Ledger客户档案在2020年两次泄露——CNIL于2024年对其处以75万欧元罚款

总部位于巴黎的Ledger生产用于保护客户加密资产的硬件钱包，其金库从未被攻破——但客户档案却遭到了入侵。2020年5月至6月间，两名黑客通过Ledger的Shopify店铺前台获取了约29万名买家的电商档案：姓名、电话号码、邮箱地址和实际住址。6月，第二起事件被归因于API密钥漏洞，导致约100万名新闻订阅用户的信息泄露。

到2020年8月，买家档案已在私下出售；2020年12月，这些数据被免费公开在RaidForums黑客论坛上：文件列出了1,075,382个新闻订阅邮箱和272,853名设备买家的姓名、邮寄地址和电话号码。拥有硬件钱包意味着你持有加密资产，因此这些地址成了攻击目标数据。用户遭到大量钓鱼邮件轰炸，邮件中携带伪造的Ledger Live应用以窃取助记词；诈骗者后来还邮寄了假冒的替换设备，并附上冒充Ledger首席执行官的信件。

约五十名客户向法国CNIL投诉。2024年10月，监管机构以违反两项GDPR义务为由对Ledger作出处罚——客户数据的保留时长以及数据的安全保障方式。75万欧元罚款由The Big Whale披露，CNIL向该媒体确认了此事；处罚决定本身并未公布。Ledger确认了该处罚，并强调其托管产品从未暴露，该事件仅涉及其电商业务。

据报道，因数据保留和安全方面的失职被处以75万欧元罚款；29万名买家的家庭住址在黑客论坛上流传多年。

对于钱包制造商而言，买家的家庭住址就是攻击目标数据：此次泄露助长了长达数年的钓鱼攻击、假冒设备邮寄和勒索企图，而目标恰恰是最可能持有加密资产的人群。

数据保留时长是两项被点名的GDPR违规之一——在商业价值早已消失后仍保留客户数据，纯属负担。

安全是另一项：可通过Shopify访问的店铺前台文件和泄露的API密钥都是监管机构期望加以加固的常见攻击面。

泄露数据一旦被盗，便具有漫长的商业生命周期：两个月内被私下出售，六个月内被免费公开，四年后罚款落地时仍在流传。

对一家安全公司而言，客户档案同样是安全面。拥有金库的人的家庭住址就是攻击目标数据——只保留你需要的数据，并保护好你所保留的数据。

据The Big Whale于2023年3月披露，电商档案背后的两名黑客已被逮捕；API密钥黑客则未被抓获。Ledger确认了处罚，并维护着一个公开页面，追踪仍在针对其客户的钓鱼活动。CNIL未公布其决定，但表示任何声称受到损害的人都可以将该公司告上法庭。诈骗手段从电子邮件演变为邮寄：假冒的Nano设备被寄出，附有冒充首席执行官的的信件，催促买家更换设备，而这一更换将交出他们的加密资产——此次泄露通过客户的信箱再次上演。