كشف “ خطأ بسيط ” مشتري محفظة تشفير 270 ألفًا

المخترق المسؤول المحتمل عن خرق ليدجر الأمني ​​في يوليو قد ألقى مؤخرًا كمية كبيرة من البيانات التي تكشف المعلومات الشخصية لأكثر من 270 ألف عميل ، بما في ذلك أرقام الهواتف والعناوين المادية. شمل التسريب أيضًا مليون رسالة بريد إلكتروني لمالكي محفظة ليدجر وعملاء تم تسجيلهم في خدمة الرسائل الإخبارية للشركة.

وسط الضجة التي سببها الحادث ، يقول ليدجر إن تركيزه ينصب على تحسين البنية التحتية الأمنية بدلاً من تعويض المستخدمين عن أي خسائر قد تحدث. وفي الوقت نفسه ، أفيد أن بعض العملاء المتأثرين يفكرون في اتخاذ إجراءات قانونية ضد الشركة في شكل دعوى جماعية.

كما يوفر تسريب بيانات العملاء في دفتر الأستاذ دعماً جديداً للنقاش ضد تنفيذ المزيد من بروتوكولات امتثال اعرف عميلك ، والتي يجادل منتقدوها بأن مثل هذه الإجراءات تشجع الهجمات الإلكترونية المستهدفة التي تهدف إلى كشف البيانات الشخصية الهامة.

تم اختراق أكثر من 270،000 من تفاصيل الحساب الشخصي

كما ذكرنا سابقًا ، المخترق الذي يُفترض أنه مسؤول عن اختراق قاعدة بيانات التجارة الإلكترونية ليدجر في يوليو قد ألقى بالمعلومات الشخصية لآلاف المستخدمين المتأثرين عبر الإنترنت. تم إلقاء اللوم على الشركة على وسائل التواصل الاجتماعي لعدم توفير حماية أفضل لبيانات المستخدم والتقليل من حجم الاختراق الأولي. في ذلك الوقت ، أعلنت الشركة المصنعة لمحفظة الأجهزة أن 9500 عميل فقط تأثروا بالخرق الأمني.

لمعالجة التفاوت في عدد الأشخاص المتأثرين المبلغ عنه ، أصدر ليدجر بيانًا في 21 ديسمبر يعلن أن التسرب غطى مواد أكثر مما كان قادرًا على تحليله في وقت سابق من العام. ومع ذلك ، أكدت الشركة أن أموال العملاء ظلت آمنة ، مضيفة: “لا يوجد ارتباط ولا تأثير لخرق البيانات هذا على محافظ أجهزتنا أو التطبيق أو أموالك. أصول التشفير الخاصة بك آمنة. في حين أنه أمر مؤسف للغاية وبصدق ، فإن هذا الخرق يتعلق فقط بالمعلومات المتعلقة بالتجارة الإلكترونية “.

رداً على الحادث عبر Twitter ، الرئيس التنفيذي لشركة Ledger ، باسكال غوتييه لاحظ أن التسريب كان مؤشرا على التهديد المتزايد للهجمات الإلكترونية. تظهر على ما فعلته البيتكوين podcast مع Peter McCormack ، علق Gauthier على طبيعة الخرق ، مشيرًا إلى أنه كان نتيجة خطأ في مكدس التجارة الإلكترونية للشركة.

“إنه مفتاح API خاطئ تم ترميزه على عميل الخريطة لاستيراد قاعدة البيانات من المتجر الذي تم ترميزه في المواضع الخاطئة ، وبالتالي ، تم ترميزه حيث لا ينبغي ترميزه وعرض قاعدة البيانات لهجوم بسيط ، وأوضح غوتييه.

وسط ردود الفعل على التسرب ، أبرز بعض خبراء الأمن السيبراني أن الحادث كان مؤشرًا آخر على عدم نشر التشفير من قبل مسؤولي قواعد البيانات في تخزين بيانات المستخدم. عالج الرئيس التنفيذي لشركة Ledger نقص التشفير على مفاتيح API ، مضيفًا أنه كان خطأً صريحًا وليس محاولة متعمدة لتهديد سلامة العملاء من خلال الفشل في تجزئة مفاتيح API.

وتعليقًا على التسريب ، أشار روبن ميري ، الرئيس التنفيذي لشركة NGRAVE لصناعة المحفظة ، إلى أن الحادث يعكس النمو السريع بين شركات التشفير الذي يأتي على حساب الاعتبارات الأمنية. وأضاف: “يتم اختراق الكثير من منصات الإنترنت ، وليس بالضرورة بسبب مهارة المتسللين. في كثير من الأحيان ، الأنظمة الأساسية لديها إدارة أمنية سيئة ، ناهيك عن التنفيذ “.

“Scareware” وعوامل الخطر الأخرى

تسبب تسريب البيانات في جولة أخرى من هجمات التصيد الاحتيالي حيث تحاول الجهات المارقة ، المسلحة الآن برسائل البريد الإلكتروني لمستخدمي دفتر الأستاذ ، خداع عملاء المحفظة للكشف عن العبارة الأولية المكونة من 24 كلمة. حتى قبل تفريغ البيانات ، كانت هذه الرسائل الإلكترونية الزائفة تحدث بشكل منتظم.

ومع ذلك ، من المحتمل أن يؤدي الكشف عن أرقام الهواتف والعناوين الشخصية إلى فتح مستخدمي دفتر الأستاذ أمام المزيد من عوامل الخطر. أبلغ بعض المستخدمين عن محاولة هجمات تبديل بطاقة SIM على أرقامهم مع محاولة المتسلل على الأرجح اختراق بروتوكولات التفويض الثنائية.

