谨防钓鱼式攻击,Ledger 决不会要求您提供 24 词恢复短语。切勿告诉他人。 了解更多

(ENG/FR/SPA/GER) 电子商务和营销数据泄露 - 常见问题解答

English Français Español Deutsch

电子商务和营销数据泄露 - 常见问题解答

2020 年 7 月 14 日,一位研究人员通过赏金计划联系并告知我们,电子商务和营销数据库的数据发生泄露。我们立即修复了数据泄露并启动内部调查,我们发现暴露的数据遭到未经授权的访问。您的资金是安全的。

2020 年 12 月 20 日,我们得知 Ledger 客户数据库的内容被转储。虽然我们仍在调查中,但此前的迹象告诉我们,这些确实可能是我们之前泄露的电子商务数据库的内容。

2020 年 12 月 23 日,我们的电子商务服务提供商 Shopify 向我们通知了一起商家数据事件,称其支持团队中有行为不轨的成员取得了包括 Ledger 在内的客户交易记录。

请查看以下常见问题的答案。如需了解关于数据泄露的详情,请查看我们的博客文章;如需了解 Shopify 事件,请查看这篇文章

我的个人详细信息(姓名、地址、电话号码)是否被泄露?

在 2020 年 7 月发现数据泄露后,我们已经通过客户日志确定了个人详细信息被泄露的 9500 名客户,并向所有受影响的客户发送了电子邮件。如果您目前仍未收到此电子邮件,我们没有证据表明您的个人数据(除电子邮件地址以外)被泄露。

我们在得知 2020 年 12 月 20 日数据被转储后发现,除了最初 9500 名客户外,还有更大一部分个人数据暴露。我们已经向该部分的所有客户(约 272,000 人)发送了电子邮件。如果您是该详细个人信息部分中的一员,您应该在 2020 年 12 月 21 日收到了专门的电子邮件通知

2021 年 1 月 13 日,我们通知了约 292,000 名受 Shopify 泄露影响的客户。如果您的数据在此次 Shopify 数据泄露事件中遭到泄露,您应该已收到了电子邮件通知,电子邮件标题为“安全通知:Ledger 受到 Shopify 数据库泄露事件的影响”,发送时间为中欧标准时间 (CET) 2021 年 1 月 13 日下午 4 点左右

2020 年 7 月报告的数据泄露是怎么回事?

攻击者通过在我们网站上错误配置的第三方 API 密钥访问了电子商务和营销数据库的一部分,未经授权访问了我们客户的联系方式和订单数据。

第三方解决方案提供商是谁?他们为什么要处理客户的数据?

Ledger 电子商务和营销团队使用第三方解决方案 (Iterable) 向通过 ledger.com 购买过产品或已同意接收我们简报的客户发送交易和营销电子邮件并进行分析。

这个问题从何时开始出现?

有问题的第三方 API 密钥错误配置从 2018 年 8 月 9 日起一直在运行。根据我们掌握的证据和日志,我们认为该配置是在 2020 年 4 月至 2020 年 6 月 28 日期间被发现和利用的。 

Shopify 发生了什么?

2020 年 12 月 23 日,我们收到电子商务服务提供商 Shopify 关于商家数据事件的通知,称其支持团队中有行为不轨的成员取得了包括 Ledger 在内的客户交易记录。一名或多名支持人员于 2020 年 4 月和 6 月非法导出客户交易记录。据 Shopify 称,此事与 2020 年 9 月 报告的事件有关,涉及 200 多家商家,但直到 2020 年 12 月 21 日,Shopify 才发现 Ledger 也是此次攻击的目标。Shopify 告诉我们,他们聘请了数字取证专家和法律顾问继续调查此事,并已将此事报告给加拿大和美国的执法部门。

我们与取证公司 Orange Cyberdefense 合作,确认此次攻击大约影响了 292,000 名客户。虽然该数据库与上次攻击中暴露的数据库相似度为 93%,但此次侵入涉及大约 20,000 条新的客户记录,其中包括电子邮件、姓名、邮政地址、订购的产品和电话号码。

如果您在 2020 年 6 月之后购买了 Ledger 产品,或者您是在 Ledger.com 之外购买的产品, 则您的数据并未在这些事件中暴露。

Ledger 的客户数据库中有哪些类型的数据被泄露?

