El archivo de clientes de Ledger se filtró dos veces en 2020; la CNIL le impuso una multa de 750.000 € en 2024

Ledger, el fabricante parisino de carteras de hardware que protegen las criptomonedas de sus clientes, nunca sufrió el robo de sus bóvedas, pero sí de sus archivos de clientes. Entre mayo y junio de 2020, dos piratas informáticos obtuvieron el archivo de comercio electrónico de unos 290.000 compradores a través de la tienda Shopify de Ledger: nombres, números de teléfono, correos electrónicos y direcciones físicas. En junio, un segundo incidente, atribuido a un fallo de clave de API, expuso a alrededor de un millón de suscriptores del boletín.

El archivo de compradores se estaba vendiendo de forma privada en agosto de 2020 y, en diciembre de 2020, se publicó gratuitamente en el foro de piratería RaidForums: archivos que listaban 1.075.382 correos electrónicos del boletín y 272.853 compradores de dispositivos con nombres, direcciones postales y números de teléfono. Poseer una cartera de hardware te identifica como alguien que tiene criptomonedas, por lo que las direcciones se convirtieron en datos para la selección de objetivos. Los propietarios fueron bombardeados con correos electrónicos de phishing que contenían aplicaciones falsas de Ledger Live que recopilaban frases de recuperación, y los estafadores enviaron posteriormente por correo dispositivos de reemplazo falsificados con cartas que suplantaban la identidad del CEO de Ledger.

Alrededor de cincuenta clientes se quejaron ante la CNIL francesa. En octubre de 2024, el regulador sancionó a Ledger por incumplir dos obligaciones del RGPD: cuánto tiempo conservaba los datos de los clientes y cómo se protegían esos datos. The Big Whale reveló la multa de 750.000 € y la CNIL la confirmó a ese medio; la decisión en sí no se publicó. Ledger confirmó la sanción, subrayando que sus productos de custodia nunca estuvieron expuestos y que el incidente solo afectó a su actividad de comercio electrónico.

Una multa reportada de 750.000 € por fallos de conservación y seguridad; las direcciones particulares de 290.000 compradores circularon durante años en foros de piratas informáticos.

Para un fabricante de carteras, la dirección particular de un comprador son datos para la selección de objetivos: la filtración alimentó años de phishing, envíos de dispositivos falsos e intentos de extorsión contra precisamente las personas con más probabilidades de tener criptomonedas.

La duración de la conservación fue uno de los dos fallos del RGPD señalados: los datos de clientes conservados mucho después de haber perdido su valor comercial son una responsabilidad pura.

La seguridad fue el otro: un archivo de la tienda accesible a través de Shopify y una clave de API que filtraba son superficies de ataque ordinarias que los reguladores esperan que se refuercen.

Una vez robados, los datos de una brecha tienen una larga vida comercial: vendidos de forma privada en dos meses, publicados gratuitamente en seis, y todavía en circulación cuando llegó la multa cuatro años después.

Para una empresa de seguridad, el archivo de clientes también es una superficie de seguridad. Las direcciones particulares de las personas que poseen bóvedas son datos para la selección de objetivos: conserva solo lo que necesitas y protege lo que conservas.

Los dos piratas informáticos responsables del archivo de comercio electrónico fueron detenidos, como reveló The Big Whale en marzo de 2023; el pirata de la clave de API no lo fue. Ledger confirmó la sanción y mantiene una página pública que hace seguimiento de las campañas de phishing que todavía se dirigen a sus clientes. La CNIL no publicó su decisión, pero dijo que cualquiera que alegue daños puede llevar a la empresa a los tribunales. Las estafas evolucionaron del correo electrónico al correo postal: se enviaron por correo dispositivos Nano falsificados con cartas que suplantaban la identidad del CEO e instaban a los compradores a cambiarse a un reemplazo que entregaría sus criptomonedas; la brecha se repitió a través de los buzones de los clientes.