كان مستثمرو العملات المشفرة أهدافًا لهجمات مبادلة بطاقة SIM في الماضي. مرة أخرى في يونيو ، تم اتهام ريتشارد يوان لي بالتآمر لارتكاب احتيال سلكي فيما يتعلق بسلسلة من هجمات تبادل بطاقة SIM التي استهدفت أكثر من 20 فردًا.

بصرف النظر عن عمليات استغلال التصيد الاحتيالي ومبادلة بطاقة SIM ، فإن تسريب البيانات يفتح أيضًا إمكانية انتقال عوامل الخطر إلى ما هو أبعد من برنامج Scareware إلى عالم الهجمات الفعلية الفعلية. في الواقع ، يزعم بعض المستخدمين المتأثرين بالحادث أنهم تلقوا رسائل تهديد تطلب مدفوعات أو يخاطرون باقتحام منازلهم.

أقر الرئيس التنفيذي لشركة Ledger بإمكانية حدوث هجمات مادية نتيجة إشراف الشركة ، كما أكد للمستخدمين أن أجهزة محفظة أجهزتهم تحتوي على العديد من بروتوكولات الحماية للحماية من سرقة الأموال. من بين هذه الإجراءات الأمنية ، استخدام إدخالات غير صحيحة للرمز السري لتنسيق الأجهزة أو كلمة مرور ثانية تعرض حسابًا وهميًا ، مما يترك أموال المالك الفعلية في مأمن من العناصر السيئة.

بالإضافة إلى ذلك ، فإن إجماع من بين خبراء الأمن على وسائل التواصل الاجتماعي أنه يجب على المستهلكين استخدام عناوين صناديق البريد أو مواقع الالتقاط العامة الأخرى بدلاً من عناوين منازلهم الفعلية للعناصر الحساسة مثل محفظة دفتر الأستاذ الصلبة. بالنسبة لأولئك الذين لديهم أرقام هواتف مخترقة ، يبدو أن أفضل خط عمل هو الحصول على رقم جديد واستخدام عنوان بريد إلكتروني جديد لإيصال التغيير إلى جهات الاتصال المهمة.

بينما يواصل العملاء المتأثرون التعامل مع تداعيات التسرب ، يقول ليدجر إنه يعمل على منع حدوثه في المستقبل. وقالت الشركة في تصريح لكوينتيليغراف:

نحن نفعل كل ما في وسعنا لوقف هذه الهجمات وتجنب مثل هذه المواقف في المستقبل. ليدجر مجموعة من التدابير المعمول بها لحماية مستخدمينا من الوقوع ضحايا لهجمات التصيد. لقد أنشأنا صفحة ويب تشارك تشريح هجمات التصيد بحيث يمكن للمستخدمين تجنب الوقوع في حبهم والإبلاغ عن أي هجمات جديدة “.

المستخدمون المتأثرون يهددون الإجراءات القانونية

بدأ بعض المستخدمين المتأثرين بالدعوة لاتخاذ إجراء قانوني ضد ليدجر فور حدوث التسريب المبلغ عنه. هناك أيضًا subreddit “تسرب محفظة دفتر الأستاذ” على منصة Reddit ، حيث يناقش المستخدمون الطرائق الممكنة لرفع دعوى قضائية جماعية.

يقع مقر ليدجر في باريس ، ويخضع لقوانين الاتحاد الأوروبي. في تشرين الثاني (نوفمبر) ، اعتمد البرلمان الأوروبي تعديلات تشريعية ستسمح لعملاء الاتحاد الأوروبي برفع دعاوى جماعية ضد الشركات العاملة في المنطقة خلال العامين المقبلين.

وفقًا للحكم في ذلك الوقت ، بمجرد تمريره إلى قانون ، يمكن رفع دعاوى جماعية ضد الشركات العاملة في الاتحاد الأوروبي في قضايا تتعلق بالخدمات المالية والسياحة وحماية البيانات ، من بين أمور أخرى.

سيحتاج عملاء Ledger في الاتحاد الأوروبي إلى هيئة حماية مستهلك مؤهلة أو كيان آخر معترف به لتمثيل المشتكين. ومع ذلك ، على عكس قوانين الولايات المتحدة ، تقتصر الأضرار العقابية من دعاوى الدعوى الجماعية في الاتحاد الأوروبي على الخسائر الفعلية التي يتكبدها فئة المدعين.

بصرف النظر عن قيام العملاء برفع دعوى قضائية ضد الشركة ، قد يشكل تسرب البيانات أيضًا انتهاكًا للخصوصية في أعين المنظمين الأوروبيين ، وتحديداً بموجب لائحة حماية البيانات العامة للاتحاد الأوروبي. في مثل هذه الحالات ، يكون لدى الاتحاد الأوروبي القدرة على فرض غرامة تصل إلى 4٪ من عائدات دفتر الأستاذ.

في الواقع ، مع اعتراف الرئيس التنفيذي ليدجر للشركة بإخفاء بيانات المستخدم بشكل غير صحيح ، يمكن أن تخضع الشركة للتدقيق من مسؤولي الاتحاد الأوروبي. تلزم Recital 26 من GDPR جميع الشركات بضمان الإزالة الكاملة لجميع المعلومات التي يمكن أن تحدد المستخدمين من ذاكرة التخزين المؤقت للبيانات المخزنة أو المعالجة.