在两起泄露事件中,暴露的信息均与电子商务和营销数据库有关,其中包含电子邮件、姓名、电话号码和邮政地址,以及购买的产品类型

泄露的信息不包括信用卡信息。

我们现在已知,约 100 万个电子邮件地址以及约 292,000 条个人信息记录(如姓名、电话号码、邮政地址和购买的产品)被泄露。

为什么你们只通报了 9,500 名客户的个人详细信息,而非 272,000 名客户?

2020 年 7 月确定的个人详细信息(姓名、实际地址、电话号码)数量是基于第三方安全咨询公司的取证分析结果,该公司表示,当时只有 9,500 名受影响客户的证据。我们迅速采取行动,并充分利用了当时我们所掌握的所有信息。现在我们可以通过已公布的数据库核实,大约 272000 名用户的详细信息(姓名、邮政地址、电话号码)遭到泄露。

数据泄露问题得到修复了吗?

关于 7 月发现的数据泄露:我们在 7 月发现数据泄露后,当天就修复了数据泄露,也停用了 API 密钥。

关于 Shopify 数据泄露:Shopify 得知该事件后立即暂停了涉事人员的网络访问权限,没收了此人的笔记本电脑,并聘请了数字取证专家和法律顾问展开进一步调查。

我们正在尽一切可能让 Ledger 未来更加强大。我们聘请了新的首席信息安全官 (CISO),也在进一步强化我们已经很强有力的系统。我们与外部安全公司进行了渗透测试和取证分析,检测并发现我们电子商务系统中的任何其他漏洞。

我们一直在与执法部门合作起诉犯罪分子。我们已经向法国数据保护局通报了数据泄露事件,同时也在与世界各地的其他数据保护机构积极合作。

客户资金会受到影响吗?

不会。付款信息、凭据(密码)或加密货币资金没有受到影响。我们的硬件钱包和 Ledger Live 应用程序与此次数据泄露没有任何关系,也不会因此受到影响。您的加密货币资产是安全的,没有风险。

我们的安全性模型可防止攻击者访问与我们的硬件设备相关的任何敏感信息,如恢复短语和私钥。用户拥有完全控制权,也是是唯一能够访问此类信息的人。

银行账号、社会保障详细信息等“非公开身份信息”呢?

根据我们的隐私政策,我们从未请求获得或持有此类信息。

客户数据是内部处理还是由第三方供应商处理?

根据我们的隐私政策,作为数据控制方,我们可能在适用的合约及法律框架内将您的部分数据传输给第三方,如支付服务提供商 (PSP) 基础设施、物流和其他服务提供商。 

是否有人要求提供赎金?

我们收到了一些赎金要求。我们认为这是又一起全球性欺诈事件,因为不同语言的相同消息正在通过电子邮件和短信发送给用户。我们也在专门页面上持续监控活动。

Ledger 在采取哪些补救措施解决这个问题?

  • 我们立即修复了数据泄露。
  • 我们立即调查了数据泄露事件,包括内部调查和外部取证专家 (Orange Cyber Defense) 合作调查,以发现是否有第三方未经授权访问了我们的客户数据
  • 我们已经向法国数据保护局通报了数据泄露事件和最新情况。
  • 我们已经通知了客户。
  • 我们已经向法国检察机关正式提起刑事诉讼,目前正在提供最新信息。
  • 我们已经完成了内部渗透测试,也正在准备原定于 2020 年 9 月的外部渗透测试。
  • 我们计划定期对我们的数据保留政策进行内部审查,确保我们始终遵守适用法律。
  • 我们正在将电子商务纳入我们最初适用产品(硬件和保险柜)的安全和组织计划范围。我们正在采取行动达到 ISO 27001 所列的要求。

黑客获得的信息能否绕过双重身份验证 (2FA) 手段?

否。我们的电子商务网站不保留任何登录名/密码信息,因为我们的安全方案不采用双重身份验证。 

有客户举报人身勒索吗?

