Hacking επίθεση στην εταιρεία με τα πιο safe hardware bitcoin wallets!

 

Η εταιρεία με τα πιο safe hardware bitcoin wallets στον κόσμο, “Ledger”, δέχτηκε hacking επίθεση. Όπως ανέφερε η ίδια σε σχετική της ανακοίνωση, ενημερώθηκε για την παραβίαση του site της στις 14 Ιουλίου 2020, από έναν ερευνητή που συμμετείχε στο bug bounty πρόγραμμα της εταιρείας.

Λίγο αφότου ενημερώθηκε για την επίθεση, η Ledger δήλωσε πως αποκατέστησε αμέσως την παραβίαση, έχοντας λάβει την έκθεση του ερευνητή και αφότου πραγματοποιήθηκε σχολαστική εσωτερική έρευνα. Μια βδομάδα μετά την αποκατάσταση της παραβίασης, η εταιρεία των safe hardware bitcoin wallets διαπίστωσε ότι είχε ξανά υποστεί παραβίαση στις 25 Ιουνίου 2020, από μη εξουσιοδοτημένο τρίτο μέρος, το οποίο απέκτησε πρόσβαση στο e-commerce και marketing database της. Αυτό το database χρησιμοποιείται για την αποστολή επιβεβαιώσεων παραγγελιών και διαφημιστικών email που αποτελούνται κυρίως από διευθύνσεις email, αλλά και στοιχεία επικοινωνίας και παραγγελίας, όπως όνομα και επώνυμο, ταχυδρομική διεύθυνση, διεύθυνση email και αριθμός τηλεφώνου. Ωστόσο, η Ledger τόνισε στους πελάτες της ότι τα στοιχεία πληρωμών τους και τα χρήματα κρυπτογράφησης είναι ασφαλή.

Επιπλέον, η εταιρεία περιέγραψε λεπτομερώς το περιστατικό ασφαλείας, θέλοντας να εξηγήσει στους πελάτες της τί ακριβώς συνέβη. Ειδικότερα, ανέφερε πως ένα μη εξουσιοδοτημένο τρίτο μέρος απέκτησε πρόσβαση σε ένα τμήμα του e-commerce και marketing database, μέσω ενός κλειδιού API. Ενημέρωσε επίσης ότι το κλειδί API έχει απενεργοποιηθεί και δεν είναι πλέον προσβάσιμο.

Ποιες πληροφορίες περιλαμβάνονται στο database που διέρρευσε με την επίθεση;

Το database περιέχει τα στοιχεία επικοινωνίας και παραγγελίας των πελατών της εταιρείας. Μεταξύ αυτών περιλαμβάνονται περίπου ένα εκατομμύριο διευθύνσεις email πελατών. Η Ledger πρόσθεσε, ακόμη, πως με την παραβίαση εκτέθηκαν προσωπικά στοιχεία περίπου 9500 πελατών της, όπως όνομα και επώνυμο, ταχυδρομική διεύθυνση, αριθμός τηλεφώνου ή παραγγελθέντα προϊόντα. Το μεγάλο εύρος της παραβίασης ήταν ακριβώς ο λόγος που η εταιρεία αποφάσισε να ενημερώσει άμεσα τους πελάτες της για το περιστατικό.

Όσον αφορά τα e-commerce data, δεν περιλαμβάνονταν στοιχεία πληρωμής, ούτε credentials στην παραβίαση. Επομένως, αυτή επηρεάζει αποκλειστικά τα στοιχεία επικοινωνίας των πελατών. Αυτή η παραβίαση δεδομένων δεν έχει κανένα αντίκτυπο στα hardware wallets ούτε στην ασφάλεια του Ledger Live και τα κρυπτογραφημένα στοιχεία των πελατών, τα οποία είναι ασφαλή και δεν τέθηκαν ποτέ σε κίνδυνο.

Τί έχει κάνει έως τώρα και τί άλλο σκοπεύει να κάνει η εταιρεία;

• Δεδομένου ότι η παραβίαση περιορίστηκε στα στοιχεία επικοινωνίας e-commerce και marketing, η εταιρεία διόρθωσε αμέσως το πρόβλημα, ενώ αφιέρωσε χρόνο διεξάγοντας λεπτομερή εσωτερική έρευνα με εμπειρογνώμονες ασφαλείας και στη συνέχεια ειδοποίησε την κοινότητά της για το περιστατικό.
• Στις 17 Ιουλίου, ενημέρωσε το CNIL και τη Γαλλική Αρχή Προστασίας Δεδομένων, που διασφαλίζει ότι εφαρμόζεται ο νόμος περί απορρήτου δεδομένων στη συλλογή, αποθήκευση και χρήση προσωπικών δεδομένων.
• Στις 21 Ιουλίου, συνεργάστηκε με την Orange Cyberdefense για να αξιολογήσει τις ζημιές που μπορεί να προκλήθηκαν από την παραβίαση και για να εντοπίσει τυχόν διαρροές δεδομένων.
• Επιπλέον, ύστερα από διεξοδική έρευνα από την ομάδα ασφαλείας της εταιρείας και την Orange Cyberdefense, κατέληξε στο συμπέρασμα ότι παραβιάστηκε το e-commerce και marketing database. Μέχρι τη στιγμή της δημοσίευσης, όλοι οι επηρεαζόμενοι πελάτες έχουν ήδη λάβει email ενημέρωσης.
• Επίσης, η εταιρεία ανέφερε πως παρακολουθεί ενεργά αν στοιχεία του database που παραβιάστηκαν κατά την επίθεση, πωλούνται στο Διαδίκτυο, χωρίς να έχει εντοπίσει κάτι μέχρι στιγμής.
• Ακόμη, επεκτείνει στο e-commerce το εύρος του προγράμματος ασφάλειας και οργάνωσης, εστιάζοντας αρχικά στα προϊόντα της (HW & Vault). Παράλληλα, λαμβάνει μέτρα για την ικανοποίηση των απαιτήσεων που αναφέρονται στο ISO 27001, ενώ έχει υποβάλει επίσημη καταγγελία στις αρχές για να διερευνήσουν περαιτέρω την κατάσταση.
• Επιπρόσθετα, για να ενισχύσει το απόρρητο των πελατών της, το Ledger Live, η συνοδευτική εφαρμογή για το Nano, η οποία δεν διατηρεί καμία πληροφορία σχετικά με τους πελάτες της εταιρείας, θα γίνει το κύριο σημείο επαφής για πληροφορίες σχετικά με τις νέες εξελίξεις προϊόντων καθώς και τους λογαριασμούς της Ledger στα social media (Facebook και LinkedIn, Twitter).

Τέλος, η Ledger συνιστά στους πελάτες της να είναι ιδιαίτερα προσεκτικοί για τυχόν phishing επιθέσεις. Για παράδειγμα, η εταιρεία δεν θα ζητήσει στους πελάτες της ποτέ τις 24 λέξεις της φράσης ανάκτησης. Επομένως, σε περίπτωση που λάβουν email που θα φαίνεται να προέρχεται από την Ledger και θα ζητά 24 λέξεις, θα είναι απόπειρα phishing.