База данных пользователей аппаратных криптовалютных кошельков Ledger попала в открытый доступ, сообщил исследователь проблем безопасности Алон Гал.
Утечка данных произошла в середине года. Тогда представители Ledger утверждали, что неизвестный подключился к системам компании с помощью API-ключа и украл данные около 1 млн пользователей, в первую очередь адреса их электронных почт. Также в определенных случаях злоумышленники получили данные о реальных именах клиентов, почтовых адресах, номерах телефонов и заказанных продуктах. Платежная информация и криптовалютные активы при этом, по заявлению компании, затронуты не были.
Гал, со ссылкой на хакерский форум, заявил:
«Первая подтвержденная цена за эту базу составляла 5 биткоинов. Кто-то купил ее у другого парня на одном из форумов. Сегодня вы можете получить ее бесплатно».
К сообщению на форуме прикреплено два текстовых файла: один содержит адреса электронных почт 1 075 382 подписчиков почтовой рассылки Ledger, второй — детали 272 853 заказов с полной информацией, включая электронные почты, адреса и номера телефонов. Гал пишет:
«Утечка представляет крупный риск для затронутых ею людей! Пользователи Ledger, как правило, держат крупные суммы в криптовалютах. Теперь они подвергнутся преследованию в интернете и реальном мире в масштабах, с которыми ранее им сталкиваться не приходилось».
Другие участники форума выразили недовольство в связи с действиями автора сообщения, отметив, что база данных пользователей Ledger до этого продавалась за шестизначные суммы. Аналитик The Block Ларри Чермак заявляет, что последствия утечки могут быть гораздо более серьезными, чем казалось изначально, поскольку в половине проверенных случаев данные покупателей Ledger обнаружились в базе.
Пользователи сообщают, что после публикации они уже начали получать фишинговую рассылку, в которой им пишут, что кошелек якобы отключен, а для возобновления доступа они должны пройти идентификацию по ссылке. Некоторые также утверждают, что компания заверяла их в том, что они не попали под эту утечку, однако теперь они находят свои данные в опубликованной базе.
В Ledger заявили:
«Мы продолжаем расследование, но ранние признаки указывают на то, что это действительно может быть база данных, утекшая в июне 2020 года. Сказать, что мы чрезвычайно сожалеем об этой ситуации — ничего не сказать. С июля мы приняли все возможные меры, чтобы сделать Ledger надежнее в будущем. Никогда не передавайте 24 слова из вашей фразы для восстановления кому-либо, даже если они утверждают, что являются представителями Ledger. Ledger никогда не попросит вас об этом и не станет связываться с вами посредством текстовых сообщений или звонков».