据我们所知没有。无论是最近还是过去都没有人身勒索,但一些欺诈涉及人身暴力威胁。如果您受到此类威胁,请立即联系当地执法部门。您也可以在本页面上向我们报告威胁事件,以便我们展开调查。请知晓,Ledger 的设计考虑到了人身攻击的威胁,参见高级安全措施的最佳实践,了解如何保护自己并保持警惕。我们也在专门页面上持续监控活动。

如果对此有所担忧,我们建议客户参见我们的高级安全措施最佳实践并谨记,在紧急情况下输入 3 次错误识别码可重置您的设备。

为什么 Ledger 在一个多星期后才通告这次营销和电子商务数据泄露事件?

我们首先需要获得所有必要的数据并符合法律规定。

我们立即修复了问题并展开内部调查,以评估违规泄露的范围。我们还与 Orange Cyberdefense 合作调查并评估数据泄露的程度,我们在 7 月 24 日收到了 OCD 的初步报告。

我们根据适用法律向法国数据保护局 (CNIL) 通报了此次数据泄露事件。

Ledger 是否符合《一般数据保护条例》(GDPR) 的规定?

Ledger 的目标不仅是遵守 GDPR 和其他数据保护法规。 在发现数据泄露后的 3 天内,Ledger 向法国数据保护局报告了相关信息,并在掌握更多信息后汇报了最新情况。Ledger 也在与其他数据保护机构积极合作并敞开沟通。 

Ledger 还组织隐私团队回应和管理客户可能提出的任何关于隐私的咨询。如果您对您的数据有具体要求(访问、删除等)请点此填写表格。

我们的目标是尽快将您的姓名、地址和电话号码等个人数据彻底删除。除了 GDPR 的规定以外,我们要求自己和第三方提供商仅在尽可能短的必要时间内保存此类数据,用于履行我们对客户的义务(例如完成您的订单)和法律事务(例如会计和法律义务)。需要保留的数据将存储在进一步隔离的环境中。例如,我们的目标是在产品发货后将您的电子商务订单信息(如姓名、地址、电话号码)置于隔离环境中三个月。

我该如何防止我的数据被泄露?

谨防冒充 Ledger 要求您提供恢复短语的网络钓鱼式攻击。Ledger 决不会要求您提供恢复短语的 24 个助记词(即使在 Ledger Live 中也不会),Ledger 也决不会通过短信或电话联系您。

如果您想提高恢复短语的安全性,我们建议您参见我们的高级安全措施最佳实践并谨记,在紧急情况下输入 3 次错误识别码可重置您的设备。

你们采取了哪些安全措施来保护我们的个人信息?

为了确保您的个人数据的完整性和机密性,我们实施了适当的物理、电子和组织程序,在我们服务期间全程保护个人数据。
如需详细了解我们实施的安全措施,请参见我们的《隐私政策》。
除此之外,我们专门实施了以下安全措施:

  • 支付数据安全:如果您向我们提供信用卡信息,我们将使用安全的互联网交易协议 (TLS) 对此类信息进行加密,并直接发送给我们的支付服务提供商 (PSP)。此类信息不会存储在我们的服务器上。
  • 意识强化计划和员工培训
  • 传输和静态数据加密
  • 数据中心定期审查
  • 数据冗余可帮助灾难恢复
  • 基于角色的身份验证
  • 授权员工的双重身份验证
  • 持续监控系统
  • 符合行业标准的安全性评估
  • 第三方独立安全审查和渗透测试
  • 聘请新的首席信息安全官 (CISO)
  • 自最初泄露事件发生后已关闭 200 多个网络钓鱼网站

你们确定你们的电子商务网站没有其他类似问题吗?你们是否还使用其他 API?

我们进行了内部审查,没有发现任何其他问题。不过,我们会继续定期评估,进一步确保安全性。我们定期进行外部渗透测试,同时通过漏洞赏金计划鼓励其他 IT 安全研究人员与我们联系。

你们如何认定 5 月份公开的 Shopify 数据泄露是一场骗局?

我们获得了据称泄露的数据库样本,发现该样本与我们的数据库不匹配。 

数据泄露对亚马逊订单有何影响,具体来说,对账单/送货地址有何影响?

亚马逊订单中的所有信息(包括电子邮件、账单和订单送货地址)均未受到数据泄露的影响。

你们可否发现针对你们客户的网络钓鱼式攻击?

