tentang crypto
Setelah serangan terbesar dalam sejarah perusahaan, dan lebih dari seminggu setelah dipekerjakannya Chief Information Security Officer (CISO) baru Ledger, Matt Johnson, perusahaan dompet perangkat keras Ledger mengumumkan langkah pertamanya untuk mengatasi pelanggaran data dan memastikan bahwa serangan tidak terjadi lagi.
Ini termasuk bekerja dengan firma analitik blockchain Chainalysis untuk memburu peretas, dengan hadiah 10 BTC. kutipan dalam waktu nyata) untuk informasi yang akan mengarah pada penangkapan peretas dan tinjauan lengkap tentang informasi apa yang disimpan perusahaan, di mana disimpan dan berapa lama disimpan.
Retasan Ledger
Ledger secara terbuka mengungkapkan bahwa beberapa informasi pelanggan telah disusupi pada Juli 2020. Pada saat itu, perusahaan memperkirakan bahwa 9.500 pelanggan telah terpengaruh oleh peretasan tersebut. Pada Desember 2020, data dump "mengungkap 1 juta alamat email dan 272.000 nama, alamat pos, dan nomor telepon milik orang yang memesan perangkat Ledger."
Jumlah orang yang terkena dampak jauh lebih tinggi dari perkiraan semula sebesar 9.500. Sekarang, Ledger telah merilis informasi baru tentang peretasan tersebut, mengungkapkan bahwa kemungkinan besar hal itu disebabkan, sebagian, oleh orang jahat yang aktif di Shopify, mitra e-niaga-nya pada saat itu.
Penyusup Shopify
Pada tanggal 23 Desember 2020, Ledger diberi tahu oleh Shopify tentang insiden di mana "anggota tidak sah dari tim dukungan mereka memperoleh log transaksi pelanggan, termasuk Ledger's antara April dan Juni 2020".
Namun, hingga 21 Desember 2020, Shopify belum "menemukan bahwa Ledger juga menjadi sasaran dalam serangan ini." Shopify memberi tahu Ledger bahwa pihaknya terus menyelidiki dan bahwa masalahnya telah dilaporkan ke penegak hukum. Bekerja sama dengan firma forensik Orange Cyberdefense, Ledger memeriksa 292.000 data yang dicuri. Perusahaan mengatakan telah memberi tahu pelanggan bahwa mereka dipukul pada 13 Januari.
Keamanan data Ledger setelah peretasan
Dalam sebuah posting Twitter, Ledger menegaskan kembali bahwa perusahaan tidak akan pernah meminta pelanggan 24 kata pemulihan yang dapat digunakan untuk mengakses bitcoin dan cryptocurrency. Mereka juga menunjukkan bahwa sampai pelanggan membagikan kata-kata ini, perangkat keras Ledger mereka aman.
Menurut Johnson, Ledger mencoba melampaui privasi yang diwajibkan oleh Peraturan Perlindungan Data Umum Uni Eropa. Ledger akan menghapus data dari mitra e-commerce-nya dan memindahkan data pelanggan ke database yang tidak dapat diakses dari Internet segera setelah pesanan dipenuhi, sebelum secara hukum dimungkinkan untuk menghapusnya.
Perusahaan juga akan menghapus nama, alamat dan nomor telepon dari email konfirmasi yang dikirimkan ke pelanggan sehingga data ini tidak dikirimkan melalui penyedia email e-commerce pihak ketiga. Tim teknik Ledger juga mengembangkan produk yang "akan melindungi dana pengguna meskipun mereka membagikan benih pemulihan dengan penyerang."
