Никогда такого не было, и вот опять. Данные пользователей Ledger снова утекли (но есть нюанс)

Ledger предупредила часть покупателей о возможной утечке их персональных данных из-за взлома у партнёра, платёжного сервиса Global-e, который обслуживает оформление заказов на сайте Ledger.com. При этом сама инфраструктура Ledger, по словам компании, не пострадала, а аппаратные и программные продукты остаются в безопасности.

Компания поясняет, что инцидент затронул клиентов, которые оформляли покупку на Ledger.com через Global-e, выступавшую в роли так называемого Merchant of Record, то есть платёжного и юридического посредника в сделке. В Ledger подчёркивают, что речь идёт не о взломе их сети, а о компрометации данных, которые хранились у стороннего обработчика заказов.

По данным Ledger, злоумышленники получили доступ к информации о заказах, находившейся в системах Global-e. В результате могли быть раскрыты имена и контактные данные покупателей. При этом финансовая информация, как утверждает Ledger, в утечку не попала.

О ситуации стало известно широкой аудитории после того, как исследователь ZachXBT опубликовал предупреждение для сообщества и показал письмо-уведомление о случившемся. Важно, что это уведомление было отправлено именно Global-e, а не Ledger.

Global-e занимается оформлением платежей и заказов для множества интернет-магазинов и брендов. Платформа берёт на себя расчёт налогов и пошлин, локализацию и проверку соблюдения требований, поэтому ей приходится хранить данные, связанные с заказами. Среди клиентов Global-e называют, в частности, adidas, Disney, Hugo Boss, Ralph Lauren, Michael Kors и Netflix.

Ledger отдельно акцентирует внимание на том, чего в руках атакующих быть не могло. Ни Global-e, ни сама Ledger не хранят и не получают доступ к 24 словам seed-фразы, которая открывает кошелёк, а также не имеют доступа к балансу в блокчейне или к любым секретам, связанным с цифровыми активами. То есть взлом не означает автоматический риск потери криптовалюты, если пользователь сам не отдаст злоумышленникам ключевую информацию.

Тем не менее компания предупреждает о другом сценарии. Получив имена и контакты клиентов, злоумышленники могут попытаться заманить людей на фишинговые страницы под видом поддержки или официальных уведомлений, выманивая seed-фразу или passphrase. Ledger просит сохранять бдительность, не сообщать никому свои 24 слова и по возможности подтверждать операции так, чтобы точно понимать, что именно подписывается.

Global-e сообщила, что после обнаружения подозрительной активности в облачной среде быстро изолировала и защитила затронутые системы. Компания утверждает, что платёжные данные и учётные данные аккаунтов не были скомпрометированы. Сейчас Global-e уведомляет потенциально пострадавших пользователей и соответствующие регуляторы напрямую.

Ledger отмечает, что затронутые пользователи получат отдельное сообщение от Global-e с деталями о влиянии инцидента. Если нужно больше информации, компания рекомендует обращаться именно в Global-e, поскольку утечка произошла на стороне платёжного партнёра.