Chers clients du grand livre,
Comme vous le savez, Ledger a été la cible d'une cyberattaque qui a conduit à une violation de données en juillet 2020. Hier, nous avons été informés du dump du contenu d'une base de données clients Ledger sur Raidforum. Nous pensons qu'il s'agit du contenu de notre base de données de commerce électronique à partir de juin 2020.
Au moment de l'incident, en juillet, nous avons engagé une organisation de sécurité externe pour effectuer un examen médico-légal des journaux disponibles. Cet examen des journaux nous a permis de confirmer qu'environ 1 million d'adresses e-mail avaient été volées ainsi que 9,532 XNUMX informations personnelles plus détaillées (adresses postales, nom, prénom et numéro de téléphone) que nous avons pu identifier précisément.
La base de données publiée hier montre qu'un plus grand sous-ensemble d'informations détaillées a été divulgué, environ 272,000 XNUMX informations détaillées telles que l'adresse postale, le nom, le prénom et le numéro de téléphone de nos clients. Ces détails ne sont pas disponibles dans les logs que nous avons pu analyser. La transparence de nos opérations et de nos communications a toujours été une priorité. Cela n'a pas changé.
Au-delà des rumeurs et des interprétations diverses de cet événement qui ont été faites ces dernières heures, je tiens à énoncer quelques choses simples mais fondamentales pour mettre en perspective la réalité de cette situation.
Au nom de Ledger, nous regrettons profondément cette situation. Nous sommes conscients que beaucoup d'entre vous ont été ciblés par des campagnes de phishing par e-mail et SMS et que c'est clairement une nuisance. Je sais que cette violation est au mieux décevante et au pire exaspérante.
Notre objectif n°1 reste de vous fournir la meilleure protection et sécurité pour vos actifs numériques. Pour être très clair : cette violation de données n'a aucun lien ni impact sur nos portefeuilles matériels, l'application ou vos fonds. Vos actifs cryptographiques sont en sécurité. Bien que vraiment et sincèrement regrettable, cette violation ne concerne que les informations liées au commerce électronique.
Ledger met tout en œuvre pour renforcer encore plus la sécurité de nos données : Depuis quelques mois, nous combattons avec vous les escrocs dans leur tentative de voler vos 24 mots. Cela a été largement documenté sur notre site Web et blog. Vous pouvez désormais suivre l'état des campagnes de phishing en cours sur une seule page : Campagnes de phishing en cours. Nous avons également recruté des talents de classe mondiale pour notre nouveau RSSI qui nous rejoindra dans quelques jours. Nous renforçons encore davantage toutes nos ressources et nos efforts en matière de sécurité - la Programme de primes, Donjon et toutes les procédures qui permettront de tester nos systèmes 24h/7 et XNUMXj/XNUMX. Toutes ces actions ont été listées ici : Le champ de bataille contre les tentatives de phishing.
Certains d'entre vous ont également exprimé des inquiétudes concernant d'éventuelles attaques physiques car certaines de vos adresses de livraison ont été divulguées. Nous comprenons les émotions créées par cette situation, mais il est important de reconnaître que il n'y a aucun moyen d'établir une corrélation entre les données qui ont fui et les fonds sur votre portefeuille.
Quoi qu'il en soit, Ledger a été conçu en gardant à l'esprit la menace d'une attaque physique, car il s'agit toujours d'une menace potentielle. Il existe des fonctionnalités et des moyens de vous protéger :
- Si vous entrez un code PIN incorrect trois fois de suite, l'appareil se réinitialisera après la troisième tentative incorrecte par mesure de sécurité.
(Voir: Réinitialiser les paramètres d'usine)
Indépendamment des événements récents, si vous conservez beaucoup de valeur dans votre maison, nous vous invitons à évaluer régulièrement votre propre système de sécurité, et à toujours appliquer les meilleurs standards du marché. Vous pouvez trouver de nombreuses informations pertinentes sur https://www.ledger.com/academy & https://www.ledger.com/.
Cela étant dit, la plupart des attaques auxquelles vous serez confronté sont des escroqueries en ligne qui tentent de voler vos 24 mots. On ne le dira jamais trop souvent : l'important est de Ne partagez JAMAIS vos 24 mots avec QUICONQUE. Pas même Ledger. Nous ne vous les demanderons jamais. De plus, Ledger ne vous contactera jamais par SMS ou par téléphone. Beaucoup ont demandé si vos fonds pourraient être affectés si vous ne partagez jamais vos 24 mots. Je vais être très clair : NON. Vos fonds sont en sécurité.
