer Person und zur Wachsamkeit finden Sie in den Best Practices für erweiterte Sicherheitsmaßnahmen. Wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite.
Wir empfehlen unseren Kunden, die sich über diese Möglichkeit Sorgen machen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.
Warum hat Ledger mehr als eine Woche gewartet, um öffentlich über diese Marketing- und E-Commerce-Datenpanne zu kommunizieren?
Wir wollten alle notwendigen Daten haben und mussten zuerst die gesetzlichen Bestimmungen einhalten.
Wir haben das Problem sofort behoben und eine interne Untersuchung eingeleitet, um den Umfang des Verstoßes zu bewerten. Wir haben auch mit Orange Cyberdefense nachgeforscht, um das Ausmaß des Verstoßes zu beurteilen. Am 24. Juli haben wir den OCD-Erstbericht erhalten.
Wir haben diesen Verstoß gegen die Datenschutzbestimmungen der französischen Datenschutzbehörde (CNIL) gemäß den geltenden Gesetzen gemeldet.
Befolgt Ledger die DSGVO?
Das Ziel von Ledger geht sogar über die einfache Einhaltung der DSGVO und anderer Datenschutzbestimmungen hinaus. Innerhalb von drei Tagen nach Feststellung der Datenpanne meldete Ledger die Informationen der französischen Datenschutzbehörde und erhielt Aktualisierungen, sobald diese verfügbar waren. Ledger arbeitet auch und kommuniziert offen mit anderen Datenschutzbehörden.
Das Datenschutzteam von Ledger wurde auch mobilisiert, um alle datenschutzbezogenen Fragen, die Kunden uns möglicherweise senden, zu beantworten und zu verwalten. Wenn Sie eine spezielle Anfrage zu Ihren Daten haben (Zugriff, Löschung …), senden Sie uns bitte eine E-Mail an privacy@ledger.fr.
Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Um mehr zu tun als gemäß der DSGVO nötig ist, fordern wir uns und Drittanbieter auf, diese Daten so kurz wie möglich aufzubewahren, um unseren Verpflichtungen gegenüber unseren Kunden (z. B. der Ausführung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
Was kann ich tun, um meine Daten in Zukunft zu schützen?
Hüten Sie sich vor Phishing-Versuchen, die sich als Ledger ausgeben, um Ihre Wiederherstellungsphrase anzufordern. Ledger wird Sie niemals nach den 24 Wörtern Ihrer Wiederherstellungsphrase fragen, auch nicht in Ledger Live, und Ledger wird Sie niemals per SMS oder Telefonanruf kontaktieren.
Wenn Sie die Sicherheit Ihrer Wiederherstellungsphrase verbessern möchten, empfehlen wir Ihnen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.
Welche Sicherheitsmaßnahmen wurden getroffen, um unsere persönlichen Daten zu schützen?
Um die Integrität und Vertraulichkeit Ihrer persönlichen Daten zu gewährleisten, implementieren wir geeignete physische, elektronische und organisatorische Verfahren, um personenbezogene Daten innerhalb unserer gesamten Services zu schützen und zu sichern.
Weitere Einzelheiten zu den implementierten Sicherheitsmaßnahmen finden Sie in unserer Datenschutzrichtlinie.
Wir setzen unter anderem folgende Sicherheitsmaßnahmen um:
- Zahlungsdatensicherheit: Wenn Sie uns Kreditkarteninformationen zur Verfügung stellen, werden diese Informationen mit einem sicheren Transport-Layer-Security-Protokoll (TLS) verschlüsselt und direkt an unseren Payment-Service-Provider (PSP) gesendet. Diese Informationen werden niemals auf unserem Server gespeichert.
- Sensibilisierungsprogramm und Mitarbeiterschulungen
- Datenverschlüsselung während des Transports und im Ruhezustand
- Rechenzentren werden regelmäßig geprüft
- Datenredundanz für Ausfallsicherheit bei Katastrophen
- Rollenbasierte Authentifizierung
- Zwei-Faktor-Authentifizierung unserer autorisierten Mitarbeiter
- Kontinuierliche Systemüberwachung
- Sicherheitsbewertungen nach Branchenstandard
- Unabhängige Sicherheitsüberprüfungen und Pentesting von Drittanbietern
- Einstellung eines neuen Chief Information Security Officers (CISO)
- Mehr als 200 Phishing-Websites seit dem ursprünglichen Verstoß entfernt
Sind Sie sicher, dass es auf Ihrer E-Commerce-Website kein ähnliches Problem gibt? Verwenden Sie andere APIs?
Wir haben eine interne Revision durchgeführt und keine weiteren Probleme festgestellt. Wir überprüfen das jedoch weiterhin regelmäßig, um dies weiter sicherzustellen. Wir führen regelmäßig externes Pentesting durch und ermutigen andere IT-Sicherheitsforscher, sich über unser Bug-Bounty-Programm an uns zu wenden.
