Vazamento de dados de Ledger

As categorias de dados verificadas são endereços de e-mail, nomes, números de telefone e endereços físicos. Os endereços de e-mail podem ser usados em mensagens com falsos alertas de segurança, ameaças de encerramento de conta, atualizações falsas de carteiras e alterações de dispositivos. Os nomes tornam essas mensagens mais convincentes. Os números de telefone representam um risco de fraudes por SMS, engenharia social por chamadas e tentativas de tomar o controle da conta junto à operadora. Os endereços físicos são uma categoria mais sensível no contexto dos clientes de carteiras de hardware para criptomoedas: podem estar associados à seleção de alvos, à intimidação, a notificações falsas de envio e a situações que aumentam as preocupações com a segurança pessoal.

Não foi confirmado que senhas, frases de recuperação, chaves privadas, informações de cartões de pagamento, dados bancários, números de documentos oficiais de identificação ou informações de saúde tenham sido expostos nesse vazamento de dados da Ledger. Essa distinção é importante: não se pode considerar que o modelo de segurança da carteira de hardware e os criptoativos do usuário tenham sido diretamente comprometidos. Ainda assim, os dados de contato podem fornecer contexto suficiente para ataques que tentam conquistar a confiança do usuário. Especialmente no setor de criptomoedas, os invasores procuram convencer os usuários a compartilhar a frase de recuperação por meio de engano, em vez de assumir o controle por meios técnicos.

O escopo verificado se limita aos dados de clientes de comércio eletrônico e marketing que foram expostos a acesso não autorizado em 25 de junho de 2020. A contagem de contas únicas permanece em 1.075.241. Observa-se que as informações de contato detalhadas, como nome, telefone e endereço para correspondência, abrangem um grupo mais restrito de clientes. Portanto, as categorias de dados do registro não devem ser ampliadas: campos como senha, seed da carteira de criptomoedas, chave privada, cartão de pagamento ou dados bancários não devem ser acrescentados aos tipos de dados verificados. Uma ampliação indevida gera pânico desnecessário entre os usuários e tira o foco das medidas concretas.

A cronologia do vazamento também é delimitada e específica. O acesso remonta ao período de junho de 2020, e a maior visibilidade do conjunto de dados remonta a dezembro de 2020. Portanto, o incidente não deve ser apresentado como um novo vazamento da Ledger datado de 2025 ou 2026. Alertas de segurança ou campanhas de phishing atuais podem resultar da reutilização desses dados antigos de clientes; isso, porém, não implica automaticamente um novo vazamento de dados. A data na página da LeakData deve preservar essa distinção.

O principal grupo em risco é formado por clientes que compraram um produto Ledger ou compartilharam seu endereço de e-mail, número de telefone ou endereço de entrega durante a compra. Invasores que acreditam que esses clientes possuem criptoativos podem enviar mensagens elaboradas especificamente para esse grupo. As mensagens podem se apresentar como atualizações de dispositivos, verificações de segurança, entregas falsas, devoluções falsas, instalações de novos aplicativos ou notificações urgentes que alegam ser da equipe de suporte. As informações de nome e endereço permitem personalizar a mensagem, o que pode levar o destinatário a acreditar que ela é genuína.

O segundo grupo em risco é formado por pessoas que usam o mesmo número de telefone em serviços financeiros, de e-mail e de criptomoedas. Quando o número de telefone vaza, os invasores podem tentar enganar o suporte da operadora, interceptar códigos de verificação ou pressionar o usuário a tomar uma decisão errada por meio de um volume excessivo de chamadas e mensagens. O terceiro grupo em risco é formado por usuários cujo endereço residencial é associado à percepção de que possuem criptoativos de alto valor. Não é possível verificar a quantidade de criptoativos a partir desse conjunto de dados; no entanto, até mesmo saber que alguém é cliente de uma carteira de hardware pode ajudar os invasores a selecionar alvos.

A autenticação multifator deve ser ativada em todas as contas críticas que usam o endereço de e-mail associado à Ledger. Para a conta de e-mail, deve-se dar preferência a uma senha forte e exclusiva, e a conta junto à operadora de telefonia deve receber senhas de segurança adicionais ou restrições para operações em lojas físicas. Os usuários não devem fornecer as palavras de recuperação em nenhum formulário na web, tela de conversa, ligação telefônica ou mensagem de suporte. A frase de recuperação da carteira de hardware deve ser usada apenas no procedimento seguro de recuperação do dispositivo; não se devem iniciar transações por links recebidos por e-mail ou SMS.

Mensagens relacionadas à Ledger recebidas por telefone e e-mail devem ser examinadas com cuidado redobrado. Atualizações falsas de dispositivos, alertas falsos de segurança, rastreamento falso de entregas e solicitações urgentes de verificação devem ser checados digitando manualmente o domínio oficial em uma aba separada do navegador. Os usuários cujo endereço físico vazou devem rever suas preferências de entrega de encomendas, seus hábitos de guardar dispositivos de valor em casa e suas publicações visíveis nas redes sociais. Como não há confirmação de vazamento de senhas, em vez de entrar em pânico e redefinir todos os sistemas, deve-se priorizar o reforço da segurança das contas de e-mail e de criptomoedas.

A longo prazo, os usuários de criptomoedas devem separar, tanto quanto possível, os dados usados em compras, corretoras, e-mail e comunicações pessoais. Medidas práticas, como usar um endereço de e-mail descartável ou exclusivo para pedidos de carteiras de hardware, um número de telefone que só seja compartilhado quando necessário e um plano para guardar o dispositivo após a entrega, reduzem o risco. O uso de um alias de e-mail e de um gerenciador de senhas robusto, aliado à atenção à segurança física e a restrições na conta junto à operadora, reduz significativamente o impacto desse tipo de vazamento de dados de clientes.

O vazamento de dados da Ledger mostra que, na segurança de criptomoedas, a resistência técnica do dispositivo é tão importante quanto a privacidade dos dados dos clientes. Mesmo que os próprios criptoativos não tenham sido diretamente comprometidos, o acesso de um invasor a informações suficientes sobre um usuário pode ter consequências graves. Por isso, os usuários não devem apenas manter o software da carteira atualizado: também devem verificar regularmente onde suas informações de contato são usadas, quais contas estão vinculadas ao mesmo e-mail e em quais processos de verificação seu número de telefone é utilizado.

Os usuários da LeakData que encontrarem uma correspondência com o vazamento da Ledger devem interpretá-la como uma referência ao incidente com dados de clientes de comércio eletrônico e marketing de 25 de junho de 2020. Essa correspondência não significa que os ativos na carteira do usuário tenham sido comprometidos; no entanto, a combinação de e-mail, telefone, nome e endereço representa uma alta probabilidade de fraude direcionada. As ações do usuário devem se concentrar, antes de tudo, na segurança da conta de e-mail, na proteção da linha telefônica, na atenção a mensagens falsas de suporte e em nunca compartilhar a frase de recuperação, sob nenhuma circunstância.

As categorias de dados desta página se limitam aos campos verificados e não são ampliadas de forma a gerar medo desnecessário. A abordagem mais adequada para um vazamento de dados da Ledger é avaliar separadamente a segurança dos criptoativos e a segurança dos dados de comunicação pessoal. Para proteger os ativos, é preciso resguardar a frase de recuperação e o acesso ao dispositivo; para proteger os dados pessoais, é preciso reduzir os riscos relacionados a e-mail, telefone, endereço e engenharia social. Ao considerar essas duas frentes em conjunto, o usuário fica mais preparado para resistir à reutilização de um vazamento antigo de dados de clientes em ataques atuais.