Pour mettre les choses en perspective et ne pas miner notre responsabilité, il est devenu clair que nous sommes entrés dans une ère où les cyberattaques se produiront de plus en plus ; ils ont atteint un niveau record en 2020 (Les plus grandes violations de données et piratages au monde - L'information est belle). C'est un problème mondial croissant auquel nous sommes tous confrontés avec l'accélération numérique. Investir dans l'avenir de la sécurité est devenu plus nécessaire et urgent que jamais. C'est précisément la mission de Ledger : nous investissons continuellement pour améliorer les normes de sécurité. C'est aussi pourquoi nous ne rembourserons pas les clients comme certains l'ont suggéré. Au lieu de cela, la chose la meilleure et la plus sincère que nous puissions offrir est notre engagement à être meilleur et à faire ces investissements pour améliorer en permanence la sécurité des produits que nous mettons à votre disposition.
Dans ce combat pour #StopTheScammers, dans l'esprit qui a toujours été le nôtre et celui des communautés crypto, nous avons besoin de vous à nos côtés.
Nous donnerons les mises à jour nécessaires au fur et à mesure que notre analyse se poursuit pour donner à notre communauté une transparence totale sur les développements à ce sujet sur https://www.ledger.com/phishing-campaigns-status.
Si vous avez d'autres questions, veuillez d'abord vérifier le QFP et si votre question n'y trouve pas de réponse, contactez-nous via le support client.
Sincèrement,
Pascal Gauthier
PDG, grand livre
Version Française
Malgré la fuite de données du mois de juillet, vos crypto-actifs sont en sécurité.
Chers clients Grand Livre,
Comme vous le savez, Ledger a été la cible de cyber-attaques entraînant une fuite de données en juillet dernier. Hier, nous avons été informés que le contenu d'une base de données clients Ledger avait été publié sur Raidforum. Ces données correspondraient aux contenus issus de notre base de données e-commerce en date de juin 2020.
Au moment de l'incident, en juillet, nous avons engagé une organisation de sécurité externe pour effectuer un examen très précis des informations (journaux) disponibles. Cet examen nous a permis de confirmer qu'environ 1 million d'adresses e-mail avaient été volées et que 9 532 clients étaient concernés par une fuite d'informations personnelles plus détaillées (adresses postales, nom, prénom et numéro de téléphone) – nous avons pu identifier ces personnes et elles ont été notifiées.
La base de données publiques rendue hier montre qu'un grand sous-ensemble d'informations détaillées a été divulgué. Ce sont environ 272 000 utilisateurs qui sont concernés. Ces détails ne sont pas disponibles dans les journaux que nous avons pu analyser.
La transparence dans nos opérations et nos communications a toujours été une priorité. Cela n'a pas changé.
Face aux rumeurs et aux diverses interprétations de cet événement sur ces dernières heures, j'aimerais rappeler quelques éléments simples mais fondamentaux pour remettre en perspective la réalité de cette situation.
Au nom de Ledger, je tiens à vous adresser nos profonds regrets pour cette situation. Nous savons que certains d'entre vous ont été visés par des campagnes de phishing par email et sms, qui constituent clairement une nuisance. Nous sommes conscients que cet événement peut représenter un désagrément pour certains et certains d'entre vous.
Notre priorité numéro 1 réside dans le fait de vous apporter la meilleure protection et sécurité pour protéger vos données numériques.
Soyons clairs : vos crypto-monnaies sont en sécurité.
Cette fuite de données n'a aucun lien ni impact sur vos portefeuilles, l'application Ledger Live ou vos fonds.
Bien que cette situation soit sincèrement regrettable, cette fuite ne concerne que des informations liées au commerce électronique.
Les équipes de Ledger s'engagent chaque jour à faire tout ce qui est dans leur pouvoir pour renforcer encore davantage la sécurité de nos données : pendant les derniers mois, nous avons combattu avec vous les escrocs (arnaqueurs) face à leurs tentatives de récupérer vos 24 mots. Cela a été documenté de façon extensive sur notre site et notre blog. Vous pouvez suivre le statut de ces actions sur les campagnes de phishing ici.
