Les données clients de Ledger sont exposées via le fournisseur de paiement Global-e, mais la sécurité du portefeuille reste intacte

Ledger, le principal fabricant mondial de portefeuilles matériels, fait face à un incident important d’exposition de données lié à son processeur de paiement tiers, Global-e. Les systèmes de sécurité ont détecté un accès non autorisé aux informations clients stockées sur l’infrastructure cloud de Global-e, affectant un nombre non spécifié de données personnelles des utilisateurs de Ledger, y compris des noms et des coordonnées. La violation souligne les risques inhérents à la dépendance aux fournisseurs de services tiers, bien que Ledger ait demandé de préciser que l’incident n’a pas compromis sa plateforme principale ni ses actifs utilisateurs.

Ce qui a été compromis lors de l’incident Global-e

Global-e, une plateforme de commerce électronique desservant les grands détaillants et marques du monde entier, a informé les clients de la faille de sécurité après avoir identifié une activité inhabituelle dans ses systèmes. L’enquête a révélé que des parties non autorisées ont accédé aux données de commande et aux informations personnelles — en particulier les noms et coordonnées — des systèmes d’information de Global-e. Cependant, les données des cartes de paiement n’ont pas été impliquées dans la compromission. L’incident a également touché des clients d’autres marques utilisant les services de commerçants de Global-e, suggérant une vulnérabilité systémique large plutôt qu’une attaque spécifique à Ledger. Notamment, Global-e a engagé des experts médico-légaux indépendants pour mener une enquête approfondie et a mis en place des contrôles de sécurité supplémentaires pour prévenir de futurs accès non autorisés.

Ce qui est resté sécurisé : l’infrastructure centrale de Ledger

Dans une réponse officielle aux demandes des médias, Ledger a souligné plusieurs points critiques sur l’ampleur de la violation. La société a déclaré que Global-e ne conserve pas l’accès aux clés privées des utilisateurs, aux soldes blockchain, aux phrases de départ (le mécanisme critique de récupération de 24 mots), ni à tout secret lié aux actifs numériques. Puisque Ledger fonctionne comme une plateforme auto-dépôte, les utilisateurs conservent un contrôle total sur leurs identifiants cryptographiques. De plus, les systèmes, logiciels et infrastructures matérielles propres à Ledger n’ont pas été compromis. L’exposition était strictement limitée aux données de transactions des commandes traitées via Global-e, ce qui signifie que les détentions de cryptomonnaies et la fonctionnalité du portefeuille restent entièrement sécurisées. Ledger a précisé qu’il collabore avec Global-e pour identifier et contacter tous les utilisateurs concernés avec des informations pertinentes sur l’incident.

Contexte historique : incidents de sécurité précédents chez Ledger

Ce n’est pas la première fois que Ledger fait face à un défi de sécurité des données. En 2020, l’entreprise a subi une violation importante via son partenaire e-commerce Shopify, qui a révélé les informations personnelles d’environ 270 000 clients. Plus récemment, en 2023, Ledger a été la cible d’un piratage ciblé qui a entraîné le vol de près de 500 000 $ et compromis plusieurs applications de finance décentralisée liées à des comptes compromis. Ces précédents témoignent d’un schéma persistant de vulnérabilités des fournisseurs tiers affectant le fournisseur de portefeuilles matériels, malgré les efforts de Ledger pour maintenir une infrastructure primaire sécurisée.

Implications à l’échelle de l’industrie et précautions pour les utilisateurs

L’incident reflète un défi plus large auquel sont confrontés les fournisseurs de services de cryptomonnaies : les risques de sécurité introduits par l’intégration avec les plateformes de paiement et de commerce électronique grand public. Bien que la conception auto-déposée de Ledger protège les actifs numériques contre toute compromission, les informations personnelles et les historiques transactionnels restent vulnérables lorsqu’ils sont traités par des tiers centralisés. Ledger a exhorté les utilisateurs à rester vigilants et souligne son engagement continu à lutter contre les fraudeurs et les acteurs malveillants qui tentent de compromettre les informations des utilisateurs dans les secteurs des cryptomonnaies et du commerce électronique. L’entreprise continue d’affirmer que, malgré ces vulnérabilités tierces, sa technologie principale de portefeuille matériel et les actifs sécurisés à l’intérieur restent protégés et sous le contrôle des utilisateurs.