Wie können Sie sicher sein, dass der im Mai bekannt gegebene mutmaßliche Verstoß gegen Shopify-Daten ein falscher Alarm war?
Wir hatten Zugriff auf eine Stichprobe der angeblich geleakten Datenbank und stellten fest, dass diese nicht mit unserer Datenbank übereinstimmte.
Wie hat sich die Datenpanne auf Amazon-Bestellungen ausgewirkt, insbesondere auf Rechnungs-/Versandadressen?
Informationen aus Amazon-Bestellungen (einschließlich E-Mail-, Rechnungs- und Versandadressen aus Bestellungen) waren von der Datenpanne nicht betroffen.
Haben Sie Kenntnis von derzeit laufenden Phishing-Angriffe auf Ihre Kunden?
Ja, wir überwachen die Kampagne kontinuierlich auf einer speziellen Seite. Phishing-Kampagnen gehören in dieser Branche zum Alltag. Deshalb haben wir die Ledger Academy gegründet, um unsere Benutzer zu schulen. Wir führen regelmäßig Kampagnen durch, um unsere Benutzer an die Gefahren von Phishing-Angriffen zu erinnern und Ihnen beizubringen stets Vorsicht walten zu lassen. Wir haben seit 2 Jahren ein Markenschutzteam, um solche missbräuchlichen Inhalte zu überwachen und durchzusetzen.
Haben Sie identifiziert, wer Ihre Datenbank kompromittiert hat? Haben Sie eine Ahnung?
Nein. Wir haben beim französischen Staatsanwalt eine Strafanzeige eingereicht, die auf vorläufigen Beweisen basiert, die dank des unabhängigen forensischen Untersuchungsberichts von Orange Cyberdefense, den wir ständig aktualisieren, dargelegt wurden. Die Untersuchungen dauern an.
Kreuzen Sie meine Ledger Live-Daten mit anderen Daten? (E-Com, HW)
Nein, wir kreuzen sie nicht mit anderen Daten.
Geben Sie Daten an Behörden weiter?
Ledger gibt keine Kundendaten weiter, es sei denn, dies ist nach geltendem Recht, wie in unserer Datenschutzrichtlinie beschrieben, erforderlich.
Warum löschen Sie Ihre Datenbank nicht?
Aus rechtlichen Gründen sind wir verpflichtet, einige Transaktionsinformationen zu den Kontaktdaten unserer Kunden und deren Bestelldaten zu speichern.
In Übereinstimmung mit dem Grundsatz der Begrenzung der Aufbewahrung von Daten im Rahmen der geltenden Gesetze sind wir bestrebt, Daten nur so lange aufzubewahren, wie es zur Erfüllung solcher legitimer und rechtmäßiger Zwecke erforderlich ist, einschließlich der Erfüllung rechtlicher, buchhalterischer, steuerlicher oder sonstiger Berichtspflichten.
Wir können einige Ihrer personenbezogenen Daten mit eingeschränktem Zugriff für einen zusätzlichen Zeitraum archivieren, wenn es unbedingt erforderlich ist, dass wir unseren gesetzlichen und/oder behördlichen Archivierungspflichten und den geltenden Verjährungsfristen nachkommen. Am Ende dieses zusätzlichen Zeitraums werden Ihre verbleibenden personenbezogenen Daten dauerhaft aus unseren Systemen gelöscht oder anonymisiert.
Wenn Sie ein Produkt oder einen Service bei uns gekauft haben, können wir einige Transaktionsdaten, die Ihren Kontaktdaten beigefügt sind, aufbewahren, um unseren gesetzlichen, steuerlichen oder buchhalterischen Verpflichtungen für einen Zeitraum von maximal 10 Jahren gemäß den geltenden französischen Gesetzen nachzukommen. Dies lässt uns außerdem unsere Rechte verwalten (zum Beispiel unsere Ansprüche vor Gerichten geltend zu machen), während der geltenden französischen Verjährungsfristen.
Wir müssen auch einige Ihrer in dieser Datenbank enthaltenen personenbezogenen Daten aufbewahren, damit wir Ihre Fragen beantworten, potenzielle Ansprüche bearbeiten und Beweise für strafrechtliche Ermittlungen aufbewahren können.
