Ledgerの顧客ファイルが2020年に2度流出 — CNILは2024年に75万ユーロの制裁金

顧客の暗号資産を守るハードウェアウォレットを製造するパリ拠点のLedgerは、金庫を破られたことは一度もなかった — しかし顧客ファイルは破られた。2020年5月から6月にかけて、2人のハッカーがLedgerのShopifyストアフロントを通じて約29万人の購入者の電子商取引ファイルを引き出した。氏名、電話番号、メールアドレス、そして物理的な住所である。6月には、APIキーの欠陥に起因するとされる2件目のインシデントが発生し、約100万人のニュースレター購読者が露出した。

購入者ファイルは2020年8月までに非公開で販売され、2020年12月にはRaidForumsハッキングフォーラムで無料で公開された。1,075,382件のニュースレターメールアドレスと、氏名・郵送先住所・電話番号を含む272,853人のデバイス購入者のファイルである。ハードウェアウォレットを所有していることは暗号資産を保有している人物であることを示すため、住所は標的化データとなった。所有者たちは、リカバリーフレーズを収集する偽のLedger Liveアプリを載せたフィッシングメールを浴びせられ、その後詐欺師たちはLedgerのCEOを装った手紙を添えた偽の交換用デバイスを郵送した。

約50人の顧客がフランスのCNILに苦情を申し立てた。2024年10月、規制当局は顧客データの保持期間とそのデータの保護方法という2つのGDPR義務違反でLedgerを制裁した。75万ユーロの制裁金はThe Big Whaleによって明らかにされ、CNILが同メディアに確認した。決定自体は公表されていない。Ledgerは制裁を認め、自社のカストディ製品は一切露出しておらず、インシデントは電子商取引活動のみに関わるものだと強調した。

保持とセキュリティの不備に対して報じられた75万ユーロの制裁金。29万人の購入者の自宅住所が何年にもわたりハッカーフォーラムで出回った。

ウォレットメーカーにとって、購入者の自宅住所は標的化データである。この流出は、まさに暗号資産を保有している可能性が最も高い人々に対して、長年にわたるフィッシング、偽デバイスの郵送、恐喝の試みを供給した。

保持期間は、名指しされた2つのGDPR違反のうちの1つだった — 商業的価値が失われた後も長く保持される顧客データは、純粋な負債である。

もう1つはセキュリティだった。Shopifyを通じて到達可能なストアフロントのファイルと、漏えいするAPIキーは、規制当局が強化を期待するありふれた攻撃面である。

ひとたび盗まれると、侵害データは長い商業的寿命を持つ。2か月以内に非公開で販売され、6か月以内に無料で公開され、制裁金が下りた4年後にもなお流通していた。

セキュリティ企業にとって、顧客ファイルもまたセキュリティの対象面である。金庫を所有する人々の自宅住所は標的化データである — 必要なものだけを保持し、保持するものは守ること。

電子商取引ファイルに関わった2人のハッカーは逮捕されたと、The Big Whaleが2023年3月に明らかにした。APIキーのハッカーは逮捕されていない。Ledgerは制裁を認め、今なお顧客を標的にしているフィッシングキャンペーンを追跡する公開ページを維持している。CNILは決定を公表しなかったが、損害を主張する者は誰でも同社を裁判所に訴えることができると述べた。詐欺はメールから郵便へと進化した。CEOを装った手紙を添えた偽のNanoデバイスが郵送され、購入者に、暗号資産を引き渡すことになる交換用デバイスへの切り替えを促した — 侵害は顧客の郵便受けを通じて再演された。