Nous avons également recruté un talent international comme Responsable de la Sécurité des Systèmes d'Information qui nous rejoindra dans les tous prochains jours. Nous renforçons en permanence nos ressources et efforts de sécurité : le Programme Bounty, le Donjon et toutes les procédures de test de nos systèmes 24h/24, 7j/7. L'ensemble de nos actions sont listées ici.
Certains d'entre vous ont aussi exprimé des préoccupations à propos d'attaques physiques potentielles dès lors que certaines adresses postales auraient fuité. Si nous comprenons l'émotion créée par cette situation, il est important de comprendre qu'il n'existe aucun moyen de faire une corrélation entre les données qui ont fuité et les fonds sur votre portefeuille.
Indépendamment de cette situation, Ledger a été conçu en ayant en tête les menaces d'attaques physiques, dans la mesure où cela constitue dans l'absolu un risque potentiel. Il existe toute une série de moyens de protection :
- Si vous entrez un code PIN incorrect 3 fois de suite, le terminal se réinitialisera après la troisième tentative incorrecte par mesure de sécurité. (Voir : Réinitialiser les paramètres d'usine)
- Si au lieu d'entrer votre phrase de sécurité à chaque fois, vous pouvez la rattacher à un second code PIN sur votre terminal Ledger. Cela revient à détenir deux codes PIN : un qui ouvre vos comptes normaux et un qui ouvre une version alternative de vos comptes. (Voir : Ledger 101 — Partie 4 : Principes de sécurité avancés)
- Enfin, ne conservez pas votre feuille de récupération chez vous. Un coffre à la banque est plus sûr. Ne pas avoir d'accès immédiat à vos sauvegardes renforce votre résilience par rapport aux menaces physiques. (Voir : Ledger 101 — Partie 3 : Meilleures pratiques lors de l'utilisation d'un portefeuille matériel)
De manière générale et indépendante des événements, si vous gardez beaucoup de valeur chez vous, nous pouvons évaluer régulièrement votre propre système de sécurité et de toujours appliquer les meilleures normes du marché. (Vous pourrez trouver des informations pertinentes à ce sujet sur https://www.ledger.com/academy & https://www.ledger.com/.)
Ceci étant dit, la majeure partie des attaques que vous recevrez des arnaques en ligne qui essaieront de récupérer vos 24 mots. Nous ne le dirons jamais assez : le plus important est de ne jamais partager vos 24 mots avec personne. Même pas grand livre. Nous ne nous demanderons jamais. De même, Ledger ne vous contactera jamais par SMS ni téléphone.
Nous avons reçu de nombreuses questions pour nous demander si les fonds peuvent être affectés sans jamais partager les 24 mots. Je vais être très clair : NON. Vos fonds sont en sécurité.
Pour remettre les choses en perspective et sans sous-estimer notre responsabilité, force est de constater que nous sommes entrés dans une nouvelle ère dans laquelle les cyber-attaques devraient être de plus en plus avérées ; elles ont été au plus haut en 2020 (Les plus grandes violations de données et piratages au monde - L'information est belle). C'est un problème global croissant auquel nous devons tous faire face avec l'accélération digitale. Investir dans le futur de la sécurité est plus nécessaire et urgent que jamais. C'est précisément le cœur de la mission de Ledger : nous investissons pour améliorer en permanence les normes de sécurité. C'est pourquoi nous ne remboursons pas l'achat des portefeuilles comme certains ont pu le suggérer – mais plutôt que nous continuons à nous engager dans l'amélioration continue qui nous préconise et à investir afin de vous offrir des produits garants de toujours plus de sécurité.
Dans ce combat #StopTheScammers, fidèle à notre état d'esprit et celui de la communauté crypto, nous avons besoin de vous à nos côtés.
Nous ne manquerons pas de vous communiquer toute nouvelle information nécessaire sur ce sujet dans une logique de totale transparence avec nos communautés, notamment sur https://www.ledger.com/phishing-campaigns-status.
Pour toute question complémentaire, nous vous préférons à lire la page QFP dédié à ce sujet. Nous nous tenons également à votre disposition avec nos clients de service.
Cordialement,
Pascal Gautier,
PDG de Ledger
Source : https://www.ledger.com/message-ledgers-ceo-data-leak