Une fuite de données du grand livre relance les alertes concernant les fournisseurs tiers

La société fournisseur de matériel de stockage de crypto-monnaie, Ledger, a confirmé un incident de fuite de données qui a affecté certains de ses utilisateurs. Dans la matinée de ce lundi, un accès non autorisé contre Global-e, un fournisseur externe de solutions de paiement qui fournit des services à l'entreprise, a été connu. Cet incident a permis d'exposer des informations liées aux commandes des clients.

Dans une publication sur X, le chercheur en sécurité ZachXBT a signalé l'incident et assuré que les noms et autres données personnelles des utilisateurs avaient été compromis. La société de portefeuille non dépositaire a ensuite informé ses clients de la situation, mais sans détailler les principaux aspects de l'ampleur du problème.

Par exemple, la communication envoyée ne précisait pas le nombre exact d’utilisateurs concernés ni n’énumérait précisément les types de données personnelles exposées. De même, la date exacte à laquelle la fuite s'est produite n'a pas été précisée. Selon les informations disponibles, l'incident aurait également révélé des données limitées liées aux commandes passées.

D'autre part, Ledger a souligné qu'à aucun moment la fuite n'a compromis les clés privées des utilisateurs. Les portefeuilles, appareils et phrases de récupération ne sont pas partagés avec des fournisseurs tiers et restent donc totalement sécurisés. Par conséquent, la société a déclaré qu’il n’y avait eu aucune perte de fonds associée à l’incident.

La société a également indiqué que l'activité irrégulière avait été rapidement détectée et bloquée en peu de temps, ce qui aurait limité l'ampleur de la fuite.

Ledger ouvre une enquête après un incident de fuite

Après avoir confirmé l'épisode, Ledger a indiqué avoir lancé une enquête pour clarifier tous les détails de l'affaire. Dans ce processus, l'entreprise a fait appel à des équipes médico-légales externes dans le but de déterminer l'origine, la motivation et l'ampleur réelle de la fuite.

Pour l’instant, l’entreprise insiste sur le fait que son système central n’a pas été affecté. Les données liées aux commandes et aux paiements sont gérées par des prestataires externes, mais ceux-ci n'ont pas accès aux informations sensibles comme les phrases de récupération ou les clés privées, souligne le cabinet.

Il convient de noter que ce n'est pas la première fois que des données gérées par des tiers liées à Ledger sont exposées. En avril de l'année dernière, l'entreprise a signalé un incident similaire lié à un fournisseur qui a subi un accès non autorisé.

Ces antécédents ont suscité des inquiétudes au sein de la communauté. En juin 2020, des pirates ont eu accès à la base de données marketing de l'entreprise en raison d'une configuration incorrecte d'une interface gérée par un fournisseur tiers.

La répétition de ce type d'épisode relance le débat sur la protection des renseignements personnels. Selon ZachXBT, l'une des meilleures pratiques pour réduire les risques consiste à fournir le moins de données personnelles possible lors de l'achat d'un portefeuille matériel.

Le niveau d'informations partagées avec des fournisseurs tiers est directement lié à l'exposition aux attaques de phishing. Même l’utilisation de pseudonymes ou de données minimales peut contribuer à réduire le lien entre les identités personnelles et les adresses associées aux fonds dans ce type d’incidents.

En rapport