Ledger Confirma Exposição de Dados de Clientes Através do Processador de Pagamentos Global-e

Fonte: CryptoTale Título Original: Ledger Confirma Exposição de Dados de Clientes Através dos Sistemas Global-e Link Original:

Visão Geral

• Acesso não autorizado na Global-e expôs nomes de clientes Ledger e detalhes de contacto.
• Ledger confirma que frases de recuperação de fundos ou chaves privadas de carteiras não foram acessadas.
• Especialistas em segurança alertam que dados de contacto vazados aumentam os riscos de phishing e fraudes.

Detalhes do Incidente

O fabricante de carteiras de hardware Ledger está a lidar com uma nova exposição de dados após um acesso não autorizado ocorrer nos sistemas do seu processador de pagamentos de terceiros, Global-e. O incidente envolveu detalhes pessoais dos clientes, como nomes e informações de contacto, retirados da infraestrutura cloud da Global-e. Não há indicação de que fundos de carteiras, chaves privadas ou frases de recuperação tenham sido comprometidos em qualquer momento.

A Global-e notificou os clientes afetados por email, afirmando que detectou atividade incomum numa parte do seu ambiente cloud e iniciou uma investigação. A mensagem não revelou quantos clientes Ledger foram impactados ou o momento exato da exploração. A notificação circulou publicamente pela primeira vez após ser partilhada pelo investigador de blockchain ZachXBT nas redes sociais.

Ledger confirmou o incidente, afirmando que a violação ocorreu inteiramente dentro dos sistemas da Global-e. A empresa afirmou que a Global-e atuou como controlador de dados e, portanto, emitiu as notificações aos clientes.

Violação por Terceiros Confirmada

A Global-e afirmou que identificou atividade irregular e aplicou rapidamente controlos de segurança para conter o problema. A empresa então contratou especialistas forenses externos para revisar o incidente em detalhe.

Essa revisão confirmou acesso indevido a um conjunto limitado de dados pessoais dos clientes. A Global-e informou aos clientes que os investigadores confirmaram que “alguns dados pessoais, incluindo nome e informações de contacto, foram acessados indevidamente.” A declaração não fez referência a detalhes de pagamento ou credenciais de autenticação.

Mais tarde, a Ledger confirmou esses resultados. A empresa afirmou que o acesso não autorizado afetou dados de pedidos armazenados nos sistemas de informação da Global-e. A Ledger reiterou que o incidente não afetou a sua infraestrutura interna, dispositivos ou aplicações.

Resposta da Ledger e Escopo de Segurança

A Ledger destacou que os seus produtos de autocustódia permanecem inalterados pelo incidente.

A empresa esclareceu que a Global-e não pode aceder às frases de recuperação, saldos de carteiras ou segredos de ativos digitais. A Ledger afirmou que os seus sistemas de hardware e software continuam a operar normalmente.

“Este não foi uma violação da plataforma, hardware ou sistemas de software da Ledger”, afirmou a empresa.

Adicionou ainda que a Global-e apenas processou informações de compra e pedidos relacionadas com clientes que compraram através do Ledger.com. A empresa também explicou por que a Global-e contactou diretamente os clientes. A Ledger afirmou que a Global-e controlava os dados afetados e, portanto, tinha responsabilidade pelas notificações de violação. Até à data de publicação, nenhuma das empresas divulgou uma estimativa do número de clientes afetados.

Contexto Histórico e Riscos Contínuos

O incidente sucede a vários eventos de segurança anteriores envolvendo a Ledger. Em junho de 2020, uma API de terceiros mal configurada expôs dados de marketing e comércio eletrónico. Essa violação vazou aproximadamente um milhão de endereços de email e dados de contacto detalhados de 9.500 clientes.

Em 2023, atacantes exploraram uma biblioteca de software comprometida ligada à Ledger. O ataque drenou entre $484.000 e $600.000 em criptomoedas em cinco horas.

Especialistas em segurança continuam a alertar que dados de contacto vazados podem alimentar ataques de engenharia social mesmo sem acesso às carteiras. Alguns recomendam usar informações de contacto mínimas ou alternativas ao comprar carteiras de hardware para reduzir a eficácia de ataques de phishing direcionados caso bases de dados sejam expostas.