Клиенты компании Ledger, выпускающей аппаратные кошельки для хранения криптовалюты, сообщили о получении по почте новых устройств, которые должны были предотвратить последствия утечки пользовательских данных. Они оказались фишинговыми и предназначались для похищения паролей.
Один из участников подфорума на Reddit, посвященного аппаратным кошелькам Ledger, опубликовал изображения фишингового устройства, выдающего себя за кошелек Ledger Nano X. «Кошелек» прислали по почте в фирменной упаковке, однако некоторые особенности посылки вызвали сомнения у клиента Ledger. В частности, к устройству прилагалось письмо, якобы подписанное генеральным директором Ledger Паскалем Готье (Pascal Gauthier):
В целях безопасности мы отправили вам новое устройство, вы должны воспользоваться им, чтобы оставаться в безопасности. Внутри коробки вы найдете руководство, в котором можно узнать, как настроить новое устройство. Мы изменили конструкцию устройства. Мы гарантируем, что подобное нарушение безопасности никогда не повторится.
Упаковка поддельного кошелька Ledger
В инструкции о том, как использовать устройство было сказано, что пользователь должен ввести парольную фразу для восстановления доступа и подключения кошелька к новому оборудованию. Исследователь в сфере безопасности Майк Гровер (Mike Grover) считает, что устройство было фишинговым. Похоже, это просто флешка, которая выдает себя за Ledger с целью установки какого-то вредоносного ПО.
Вероятно, фишинговое устройство предназначено для перехвата введенной пользователем парольной фразы (seed-фразы), перенаправляющая информацию мошенникам. С помощью этой фразы они могут получить доступ к криптовалютным средствам незадачливых клиентов Ledger.
Ledger уже предупредил клиентов о рассылке опасных устройств. Компания попросила клиентов использовать ПО только с официального сайта Ledger.com и никому не сообщать фразу для восстановления доступа к кошельку.
В июле 2020 года была зафиксирована утечка данных миллиона пользователей Ledger. Хакеры получили доступ к информации с помощью API-ключа. База данных содержала электронные и почтовые адреса, имена, номера телефонов и сведения о приобретенных продуктах Ledger. Клиентов предупредили, что уязвимость была устранена сразу же после обнаружения и принесли свои извинения. Кроме того, им напомнили, что следует опасаться попыток фишинга и никому не сообщать свою мнемоническую фразу и с большой осторожностью относиться к электронным письмам, присланным от имени Ledger. В декабре 2020 года база данных пользователей компании снова попала в открытый доступ.
▼
