Le fichier client de Ledger a fuité deux fois en 2020 — la CNIL l'a sanctionné de 750 000 € en 2024

Ledger, fabricant parisien de portefeuilles matériels qui protègent les cryptomonnaies de ses clients, n'a jamais vu ses coffres forcés — mais ses fichiers clients, si. Entre mai et juin 2020, deux pirates ont extrait le fichier e-commerce d'environ 290 000 acheteurs via la boutique Shopify de Ledger : noms, numéros de téléphone, adresses e-mail et adresses physiques. En juin, un second incident, attribué à une faille de clé API, a exposé environ un million d'abonnés à la newsletter.

Le fichier des acheteurs était vendu en privé dès août 2020, et en décembre 2020 il a été diffusé gratuitement sur le forum de piratage RaidForums : des fichiers listant 1 075 382 e-mails de newsletter et 272 853 acheteurs d'appareils avec noms, adresses postales et numéros de téléphone. Posséder un portefeuille matériel vous désigne comme quelqu'un qui détient des cryptomonnaies ; les adresses sont donc devenues des données de ciblage. Les propriétaires ont été bombardés d'e-mails de phishing contenant de fausses applications Ledger Live qui récoltaient les phrases de récupération, et des escrocs ont ensuite envoyé par la poste de faux appareils de remplacement accompagnés de lettres usurpant l'identité du PDG de Ledger.

Une cinquantaine de clients ont déposé plainte auprès de la CNIL. En octobre 2024, le régulateur a sanctionné Ledger pour manquement à deux obligations du RGPD — la durée de conservation des données clients et la sécurisation de ces données. L'amende de 750 000 € a été révélée par The Big Whale et confirmée par la CNIL à ce média ; la décision elle-même n'a pas été publiée. Ledger a confirmé la sanction, en soulignant que ses produits de conservation n'ont jamais été exposés et que l'incident ne concernait que son activité e-commerce.

Une amende rapportée de 750 000 € pour des manquements à la conservation et à la sécurité ; les adresses personnelles de 290 000 acheteurs ont circulé sur des forums de pirates pendant des années.

Pour un fabricant de portefeuilles, l'adresse personnelle d'un acheteur est une donnée de ciblage : la fuite a alimenté des années de phishing, d'envois de faux appareils et de tentatives d'extorsion visant précisément les personnes les plus susceptibles de détenir des cryptomonnaies.

La durée de conservation était l'un des deux manquements au RGPD identifiés — des données clients conservées bien après avoir perdu toute valeur commerciale ne sont qu'un passif.

La sécurité était l'autre : un fichier de boutique accessible via Shopify et une clé API qui fuit sont des surfaces d'attaque ordinaires que les régulateurs attendent de voir durcies.

Une fois volées, les données d'une violation ont une longue vie commerciale : vendues en privé en deux mois, publiées gratuitement en six, et toujours en circulation lorsque l'amende est tombée quatre ans plus tard.

Pour une entreprise de sécurité, le fichier client est aussi une surface de sécurité. Les adresses personnelles de personnes qui possèdent des coffres sont des données de ciblage — ne conservez que ce dont vous avez besoin et protégez ce que vous conservez.

Les deux pirates à l'origine du fichier e-commerce ont été arrêtés, comme l'a révélé The Big Whale en mars 2023 ; le pirate de la clé API ne l'a pas été. Ledger a confirmé la sanction et tient une page publique recensant les campagnes de phishing qui ciblent encore ses clients. La CNIL n'a pas publié sa décision mais a indiqué que toute personne invoquant un préjudice peut saisir la justice contre l'entreprise. Les escroqueries ont évolué de l'e-mail vers le courrier : de faux appareils Nano envoyés par la poste avec des lettres usurpant l'identité du PDG incitaient les acheteurs à passer à un appareil de remplacement qui livrerait leurs cryptomonnaies — la violation rejouée dans les boîtes aux lettres des clients.