可以,我们在专门页面上持续监控活动。网络钓鱼式攻击在我们行业中十分普遍,因此我们创建了 Ledger 学院,帮助用户了解如何应对。我们定期开展活动,提醒用户注意网络钓鱼式攻击的危险,并始终保持警惕。我们成立了一个品牌保护团队,过去 2 年来该团队一直负责监控和处置此类滥用内容。 

你们确定了破坏数据库的人吗?你们有什么线索吗?

没有。在获得 Orange Cyberdéfense 的独立调查取证报告后,我们根据初步证据向法国检察机关提起刑事诉讼,同时也在不断更新相关消息。调查仍在进行中。

你们是否将我的 Ledger Live 数据与其他数据(电子商务、硬件)交叉?

否,我们没有这么做。 

你们是否与政府部门共享数据?

根据我们的隐私政策,除非适用法律要求,否则 Ledger 不会共享客户信息。

你们为什么不清除数据库?

出于法律原因,我们有义务存储一些与客户联系方式及其订单数据相关的交易信息。

根据适用法律规定的存储时效原则,我们尽可能只在适用法律规定的时间范围内保留数据,包括符合任何法律、会计、税务或其他合规报告要求。

如果我们有绝对必要遵守我们的法律和/或监管存档义务以及适用的时效期限规定,我们可能将您的部分个人数据额外存档一段时间,同时限制访问。在额外存档时间结束后,剩余的个人数据将从我们的系统中永久擦除或匿名化。

为了履行法国适用法律规定的最高 10 年的法律、税务或会计义务,以及便于我们在适用的法国时效规定期间管理我们的权利(例如在法庭上主张我们的合法要求),如果您购买了我们的产品或服务,我们可能保留一些与您的联系方式关联的交易数据。

我们还需要保留此数据库中的一些您的个人数据,以便我们为您解答问题、处理可能的要求并为刑事调查保留证据。

Shopify 泄漏事件发生后,我们仍在改变这些数据的处理方法,以期实现超越 GDPR 的原则并采用业内最佳方法:

  1. 我们的目标是尽快将您的姓名、地址和电话号码等个人数据彻底删除。我们要求自己和第三方提供商仅在尽可能短的必要时间内保存此类数据,用于履行我们对客户的义务(例如完成您的订单)和法律事务(例如会计和法律义务)。需要保留的数据将存储在进一步隔离的环境中。例如,我们的目标是在产品发货后将您的电子商务订单信息(如姓名、地址、电话号码)置于隔离环境中三个月。
  2. 我们将尽可能减少展示您个人信息的地方。例如,在向您发送电子邮件以确认订单时,我们会删除其中的姓名、地址和电话号码,以免我们的电子商务电子邮件提供商经手这些信息。
  3. 我们将采用一套消息模型,主动通过 Ledger Live 传送重要的安全和技术信息。电子邮件和社交媒体将仅用于广播产品消息和公告。
  4. 我们将对所有供应商和合作伙伴进行详细的重新评估,确保他们维持最高标准。

数据库中是否存储了 24 个助记词?

否,恢复短语完全由我们的客户独自控制。Ledger 绝不会要求您提供恢复短语。 

如果你们不能保护我们的电子商务数据,你们又如何保护我们的资金?

我们可以理解并应对客户提出的这个精准而合理的问题。实际上,Ledger 自成立以来一直很重视产品的安全性,因为我们知道这个行业的发展需要依靠全面监控且可审查的强大安全解决方案,我们始终致力于为客户提供采用先进技术进行监控的安全产品。

此次数据泄露的原因是托管在我们电子商务网页上错误配置的第三方 API 密钥,与我们的安全产品和产品基础设施无关。这并不意味着这起事件不严重,这只能说明与我们产品的安全级别无关。

我们对此次事件深表遗憾。我们非常重视隐私,我们通过自己的“漏洞赏金”计划发现了这个问题并立即进行了修复。但是,不论我们如何努力避免和解决这种情况,我们都要对此次事件给我们客户带来的不便表示歉意。

目前事态发展很不乐观,我怎么才能放心?

