Hakeris, iespējams, atbildīgs par virsgrāmatas drošības pārkāpumu jūlijā, nesen izgāza lielu datu daudzumu, atklājot vairāk nekā 270 000 klientu personisko informāciju, tostarp tālruņu numurus un fiziskās adreses. Noplūde ietvēra arī 1 miljonu Ledger maku īpašnieku un klientu e-pastus, kuri bija reģistrējušies uzņēmuma informatīvo izdevumu pakalpojumā..
Starp incidenta izraisītajām dusmām Ledger saka, ka tās uzmanības centrā ir drošības infrastruktūras uzlabošana, nevis lietotāju atlīdzināšana par iespējamiem zaudējumiem. Tikmēr tiek ziņots, ka daži ietekmētie klienti apsver iespēju uzsākt tiesvedību pret uzņēmumu grupas prasības veidā.
Ledger klientu datu noplūde piedāvā arī jaunu barību debatēm pret to, lai tiktu ieviesti vairāk “Iepazīstiet savu klientu” atbilstības protokolus, kuru kritiķi apgalvo, ka šādi pasākumi veicina mērķtiecīgus kiberuzbrukumus, kuru mērķis ir atklāt kritiskus personas datus.
Tika apdraudēta vairāk nekā 270 000 personiskā konta informācija
Kā minēts, hakeris, domājams, ir atbildīgs par Ledger e-komercijas datu bāzes pārkāpšanu vēl jūlijā, un tiešsaistē izmeta tūkstošiem ietekmēto lietotāju personisko informāciju. Uzņēmums sociālajos medijos tika vainots par to, ka tas nenodrošina labāku lietotāju datu aizsardzību un mazina sākotnējā pārkāpuma apmēru. Tajā laikā aparatūras seifa izgatavotājs paziņoja, ka drošības pārkāpums skāra tikai 9500 klientus.
Risinot atšķirības ziņotajā skarto cilvēku skaitā, Ledger izsniegta paziņojums 21. decembrī, kurā teikts, ka noplūde aptvēra vairāk materiālu, nekā to varēja analizēt gada sākumā. Tomēr uzņēmums apstiprināja, ka klientu līdzekļi joprojām ir droši, piebilstot: “Šim datu pārkāpumam nav ne saites, ne ietekmes uz mūsu aparatūras maciņiem, lietotni vai jūsu līdzekļiem. Jūsu kriptogrāfijas aktīvi ir droši. Kaut arī tas ir patiesi un patiesi nožēlojams, šis pārkāpums attiecas tikai uz informāciju, kas saistīta ar e-komerciju. ”
Reaģējot uz incidentu, izmantojot čivināt, virsgrāmatas izpilddirektors Paskāls Gotjē piezīmēja ka noplūde liecināja par pieaugošajiem kiberuzbrukumu draudiem. Parādās Podcast apraidē What Bitcoin Did ar Peter McCormack, Gauthier komentēja par pārkāpuma raksturu, norādot, ka tas radies kļūdas dēļ uzņēmuma e-komercijas kaudzē.
“Tā ir nepareiza API atslēga, kas tika kodēta kartes klientā, lai importētu datu bāzi no veikala, kas tika kodēts nepareizos izvietojumos, tāpēc tika kodēts tur, kur to nevajadzēja kodēt un pakļaut datu bāzei vienkāršu uzbrukumu, ”Paskaidroja Gotjē.
Starp reakcijām uz noplūdi daži kiberdrošības eksperti uzsvēra, ka incidents bija vēl viens rādītājs tam, ka datu bāzes administratori šifrēšanas izvietošanas trūkumā glabā lietotāja datus. Virsgrāmatas izpilddirektors pievērsās API atslēgu šifrēšanas trūkumam, piebilstot, ka tā bija patiesa kļūda, nevis apzināts mēģinājums apdraudēt klientu drošību, neizdarot API atslēgas..
Komentējot noplūdi, Rubens Merre, aparatūras maku ražotāja NGRAVE izpilddirektors, atzīmēja, ka incidents atspoguļo strauju kriptogrāfijas firmu izaugsmi, kas notiek uz drošības apsvērumu rēķina. Viņš piebilda: “Tik daudz tiešsaistes platformu tiek uzlauzts un ne vienmēr hakeru prasmju dēļ. Bieži vien platformām ir slikta drošības pārvaldība, nemaz nerunājot par ieviešanu. ”
‘Scareware’ un citi riska faktori
Datu noplūde ir izraisījusi vēl vienu pikšķerēšanas uzbrukumu kārtu, jo negodīgi dalībnieki, kas tagad ir bruņoti ar virsgrāmatu lietotāju e-pastiem, mēģina maldināt seifa klientus atklāt viņu 24 vārdu sēklas frāzi. Pat pirms datu izgāztuves šādi viltus e-pasta ziņojumi bija regulāri.
