Datenleck in der Kundendatenbank von Ledger

Am 29. Juli 2020 gab Ledger bekannt, dass ein unbefugter Dritter auf einen Teil seiner E-Commerce- und Marketing-Datenbank zugegriffen hatte, die das Unternehmen für Bestellbestätigungen und Werbe-E-Mails nutzt. Ledger erklärt, dass der Zugriff über einen API-Schlüssel erfolgte, den es inzwischen deaktiviert hat. Ein Forscher aus dem Bug-Bounty-Programm von Ledger meldete am 14. Juli 2020 ein mögliches Datenleck; Ledger gibt an, die Untersuchung habe ergeben, dass die Schwachstelle bereits am 25. Juni 2020 ausgenutzt worden war.

Im Juli gab Ledger an, dass rund eine Million E-Mail-Adressen offengelegt worden seien und dass bei einer Teilmenge von etwa 9.500 Kunden zusätzlich Vor- und Nachname, Postanschrift, Telefonnummer und bestellte Produkte betroffen seien. Ledger erklärt, dass das Datenleck weder Zahlungsinformationen, Passwörter oder Krypto-Guthaben noch die Sicherheit seiner Hardware-Wallets betraf.

Am 20. Dezember 2020 wurde die vollständige Datenbank auf RaidForums veröffentlicht. Laut The Block enthielt der Datensatz die persönlichen Daten von mehr als 270.000 Kunden und die E-Mail-Adressen von mehr als einer Million, weit mehr als die im Juli angegebenen 9.500 detaillierten Datensätze. Im Januar 2021 meldete Ledger einen separaten Vorfall im Zusammenhang mit Shopify mit etwa 20.000 neuen Kundendatensätzen und gab an, dass insgesamt etwa 292.000 Kunden betroffen seien.

Was Ledger empfiehlt:

• Ledger wird Sie niemals nach Ihrer 24-Wörter-Wiederherstellungsphrase oder Ihrer PIN fragen; geben Sie diese niemals weiter.
• Kontaktieren Sie Ledger nur über die offiziellen Kanäle.
• Behandeln Sie E-Mails, SMS und Nachrichten, die sich auf das Datenleck beziehen, als mögliches Phishing.