Hardware wallet fabrikant Ledger meldt datalek van 1 miljoen gebruikers

Crypto hardware wallet bedrijf Ledger meldde op woensdag dat onbevoegden toegang hebben gekregen tot de marketing en e-commerce database in juni 2020.

Door de lek zijn de contact- en bestelinformatie van ongeveer 1 miljoen klanten buitgemaakt door criminelen. Het gaat alleen om bestelinformatie van de klanten, betalingsinformatie en crypto fondsen zijn niet gestolen. Het bedrijf meldde verder dat de getroffen gebruikers per e-mail zijn gecontacteerd.

Gegevensbreuk ontdekt tijdens bounty-programma

Het lek kwam aan het licht toen een onderzoeker tijdens een bounty programma een potentiële kwetsbaarheid had ontdekt en dit op 14 juli meldde. Tijdens een bounty programma zoeken onderzoekers naar lekken bij bedrijven en worden ze hiervoor betaald.

Ledger nam hierna adequaat actie en dichtte direct het lek. Tijdens een intern onderzoek bleek dat de onderzoeker niet de eerste was die het lek had ontdekt en dat een onbevoegde op 25 juni 2020 het lek heeft uitgebuit. Zo kreeg de crimineel toegang tot de marketing- en e-commercedatabases.

Aangezien de aanval gericht was op de marketing- en e-commercedatabases, konden de hackers geen toegang krijgen tot de private keys van klanten of de recovery keys. Bovendien werden betalingsinformatie, crypto tegoeden en wachtwoorden niet buitgemaakt door de inbreuk.

Ledger kon direct melden dat de hack niet gerelateerd was aan de populaire Ledger hardware wallets of de Ledger Live-beveiligingsproducten. Het bedrijf merkte ook op dat de e-mailadressen van ongeveer 1 miljoen gebruikers mogelijk zijn gestolen.

Alleen de contact- en bestelgegevens zijn mogelijk gestolen. Dit is in de meeste gevallen het e-mailadres van ongeveer 1mln van onze klanten. Na onderzoek hebben we ook kunnen vaststellen dat van een deel ook de volgende gegevens zijn gestolen: voor- en achternaam, postadres, telefoonnummer en besteld(e) product(en).

Uw crypto activa zijn veilig en niet in gevaar.

Zei Ledger.

Legder rapporteert aan de Franse autoriteiten na de lek

Ledger heeft twee dagen na de ontdekking van de inbreuk dit gemeld bij de Franse gegevensbeschermingsautoriteit (CNIL) en werkt samen met Orange Cyberdefense (OCD) om de schade te evalueren en verdere inbreuken op haar website te identificeren. 

Het bedrijf houdt in de gaten of de gestolen gegevens worden verkocht op het internet, maar zei dat het tot nu toe geen reden heeft gevonden om aan te nemen dat dit het geval is. OCD diende een eerste rapport in op 24 juli, maar het onderzoek door de CNIL is nog steeds bezig.