- Un accès non autorisé chez Global-e a exposé les noms et coordonnées des clients de Ledger.
- Ledger confirme que les phrases de récupération ou les clés privées des portefeuilles n'ont pas été consultées.
- Les experts en sécurité avertissent que la fuite de données de contact augmente les risques de phishing et d'escroqueries.
Le fabricant de portefeuilles matériels Ledger fait face à une nouvelle exposition de données après un accès non autorisé survenu dans les systèmes de son prestataire de paiement tiers Global-e. L’incident implique des informations personnelles de clients telles que les noms et les coordonnées, extraites de l’infrastructure cloud de Global-e. Rien n’indique que les fonds des portefeuilles, les clés privées ou les phrases de récupération aient été compromis à aucun moment.
Global-e a informé les clients concernés par email, précisant avoir détecté une activité inhabituelle dans une partie de son environnement cloud et avoir lancé une enquête. Le message ne précise ni le nombre de clients Ledger touchés, ni la date exacte de l’exploitation. La notification a été rendue publique après avoir été partagée par l’enquêteur blockchain ZachXBT sur X.
Ledger a confirmé l’incident, précisant que la brèche s’est produite entièrement au sein des systèmes de Global-e. L’entreprise a indiqué que Global-e agissait en tant que responsable du traitement des données et a donc émis les notifications aux clients.
Violation par un tiers confirmée par Global-e
Global-e a déclaré avoir identifié une activité irrégulière et appliqué rapidement des mesures de sécurité pour contenir le problème. L’entreprise a ensuite fait appel à des spécialistes externes en criminalistique pour examiner l’incident en détail.
Cette analyse a confirmé un accès non autorisé à un nombre limité de données personnelles de clients.
Dans son email, Global-e a informé ses clients : “Nous avons mandaté des experts indépendants en criminalistique pour mener une enquête sur l’incident.” Elle a ajouté que les enquêteurs avaient confirmé que “certaines données personnelles, dont le nom et les coordonnées, ont été consultées de manière inappropriée.” Le communiqué ne fait pas mention des informations de paiement ou des identifiants d’authentification.
Ledger a ensuite confirmé ces constats. L’entreprise a indiqué que l’accès non autorisé avait concerné les données de commande stockées dans les systèmes d’information de Global-e. Ledger a répété que l’incident n’a pas affecté son infrastructure interne, ses appareils ou ses applications.
Réponse de Ledger et périmètre de sécurité
Ledger a insisté sur le fait que ses produits d’auto-conservation restent intacts suite à l’incident.
L’entreprise a précisé que Global-e n’a pas accès aux phrases de récupération, aux soldes des portefeuilles ou aux secrets liés aux actifs numériques. Ledger a affirmé que ses systèmes matériels et logiciels continuent de fonctionner normalement.
« Il ne s’agissait pas d’une violation de la plateforme Ledger, ni de ses systèmes matériels ou logiciels », a déclaré l’entreprise.
Elle a ajouté que Global-e traitait uniquement les informations relatives aux achats et commandes pour les clients passant par Ledger.com. Les canaux sociaux de Ledger ne signalent actuellement aucun incident de sécurité actif.
L’entreprise a également expliqué pourquoi Global-e a contacté directement les clients. Ledger a indiqué que Global-e contrôlait les données concernées et était donc responsable des notifications de violation. À la date de publication, aucune des deux sociétés n’a communiqué d’estimation quant au nombre de clients affectés.
À lire aussi : Le CTO de Ledger met en garde les détenteurs de portefeuilles après un piratage de compte NPM
Violations passées et risques persistants
L’incident fait suite à plusieurs événements de sécurité ayant impliqué Ledger. En juin 2020, une API tierce mal configurée avait exposé des données marketing et e-commerce. Cette brèche avait révélé environ un million d’adresses emails et des données de contact détaillées pour 9 500 clients.
En 2023, des attaquants ont exploité une bibliothèque logicielle compromise liée à Ledger. L’attaque a permis de détourner entre 484 000 $ et 600 000 $ en cryptomonnaies en cinq heures. Les applications concernées comprenaient SushiSwap, Zapper, MetalSwap et Harvest Finance.
ZachXBT a par la suite suggéré aux clients d’utiliser des coordonnées minimales ou alternatives lors de l’achat de portefeuilles matériels. Cette approche vise à réduire l’efficacité des attaques de phishing ciblées en cas d’exposition de bases de données. Les experts en sécurité continuent d’avertir que la fuite de données de contact peut alimenter des attaques d’ingénierie sociale même sans accès au portefeuille.