Nach der Shopify-Datenpanne ändern wir die Art und Weise, wie wir mit diesen Daten umgehen und gehen damit über die Anforderungen der DSGVO hinaus und verfolgen einen Best-in-Class-Ansatz:
- Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Wir streben an, diese Daten so kurz wie möglich zu halten, um unseren Verpflichtungen gegenüber unseren Kunden (z. B. Abwicklung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Dies gilt auch für Drittanbieter. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
- Wir wollen die Anzahl der Stellen reduzieren, an denen Ihre personenbezogenen Daten angezeigt werden. Beispielsweise löschen wir die Namen, Adressen und Telefonnummern aus den Bestellbestätigungs-E-Mails, die wir an Sie senden, damit diese Daten nicht über unseren E-Commerce-E-Mail-Anbieter übertragen werden.
- Wir werden ein Messaging-Modell implementieren, über das proaktiv wichtige Sicherheits- und technische Informationen über Ledger Live übertragen werden. E-Mails und soziale Medien werden NUR für die Übertragung von Produktnachrichten und Ankündigungen verwendet.
- Wir werden eine detaillierte Neubewertung aller unserer Lieferanten und Partner durchführen, um sicherzustellen, dass sie weiterhin den höchsten Standards entsprechen.
Sind die 24 Wörter in der Datenbank gespeichert?
Nein, unsere Kunden haben die vollständige und alleinige Kontrolle über ihre Wiederherstellungsphrase. Ledger wird niemals Ihre Wiederherstellungsphrase anfordern.
Wenn Sie unsere E-Commerce-Daten nicht schützen können, wie können Sie unsere Gelder schützen und sichern?
Dies ist die genaueste und legitimste Frage, die wir von unseren Kunden beantworten können. In der Tat haben wir uns seit der Gründung von Ledger auf die Sicherheit unserer Produkte konzentriert, da wir wussten, dass diese Branche starke, vollständig überwachte und überprüfbare Sicherheitslösungen benötigt. Wir sind entschlossen, unseren Kunden Sicherheitsprodukte anzubieten, die wir mit bestem Wissen überwachen.
Diese Datenpanne ist auf einen falsch konfigurierten API-Schlüssel eines Drittanbieters zurückzuführen, der auf unserer E-Commerce-Webseite gehostet wurde. Es hat nichts mit unseren Sicherheitsprodukten und ihren eigenen Infrastrukturen zu tun. Dies bedeutet nicht, dass diese Situation nicht ernst ist. Dies bedeutet, dass es sich nichts mit dem Sicherheitsniveau unserer Produkte zu tun hat.
Wir bedauern diesen Vorfall sehr. Wir nehmen Datenschutz sehr ernst. Wir haben dieses Problem dank unseres eigenen Bug-Bounty-Programms entdeckt und es sofort behoben. Unabhängig von allem, was wir getan haben, um diese Situation zu vermeiden und zu beheben, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten, die diese Angelegenheit bei unseren Kunden verursacht hat.
Diese Situation ist sehr stressig. Was soll mich beruhigen?
Wir verstehen Ihre Bedenken und bedauern diesen Vorfall zutiefst. Datenpannen und Phishing-Angriffe sind ein branchenweites Problem. Wir arbeiten jeden Tag weiter an diesem Problem und nehmen Datenschutz und Datensicherheit sehr ernst. Sobald wir dieses Problem dank unseres eigenen Bug-Bounty-Programms entdeckt haben, haben wir es sofort behoben und uns bemüht, Sie zu informieren. Unabhängig von allem, was wir getan haben, um diese Situation zu vermeiden und zu beheben, entschuldigen wir uns aufrichtig für die Unannehmlichkeiten, die diese Angelegenheit bei unseren Kunden verursacht hat. Diese Datenpanne steht jedoch nicht im Zusammenhang mit unseren Hardware-Wallets und der Sicherheit von Ledger Live und hat keine Auswirkungen darauf.
Crypto Casey fasst die Situation hervorragend in diesem Video und diesem Podcast zusammen und zeigt, wie Sie sich schützen können. Bitte unternehmen Sie alle Schritte, um sich und Ihre Krypto zu schützen.
Ihre Krypto-Assets sind sicher und waren nie in Gefahr. Wir sind dankbar für das Vertrauen, das Sie in unsere Produkte gesetzt haben. In Zukunft können Sie von unseren Services ein Höchstmaß an Professionalität, Transparenz und Reaktionsfähigkeit erwarten.
Kennen, bieten oder empfehlen Sie es, einen Überwachungsservice für „ID-Diebstahl“?
Nein, wir empfehlen es nicht, einen solchen Service zu nutzen. Stattdessen empfehlen wir unseren Kunden, Vorsichtsmaßnahmen zu treffen und sich vor Phishing-Versuchen zu hüten, die sich als Ledger ausgeben, um Ihre Wiederherstellungsphrase anzufordern. Ledger wird Sie niemals nach den 24 Wörtern Ihrer Wiederherstellungsphrase fragen, auch nicht in Ledger Live, und Ledger wird Sie niemals per SMS oder Telefonanruf kontaktieren.
