Duży wyciek danych z LEDGER – 1,075,241 kont

Oświadczenie Prezesa Zarządu LEDGER – Aktualizacja dotycząca lipcowego naruszenia danych.

„Pomimo wycieku, aktywa są bezpieczne.”

Drodzy klienci Ledger,

Jak wiecie, w lipcu 2020 roku Ledger był celem cyberataku, który doprowadził do naruszenia danych. Wczoraj zostaliśmy poinformowani o zrzuceniu zawartości bazy danych klientów Ledger na Raidforum. Uważamy, że jest to zawartość naszej bazy danych e-commerce od czerwca 2020 roku.

W czasie tego incydentu, w lipcu, zaangażowaliśmy zewnętrzną organizację zajmującą się cyberbezpieczeństwem do przeprowadzenia przeglądu logów udostępnionych do analizy kryminalistycznej. Ten przegląd logów umożliwił nam potwierdzenie, że skradziono około 1 miliona adresów e-mail, a także 9 532 bardziej szczegółowych danych osobowych (adresy pocztowe, imię, nazwisko i numer telefonu), które byliśmy w stanie dokładnie zidentyfikować.

Z upublicznionej wczoraj bazy danych wynika, że doszło do wycieku większego podzbioru szczegółowych informacji – około 272 000 dokładnych informacji, takich jak adres pocztowy, nazwisko, imię i numer telefonu naszych klientów. Dane te nie są dostępne w logach, które byliśmy w stanie przeanalizować. Przejrzystość w naszych działaniach i komunikacji zawsze była priorytetem. To się nie zmieniło.

Poza pogłoskami i różnorodnymi interpretacjami tego wydarzenia, które pojawiły się w ciągu ostatnich kilku godzin, chcę powiedzieć kilka prostych, ale fundamentalnych rzeczy, aby spojrzeć na realia tej sprawy z perspektywy czasu.

W imieniu Ledger, bardzo głęboko ubolewamy nad zaistniałą sytuacją. Zdajemy sobie sprawę, że wielu z państwa było celem kampanii phishingowych za pomocą poczty elektronicznej i SMS-ów i że jest to wyraźnie uciążliwe. Wiem, że to naruszenie jest w najlepszym wypadku rozczarowujące, a w najgorszym irytujące.

Naszym celem nr 1 pozostaje zapewnienie Państwu najlepszej ochrony i bezpieczeństwa Państwa dóbr cyfrowych. Mówiąc bardzo jasno: to naruszenie danych nie ma żadnego związku ani wpływu na nasze portfele sprzętowe, aplikacje lub fundusze. Państwa aktywa kryptograficzne są bezpieczne. Choć jest to naprawdę i szczerze godne ubolewania, naruszenie to dotyczy wyłącznie informacji związanych z handlem elektronicznym.

Ledger robi wszystko, co w jego mocy, aby jeszcze bardziej wzmocnić bezpieczeństwo danych (…). Zostało to obszernie udokumentowane na naszej stronie internetowej i blogu. Teraz możecie Państwo śledzić status trwających kampanii phishingowych na jednej stronie: „Ongoing phishing campaigns” (Aktualne kampanie phishingowe). W ciągu ostatnich dni zatrudniliśmy również światowej klasy specjalistów do naszego nowego CISO. Jeszcze bardziej wzmacniamy wszystkie nasze działania i zasoby bezpieczeństwa – Program Bounty, Dungeon i wszystkie procedury, które pozwolą na testowanie naszych systemów w trybie 24/7. Wszystkie te działania zostały wymienione tutaj: The Battleground Against Phishing Attempts.

Niektórzy z Państwa wyrazili również obawy dotyczące potencjalnych ataków fizycznych, ponieważ niektóre z Państwa adresów korespondencyjnych uległy wyciekowi. Rozumiemy emocje wywołane przez tę sytuację, ale należy przyznać, że nie ma możliwości powiązania danych, które wyciekły, z pieniędzmi znajdującymi się w Państwa portfelu.

Niezależnie od tego, Ledger został przygotowany z myślą o zagrożeniu atakiem fizycznym, ponieważ zawsze stanowi potencjalne zagrożenie. Istnieją cechy i sposoby, aby się chronić:

• Jeśli trzy razy z rzędu wprowadzisz błędny kod PIN, urządzenie zresetuje się po trzeciej błędnej próbie jako środek bezpieczeństwa.
• Prawdopodobieństwo zaprzeczenia: zamiast wpisywać hasło za każdym razem, gdy go potrzebujesz, możesz je dołączyć do drugiego kodu PIN w urządzeniu Ledger. Powoduje to posiadanie dwóch ważnych kodów PIN: jeden odblokowuje normalny zestaw kont, drugi alternatywny zestaw kont.
• Na koniec, nie przechowuj danych do awaryjnego odzyskiwania dostępu (recovery sheet) w sejfie w domu. Skarbiec bankowy jest o wiele bezpieczniejszy. Brak natychmiastowego dostępu do kopii zapasowej zwiększa Twoją odporność na zagrożenia fizyczne.

Niezależnie od ostatnich wydarzeń, jeśli posiadasz w domu wartościowe przedmioty lub zasoby, zapraszamy do regularnej oceny własnego programu bezpieczeństwa i zawsze stosowania najlepszych standardów rynkowych. Wiele istotnych informacji można znaleźć na https://www.ledger.com/academy i https://www.ledger.com/.

Większość ataków, z którymi będziecie Państwo mieli do czynienia, to internetowe oszustwa. (…) Nie będziemy (Ledger) Państwa prosić o podawanie danych dostępowych typu hasła, nie będziemy się kontaktować za pomocą sms-ów ani telefonów. Wiele osób pytało, czy Państwa fundusze mogłyby ucierpieć, gdyby przestępcy zdobyli dane wrażliwe niezbędne do logowania. Wyrażę się jasno: NIE. Twoje fundusze są bezpieczne.

Aby spojrzeć na sprawę z szerszej perspektywy i nie podważać naszej odpowiedzialności, stało się jasne, że wkroczyliśmy w erę, w której cyberataki będą pojawiać się coraz częściej (World’s Biggest Data Breaches & Hacks — Information is Beautiful). Jest to rosnący globalny problem, z którym wszyscy borykamy się w obliczu cyfrowego przyspieszenia. Inwestowanie w przyszłość bezpieczeństwa stało się bardziej konieczne i pilne niż kiedykolwiek. To jest właśnie misja Ledger: stale inwestujemy w poprawę standardów bezpieczeństwa. Dlatego też nie będziemy zwracać pieniędzy klientom, jak sugerowali niektórzy – zamiast tego, najlepszą i najszczerszą rzeczą, jaką możemy zaoferować, jest nasze zaangażowanie w bycie lepszym i dokonywanie tych inwestycji w celu ciągłego podnoszenia bezpieczeństwa produktów, które udostępniamy.

W tej walce z #StopTheScammers, w duchu, który zawsze był nasz i społeczności kryptograficznych, potrzebujemy Państwa u naszego boku.

Będziemy udostępniać niezbędne aktualizacje, ponieważ nasza analiza w dalszym ciągu zapewnia naszej społeczności pełną przejrzystość w zakresie rozwoju tego tematu na stronie https://www.ledger.com/phishing-campaigns-status .

Jeśli mają Państwo jakiekolwiek dalsze pytania, w pierwszej kolejności prosimy o sprawdzenie FAQ, a jeśli nie znajdą tam Państwo odpowiedzi na pytanie, prosimy o kontakt z nami poprzez dział obsługi klienta.

Z poważaniem,
Pascal Gauthier
CEO, Ledger