Ledger подтверждает утечку данных клиентов через платежного оператора Global-e

Источник: CryptoTale Оригинальный заголовок: Ledger подтверждает утечку данных клиентов через системы Global-e Оригинальная ссылка:

Обзор

• Несанкционированный доступ в Global-e раскрыл имена клиентов Ledger и контактные данные.
• Ledger подтверждает, что фразы восстановления или приватные ключи кошельков не были получены.
• Эксперты по безопасности предупреждают, что утечка контактных данных увеличивает риски фишинга и мошенничества.

Детали инцидента

Производитель аппаратных кошельков Ledger сталкивается с новой утечкой данных после того, как внутри систем своего стороннего платежного процессора Global-e произошел несанкционированный доступ. Инцидент затронул личные данные клиентов, такие как имена и контактная информация, взятые из облачной инфраструктуры Global-e. Нет никаких признаков того, что в какой-либо момент были скомпрометированы средства на кошельках, приватные ключи или фразы восстановления.

Global-e уведомила пострадавших клиентов по электронной почте, заявив, что обнаружила необычную активность в части своей облачной среды и начала расследование. В сообщении не указывалось, сколько клиентов Ledger пострадало или точное время уязвимости. Уведомление впервые распространилось публично после того, как его поделился блокчейн-исследователь ZachXBT в социальных сетях.

Ledger подтвердил инцидент, заявив, что нарушение произошло полностью внутри систем Global-e. Компания сообщила, что Global-e выступает в роли контроллера данных и поэтому выпустила уведомления для клиентов.

Подтверждение утечки у стороннего подрядчика

Global-e заявил, что обнаружил аномальную активность и быстро применил меры безопасности для устранения проблемы. Затем компания привлекла внешних судебных экспертов для детального анализа инцидента.

Этот анализ подтвердил неправильный доступ к ограниченному набору личных данных клиентов. Global-e сообщил, что расследование подтвердило «некоторые личные данные, включая имя и контактную информацию, были неправомерно получены». В заявлении не упоминались платежные данные или учетные данные для аутентификации.

Позже Ledger подтвердил эти выводы. Компания заявила, что несанкционированный доступ затронул данные заказов, хранящиеся в информационных системах Global-e. Ledger повторил, что инцидент не затронул внутреннюю инфраструктуру, устройства или приложения компании.

Реакция Ledger и охват безопасности

Ledger подчеркнул, что его продукты с самостоятельным хранением остаются не затронутыми инцидентом.

Компания уточнила, что Global-e не может получить доступ к фразам восстановления, балансам кошельков или секретам цифровых активов. Ledger заявил, что его аппаратное и программное обеспечение продолжают работать в обычном режиме.

«Это не было нарушением платформы Ledger, аппаратных или программных систем», — сказал представитель компании.

Он добавил, что Global-e обрабатывал только информацию о покупках и заказах клиентов, приобретающих через Ledger.com. Также компания объяснила, почему Global-e связывался с клиентами напрямую. Ledger заявил, что Global-e контролирует пострадавшие данные и несет ответственность за уведомления о нарушениях. На момент публикации ни одна из компаний не предоставила оценку количества пострадавших клиентов.

Исторический контекст и текущие риски

Инцидент следует за несколькими прошлыми событиями в области безопасности, связанными с Ledger. В июне 2020 года неправильно настроенный сторонний API раскрыл маркетинговые и торговые данные. Этот взлом слил примерно один миллион адресов электронной почты и подробные контактные данные 9500 клиентов.

В 2023 году злоумышленники использовали скомпрометированную библиотеку программного обеспечения, связанную с Ledger. Атака истощила от $484 000 до $600 000 в криптовалюте за пять часов.

Эксперты по безопасности продолжают предупреждать, что утечка контактных данных может способствовать социальным инженерным атакам даже без доступа к кошелькам. Некоторые рекомендуют использовать минимальную или альтернативную контактную информацию при покупке аппаратных кошельков, чтобы снизить эффективность целевых фишинговых атак в случае утечки баз данных.