Ledger 的客戶檔案在 2020 年兩度外洩——CNIL 於 2024 年對其處以 75 萬歐元罰款

總部位於巴黎的 Ledger 生產用於保護客戶加密資產的硬體錢包，其金庫從未被攻破——但客戶檔案卻遭竊取。2020 年 5 月至 6 月間，兩名駭客透過 Ledger 的 Shopify 店面取得約 29 萬名買家的電子商務檔案：姓名、電話號碼、電子郵件與實際地址。6 月又發生第二起事件，被歸因於 API 金鑰漏洞，導致約 100 萬名電子報訂閱者的資料外洩。

買家檔案在 2020 年 8 月已遭私下販售，並於 2020 年 12 月被免費公開在 RaidForums 駭客論壇上：檔案列出 1,075,382 個電子報電子郵件地址，以及 272,853 名裝置買家的姓名、郵寄地址與電話號碼。擁有硬體錢包意味著你持有加密資產，因此這些地址成了鎖定目標的資料。持有者遭到大量網路釣魚電子郵件轟炸，這些郵件夾帶偽造的 Ledger Live 應用程式，用以蒐集復原詞組；詐騙者後來還寄送偽造的替換裝置，並附上冒充 Ledger 執行長的信件。

約有五十名客戶向法國 CNIL 投訴。2024 年 10 月，該監管機構因 Ledger 違反兩項 GDPR 義務而對其作出處分——客戶資料的保存期限，以及該資料的保護方式。這筆 75 萬歐元罰款由 The Big Whale 披露，並經 CNIL 向該媒體證實；裁決本身並未公布。Ledger 證實了這項處分，並強調其託管產品從未外洩，該事件僅涉及其電子商務活動。

據報導，因保存與安全方面的缺失而被處以 75 萬歐元罰款；29 萬名買家的住家地址在駭客論壇上流傳多年。

對錢包製造商而言，買家的住家地址就是鎖定目標的資料：這起外洩事件助長了多年的網路釣魚、寄送偽造裝置與勒索企圖，而對象正是最可能持有加密資產的人。

保存期限是兩項被指名的 GDPR 缺失之一——客戶資料在商業價值消失後仍長期保存，純粹是負擔。

安全則是另一項：可透過 Shopify 存取的店面檔案，以及外洩的 API 金鑰，都是監管機構期望應予強化的普通攻擊面。

外洩資料一旦被竊，便具有漫長的商業壽命：兩個月內遭私下販售，六個月內被免費公開，而在罰款於四年後落地時仍在流通。

對一家安全公司而言，客戶檔案同樣是安全面。擁有金庫者的住家地址就是鎖定目標的資料——只保留你需要的，並保護你所保留的。

如 The Big Whale 於 2023 年 3 月披露，電子商務檔案背後的兩名駭客已被逮捕；API 金鑰的駭客則未落網。Ledger 證實了這項處分，並維持一個公開頁面，追蹤仍以其客戶為目標的網路釣魚活動。CNIL 未公布其裁決，但表示任何主張受損者均可將該公司告上法院。詐騙手法從電子郵件演變為郵寄：偽造的 Nano 裝置被寄出，並附上冒充執行長的信件，催促買家改用替換裝置，而這將交出他們的加密資產——這起外洩事件透過客戶的信箱再次上演。