Tomēr tālruņu numuru un personīgo adrešu ekspozīcija var atvērt Virsgrāmatas lietotājus vairāk riska faktoriem. Daži lietotāji ir ziņojuši par mēģinājumiem SIM apmainīt uzbrukumus viņu numuriem ar hakeru, iespējams, mēģinot apdraudēt divu faktoru autorizācijas protokolus.
Kripto investori agrāk ir bijuši SIM apmaiņas uzbrukumu mērķi. Vēl jūnijā Ričards Juaņs Li tika apsūdzēts par sazvērestību krāpšanas izdarīšanā saistībā ar vairākiem SIM apmaiņas uzbrukumiem, kuru mērķis bija vairāk nekā 20 personas.
Līdztekus pikšķerēšanas un SIM mijmaiņas darījumiem, datu noplūde arī paver iespēju riska faktoriem pāriet pāri skandāla programmatūrai faktisko fizisko uzbrukumu sfērā. Daži lietotāji, kurus skāris incidents, apgalvo, ka ir saņēmuši draudīgus ziņojumus, pieprasot samaksu vai riskējot ar iespējamu iebrukumu mājās.
Virsgrāmatas izpilddirektors ir atzinis fizisku uzbrukumu iespējamību uzņēmuma pārraudzības rezultātā, kā arī ir pārliecinājis lietotājus, ka viņu aparatūras seifa ierīcēs ir vairāki aizsardzības protokoli, lai pasargātu no līdzekļu zādzībām. Starp šiem drošības pasākumiem ir nepareizu PIN koda ierakstu izmantošana ierīču formatēšanai vai otra parole, kas parāda fiktīvu kontu, īpašnieka faktiskos līdzekļus atstājot drošībā no sliktiem dalībniekiem.
Turklāt vienprātība Drošības ekspertu vidū sociālajos medijos patērētājiem jāizmanto pasta nodaļu adreses vai citas publiskas izņemšanas vietas, nevis viņu faktiskās mājas adreses tādiem sensitīviem priekšmetiem kā Ledger cietais maks. Tiem, kuriem ir apdraudēti tālruņa numuri, vislabākā rīcība šķiet iegūt jaunu numuru un izmantot jaunu e-pasta adresi, lai paziņotu par izmaiņām svarīgiem kontaktiem.
Kamēr ietekmētie klienti turpina risināt noplūdes nokrišanu, Ledger saka, ka tā strādā, lai novērstu nākotnes parādības. Paziņojumā Cointelegraph uzņēmums paziņoja:
“Mēs darām visu iespējamo, lai pārtrauktu šos uzbrukumus un nākotnē izvairītos no šādām situācijām. Virsgrāmatā ir ieviests pasākumu kopums, lai aizsargātu mūsu lietotājus no pikšķerēšanas uzbrukumu upuriem. Mēs esam izveidojuši vietni, kurā koplietota pikšķerēšanas uzbrukumu anatomija, lai lietotāji varētu izvairīties no tiem un ziņot par visiem jauniem uzbrukumiem. ”
Ietekmētie lietotāji draud ar tiesvedību
Daži ietekmētie lietotāji sāka tiesvedību pret virsgrāmatu tūlīt pēc ziņotās noplūdes. Reddit platformā ir pat apakšgrāmata “Ledger wallet noplūde”, kurā lietotāji apspriež iespējamās klases prasības prasības prasības.
Ar galveno mītni Parīzē uz virsgrāmatu attiecas Eiropas Savienības likumi. Novembrī Eiropas Parlaments pieņemts likumdošanas grozījumi, kas ļaus ES klientiem nākamo divu gadu laikā ierosināt tiesas procesu pret uzņēmumiem, kas darbojas reģionā.
Saskaņā ar toreizējo nolēmumu, tiklīdz tas ir pieņemts likumā, pret ES uzņēmumiem, kas darbojas ES, var iesniegt tiesas procesu par lietām, kas saistītas ar finanšu pakalpojumiem, tūrismu un datu aizsardzību, cita starpā.
Virsgrāmatas ES klientiem būs nepieciešama kvalificēta patērētāju tiesību aizsardzības iestāde vai kāda cita atzīta struktūra, kas pārstāv sūdzības iesniedzējus. Tomēr, atšķirībā no ASV likumiem, soda atlīdzība no ES grupas prasības tiek ierobežota ar faktiskajiem zaudējumiem, kas radušies prasītāju klasei.
Papildus tam, ka klienti iesniedz prasību pret uzņēmumu, datu noplūde var arī būt privātuma pārkāpums Eiropas regulatoru acīs, īpaši saskaņā ar ES Vispārīgo datu aizsardzības regulu. Šādās situācijās ES ir iespēja sodīt Ledger līdz 4% no saviem ieņēmumiem.
Patiešām, ja Ledger izpilddirektors ir pieļāvis, ka uzņēmums nepareizi anonimizē lietotāju datus, uzņēmums varētu nonākt ES amatpersonu uzraudzībā. GDPR 26. apsvērums pilnvaras visiem uzņēmumiem, lai nodrošinātu pilnīgu visas informācijas noņemšanu, kas var identificēt lietotājus no saglabāto vai apstrādāto datu kešatmiņas.