auf der Krypto
Nach dem größten Angriff in der Unternehmensgeschichte und etwas mehr als eine Woche nach der Einstellung von Matt Johnson, dem neuen Chief Information Security Officer (CISO) von Ledger, kündigte das Hardware-Wallet-Unternehmen Ledger seine ersten Schritte an Beheben Sie den Datenverstoß und stellen Sie sicher, dass der Angriff nicht erneut erfolgt.
Dazu gehört die Zusammenarbeit mit dem Blockchain-Analyseunternehmen Chainalysis, um Hacker mit einem Kopfgeld von 10 BTC zu jagen. Preis in Echtzeit) für die Informationen, die zur Festnahme des Hackers führen, und eine vollständige Überprüfung, welche Informationen das Unternehmen aufbewahrt, wo sie gespeichert sind und wie lange sie aufbewahrt werden.
Ledgers Hack
Ledger gab öffentlich bekannt, dass einige Kundeninformationen im Juli 2020 kompromittiert worden waren. Zu diesem Zeitpunkt schätzte das Unternehmen, dass 9.500 Kunden von dem Hack betroffen waren. Im Dezember 2020 enthüllte ein Datendump "1 Million E-Mail-Adressen und 272.000 Namen, Postanschriften und Telefonnummern von Personen, die Ledger-Geräte bestellt hatten".
Die Zahl der Betroffenen lag weit über der ursprünglichen Schätzung von 9.500. Jetzt hat Ledger neue Informationen über den Hack veröffentlicht, aus denen hervorgeht, dass dies wahrscheinlich teilweise auf Bösewichte zurückzuführen war, die bei Shopify, seinem damaligen E-Commerce-Partner, aktiv waren.
Shopify Infiltratoren
Am 23. Dezember 2020 wurde Ledger von Shopify über einen Vorfall informiert, bei dem "einige nicht autorisierte Mitglieder ihres Support-Teams zwischen April und Juni 2020 Kundentransaktionsprotokolle erhalten haben, einschließlich Ledgers."
Bis zum 21. Dezember 2020 hatte Shopify jedoch nicht "festgestellt, dass Ledger ebenfalls von diesem Angriff betroffen war". Shopify teilte Ledger mit, dass die Ermittlungen fortgesetzt werden und das Problem den Strafverfolgungsbehörden gemeldet wurde. In Zusammenarbeit mit der forensischen Firma Orange Cyberdefense untersuchte Ledger die gestohlenen 292.000 Daten. Das Unternehmen teilte den Kunden mit, dass sie am 13. Januar getroffen wurden.
Ledgers Datensicherheit nach dem Hack
In einem Twitter-Beitrag bekräftigte Ledger, dass das Unternehmen Kunden niemals nach den 24 Wiederherstellungswörtern fragen wird, mit denen auf Bitcoin- und Kryptowährungen zugegriffen werden kann. Sie wiesen auch darauf hin, dass ihre Ledger-Hardwaregeräte sicher waren, bis Kunden diese Worte teilten.
Laut Johnson versucht Ledger, über die in der Allgemeinen Datenschutzverordnung der Europäischen Union vorgeschriebenen Datenschutzbestimmungen hinauszugehen. Ledger löscht Daten von seinem E-Commerce-Partner und verschiebt Kundendaten in eine Datenbank, auf die über das Internet nicht zugegriffen werden kann, sobald die Bestellung ausgeführt wurde, bevor es rechtlich möglich ist, sie zu löschen.
Das Unternehmen löscht auch Namen, Adressen und Telefonnummern aus Bestätigungs-E-Mails, die an Kunden gesendet werden, damit diese Daten nicht über E-Commerce-E-Mail-Anbieter von Drittanbietern übertragen werden. Das Engineering-Team von Ledger entwickelt außerdem ein Produkt, das "die Gelder eines Benutzers schützt, selbst wenn er den Wiederherstellungs-Seed mit einem Angreifer geteilt hat".