我们理解您的担忧,也对此次事件深表遗憾。数据泄露和网络钓鱼式攻击是全行业所面临的问题。我们每天都在解决这类问题,我们非常重视隐私和数据安全。我们在通过自己的“漏洞赏金”计划发现了这个问题后,立即进行了修复并及时通知您。但是,不论我们如何努力避免和解决这种情况,我们都要对此次事件给您带来的不便表示歉意。不过,我们的硬件钱包和 Ledger Live 安全与此次数据泄露没有任何关系,也不会因此受到影响。

Crypto Casey 在此视频播客中全面总结了当前情况并介绍了如何保护自己。请采取一切措施确保您和您的加密货币安全。 

您的加密货币资产一直是安全的,没有风险。我们非常感谢您对我们产品的信任。未来,我们将为您提供更加专业、透明和及时的服务。

你们是否了解、提供或建议使用“身份盗用”监控服务吗?

否,我们不建议使用此类服务​​。我们建议我们的客户采取预防措施,谨防冒充 Ledger 要求您提供恢复短语的网络钓鱼式攻击。Ledger 决不会要求您提供恢复短语的 24 个助记词(即使在 Ledger Live 中也不会),Ledger 也决不会通过短信或电话联系您。

如果您想提高恢复短语的安全性,我们建议您参见我们的高级安全措施最佳实践并谨记,在紧急情况下输入 3 次错误识别码可重置您的设备。

你们采取了哪些措施防止再次发生数据泄露?

数据泄露事件给我们带来了巨大的挑战。对我们而言,取得您的信任比获得您的数据更有价值。因此我们决定彻底改变 Ledger 的数据处理方式,我们仍在改变这些数据的处理方法,以期实现超越 GDPR 的原则并采用业内最佳方法:

  • 我们的目标是尽快将您的姓名、地址和电话号码等个人数据彻底删除。我们要求自己和第三方提供商仅在尽可能短的必要时间内保存此类数据,用于履行我们对客户的义务(例如完成您的订单)和法律事务(例如会计和法律义务)。需要保留的数据将存储在进一步隔离的环境中。例如,我们的目标是在产品发货后将您的电子商务订单信息(如姓名、地址、电话号码)置于隔离环境中三个月。
  • 我们将尽可能减少展示您个人信息的地方。例如,在向您发送电子邮件以确认订单时,我们会删除其中的姓名、地址和电话号码,以免我们的电子商务电子邮件提供商经手这些信息。
  • 我们将采用一套消息模型,主动通过 Ledger Live 传送重要的安全和技术信息。电子邮件和社交媒体将仅用于广播产品消息和公告。
  • 我们将对所有供应商和合作伙伴进行详细的重新评估,确保他们维持最高标准。

此类盗窃和攻击行为必须得到调查和起诉。加密货币要想蓬勃发展,盗窃加密货币的行为就必须付出代价。我们继续就此类案件与执法部门和私人调查员合作,同时也在扩充我们的火力:

  • 我们聘用了更多私人调查力量,借助更多的经验和方法来搜寻应当对数据盗窃负责的人。 我们将继续与全球执法部门合作,尽可能地搜寻、逮捕并起诉责任人。
  • 对于通过合法途径获取的新信息,如果能够据此信息识别、逮捕并成功起诉攻击 Ledger 和 Ledger 客户的责任方,我们将为其提供赏金。Ledger 已拿出包含 10 BTC 的钱包(地址:bc1qshfl9cnyjam64m3c2jpsg23u34z7w0kkwncdsd)作为初始的赏金储备。是否支付将由 Ledger 在考虑以下因素后自行决定 - 信息获取途径是否合法?是否为新信息?这些信息有多重要?它将在多大程度上推进调查并有能力直接用于起诉个人?起诉是否成功?更笼统地讲,这将受此处提供的赏金计划条款约束。
  • 我们宣布了与其他行业人士就此计划展开合作的意向。 我们正在联系行业内的其他公司与个人,讨论为这项针对加密货币社区犯罪的赏金计划持续提供支持事宜。 加密货币行业其他公司的各位首席执行官,如果您想加入我们的项目,请尽快与我们联系。
电子商务和营销数据泄露 - 常见问题解答

这篇文章有帮助吗?