Massive Ledger Data Leak vergroot de dreiging van SIM-swapping

Hardware portemonnee fabrikant Ledger heeft voor de tweede keer dit jaar opnieuw een enorme datalek gehad. De blootstelling van duizenden persoonlijke gegevens van klanten heeft de dreiging van SIM-swapping als aanvalsvector vergroot.

Voor de tweede keer dit jaar persoonsgegevens van Ledger portemonnee kopers zijn online gedumpt. Het lek was geplaatst door verschillende leden van de cryptogemeenschap die bestanden vonden die naar verluidt de 'volledige database' van Ledger-klanten bevatten met e-mails, telefoonnummers en zelfs fysieke adressen.

Ledger-gegevens (opnieuw) gelekt

Ledger bagatelliseerde het datalek door te beweren dat het oude gegevens waren van de serverinbreuk van juni 2020.

Een golf van phishing-aanvallen volgde de bres vanaf juni. Ledger oorspronkelijk beweerde dat 'slechts' ongeveer 9,500 gebruikersgegevens zijn gelekt, maar dat blijken nu maar liefst 270,000 te zijn.

Onderzoekers uit de industrie noemde het 'onvergeeflijk';

“IMO dit Ledger-lek is onvergeeflijk. U kunt eenvoudigweg geen hardware wallets verkopen en de persoonlijke informatie van uw klanten op een online server opslaan. Sluit zaken met hen af, de enige manier waarop bedrijven in deze ruimte zullen leren om onze fysieke zaken te nemen veiligheid ernstig."

Analist Larry Cermak zei dat dit laatste lek 'veel erger' was dan het vorige;

Er is nu ook een inherent gevaar dat sim-swapping-aanvallen zullen worden gebruikt om Ledger-klanten te targeten nu hun telefoonnummers en adressen zijn gelekt.

Wat is het wisselen van simkaarten en hoe kunt u dit vermijden?

Industrieanalist Alex Krüger heeft gewaarschuwd voor een aanstaande golf van Aanvallen om simkaarten te wisselen na het Ledger-lek. Aangezien telefoonnummers zijn gelekt en smartphones normaal gesproken worden gebruikt om transacties te verifiëren, kunnen de gevolgen verwoestend zijn;

SIM-swapping vindt plaats wanneer een aanvaller contact opneemt met de draadloze / mobiele provider van het slachtoffer en de medewerker van het callcenter ervan kan overtuigen dat zij het slachtoffer zijn met behulp van gestolen persoonlijke gegevens.

Met een arsenaal aan nieuwe gegevens, waaronder e-mailadressen, het telefoonnummer zelf en zelfs fysieke adressen voor Ledger-gebruikers, zou dit relatief eenvoudig zijn voor cybercriminelen.

De aanvaller vraagt ​​vervolgens de provider om een ​​nieuwe simkaart te activeren die is verbonden met het telefoonnummer van het slachtoffer op een nieuwe telefoon in hun bezit. Hiermee hebben ze toegang tot de 2FA-beveiligingsmaatregelen die worden gebruikt door Ledger-apparaten en crypto-exchanges. Wat er daarna gebeurt, is onvermijdelijk: een lege hardware-portemonnee.

De Amerikaanse Federal Trade Commission heeft een waarschuwings- en preventiegids waaronder suggesties om het delen van persoonlijke informatie te beperken. Maar welke hoop heeft de consument als bedrijven die vertrouwd zijn met beveiliging zelf gegevens niet kunnen beveiligen?

Zoals een aantal Ledger-gebruikers pijnlijk heeft ontdekt, kunnen crypto-activa gemakkelijk uit hardwareportefeuilles worden gestolen. De slachtoffers worden alleen gelaten als het gebeurt, aangezien er meestal geen of weinig verhaal van de fabrikanten is.