Ledger confirme un vol de données qui a exposé ses utilisateurs

Les informations financières sensibles et les actifs cryptés sont en sécurité, assure Ledger

La populaire entreprise de porte-monnaie électronique (Wallet), Ledger, a admis avoir subi une violation de ses bases de données de marketing et de commerce électronique en juin et juillet de cette année.

Dans un article de blog intitulé « Addressing the July 2020 e-commerce and marketing data breach – A Message From Ledger’s Leadership », la société de portefeuille crypto a déclaré qu’elle avait récemment découvert qu’un tiers non autorisé avait eu accès à des bases de données spécifiques fin juin en raison d’une violation.

Ledger a assuré que les informations de paiement des utilisateurs, les crypto-monnaies et autres détails financiers étaient en sécurité et que seules les coordonnées utilisées pour envoyer des courriels promotionnels avaient été compromises.

L’article de blog, publié sur la page officielle de Ledger aujourd’hui, explique que la violation de données a été identifiée par un chercheur travaillant sur le programme de primes de la société au cours de la deuxième semaine de juillet. Une enquête interne sur la violation a révélé un accès non autorisé de tiers à des sections spécifiques des bases de données de commerce électronique et de marketing de Ledger le 25 juin 2020.

Les sections consultées contenaient principalement des adresses électroniques, mais aussi des informations de contact et de commande telles que le nom et le prénom, l’adresse postale, l’adresse électronique et les numéros de téléphone, selon le blog. L’accès non autorisé a été obtenu grâce à une clé API qui a depuis été désactivée, a confirmé Ledger.

Ledger estime qu’environ un million d’adresses électroniques des utilisateurs du portefeuille de crypto-monnaies et des informations supplémentaires d’un sous-ensemble de 9 500 clients ont été exposées en raison de la violation des données. L’entreprise de porte-monnaie électronique a rassuré les utilisateurs sur le fait que la partie non autorisée n’a eu accès à aucune information de paiement ni à aucun justificatif d’identité. Elle a également déclaré que la violation n’avait eu aucun impact sur les portefeuilles matériels de Ledger, la sécurité de Ledger Live et les actifs cryptographiques des utilisateurs, qui sont tous sûrs et n’ont jamais été compromis.

La CNIL, l’autorité française de protection des données, qui veille à ce que la loi sur la protection des données soit appliquée à la collecte, au stockage et à l’utilisation des données personnelles, a été alertée de la violation des données chez Ledger.

La semaine dernière, Ledger s’est associé à Orange Cyberdefense pour évaluer les dommages causés par la violation de données et tenter activement d’identifier tout autre maillon faible qui pourrait conduire à des violations de données à l’avenir.

« Nous sommes extrêmement désolés de cet incident. Nous prenons la protection de la vie privée très au sérieux, nous avons découvert ce problème grâce à notre propre programme de prime aux bugs, nous l’avons corrigé immédiatement. Mais indépendamment de tout ce que nous avons fait pour éviter et corriger cette situation, nous nous excusons sincèrement pour les inconvénients que cette affaire peut vous causer », a déclaré la société.

Ledger recherche également des preuves de la vente de la base de données sur Internet, et n’en a trouvé aucune jusqu’à présent.