Wenn Sie die Sicherheit Ihrer Wiederherstellungsphrase verbessern möchten, empfehlen wir Ihnen, unsere Best Practices für erweiterte Sicherheitsmaßnahmen zu konsultieren und zu berücksichtigen, dass im Notfall durch dreimaliges Eingeben des falschen PIN-Codes Ihr Gerät zurückgesetzt wird.
Was tun Sie, um zu verhindern, dass erneut eine Datenpanne auftritt?
Diese Datenpannen stellen uns vor eine große Herausforderung. Ihr Vertrauen ist uns sehr viel mehr wert als Ihre Daten. Aus diesem Grund haben wir uns entschlossen, den Umgang mit Daten bei Ledger vollständig zu ändern. Wir gehen damit über die Anforderungen der DSGVO hinaus und verfolgen einen Best-in-Class-Ansatz:
- Unser Ziel ist es, Ihre personenbezogenen Daten wie Namen, Adressen und Telefonnummern so schnell wie möglich vollständig zu löschen. Wir streben an, diese Daten so kurz wie möglich zu halten, um unseren Verpflichtungen gegenüber unseren Kunden (z. B. Abwicklung Ihrer Bestellung) und den Gesetzen (z. B. Buchhaltung und gesetzlichen Verpflichtungen) nachzukommen. Dies gilt auch für Drittanbieter. Daten, die aufbewahrt werden müssen, werden in eine zusätzlich segregierte Umgebung verschoben. Beispielsweise möchten wir Ihre E-Commerce-Bestellinformationen wie Namen, Adressen und Telefonnummern drei Monate nach dem Versand Ihrer Produkte in eine segregierte Umgebung verschieben.
- Wir wollen die Anzahl der Stellen reduzieren, an denen Ihre personenbezogenen Daten angezeigt werden. Beispielsweise löschen wir die Namen, Adressen und Telefonnummern aus den Bestellbestätigungs-E-Mails, die wir an Sie senden, damit diese Daten nicht über unseren E-Commerce-E-Mail-Anbieter übertragen werden.
- Wir werden ein Messaging-Modell implementieren, über das proaktiv wichtige Sicherheits- und technische Informationen über Ledger Live übertragen werden. E-Mails und soziale Medien werden NUR für die Übertragung von Produktnachrichten und Ankündigungen verwendet.
- Wir werden eine detaillierte Neubewertung aller unserer Lieferanten und Partner durchführen, um sicherzustellen, dass sie weiterhin den höchsten Standards entsprechen.
Diebstähle und Angriffe wie diese müssen untersucht oder strafrechtlich verfolgt werden. Damit Kryptowährungen sich entwickeln können, muss der Diebstahl von Kryptowährungen mit einer Strafe geahndet werden. Wir arbeiten weiterhin mit Strafverfolgungsbehörden sowie privaten Ermittlern in diesen Fällen zusammen und fügen mehr Schlagkraft hinzu:
- Wir stellen zusätzliche private Ermittler ein und gewinnen somit Erfahrung und Ansätze, um die Verantwortlichen für diese Datendiebstähle zu finden. Wir werden weiterhin mit den globalen Strafverfolgungsbehörden zusammenarbeiten, um die Verantwortlichen zu finden, zu verhaften und strafrechtlich zu verfolgen, wo immer dies möglich ist.
- Wir setzen eine Belohnung für neue Informationen, die legal erhalten werden und zur Identifizierung, Verhaftung und erfolgreichen strafrechtlichen Verfolgung der Verantwortlichen für die Angriffe gegen Ledger und unsere Kunden führen. Ledger hat ein Wallet mit 10 BTC (Adresse: bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd) als anfängliche Belohnung gesetzt. Dies wird nach Ermessen von Ledger ausgezahlt und berücksichtigt Faktoren wie, ob die Informationen legal eingeholt wurden. Sind sie neu? Wie umfangreich sind die Informationen und inwieweit werden sie dazu beitragen, die Ermittlungen voranzutreiben und eine direkte Möglichkeit zur strafrechtlichen Verfolgung der schuldigen Personen zu schaffen? War diese Verfolgung erfolgreich? Im Allgemeinen unterliegt es den hier verfügbaren Bestimmungen unseres Belohnungsprogramms.
- Wir geben unsere Absicht bekannt, bei dieser Initiative mit anderen in der Branche zusammenzuarbeiten. Wir haben uns auch an andere Unternehmen und Einzelpersonen in der Branche gewandt, um das Belohnungsprogramm für Straftaten gegen die Krypto-Community finanziell zu unterstützen. CEOs anderer Unternehmen im Kryptobereich, wenn Sie sich uns bei diesem Projekt anschließen möchten, setzen Sie sich bitte umgehend mit uns in Verbindung