Les utilisateurs de Ledger visés dans une attaque par phishing basée sur le courrier liée à la fuite de données de 2020

Les utilisateurs de portefeuilles matériels Ledger sont à nouveau dans le collimateur des fraudeurs - cette fois par une méthode inhabituelle et alarmante : le courrier physique. La dernière campagne de phishing prenant la forme de Ledger tente de convaincre les destinataires de céder leurs phrases de récupération de 24 mots sous le prétexte d'une mise à jour de sécurité.

La nature physique de l'attaque et l'inclusion d'informations personnelles détaillées suggèrent une connexion possible avec la célèbre fuite de données de Ledger de 2020, qui a compromis les données de centaines de milliers de clients, soulignant les dangers persistants de l'exposition des données dans le domaine des cryptomonnaies.

Une des premières rapports de cette escroquerie est venu de l'investisseur en cryptomonnaies Jacob Canfield, qui a partagé une image de la lettre trompeuse sur X (anciennement Twitter). La lettre imitait méticuleusement l'image de marque officielle de Ledger, incluait une adresse de retour de la société apparemment légitime, un numéro de référence unique et des instructions pour scanner un code QR.

« Le niveau de détail était alarmant », a noté Canfield dans son message. « De la qualité du papier à la mise en page professionnelle, tout cela criait l'authenticité jusqu'à ce que vous réalisiez ce qui était réellement demandé. »

La lettre prétendait faussement que les utilisateurs devaient se soumettre à un "processus de validation obligatoire" pour assurer un accès continu à leurs fonds, menaçant un accès restreint si les instructions n'étaient pas suivies dans les 30 jours. Le code QR dirigeait les victimes vers un clone convaincant du site officiel de Ledger, où ils étaient invités à entrer leur phrase de récupération de 24 mots - la clé maîtresse de leur portefeuille et de leurs fonds.

Ledger a réagi rapidement sur les réseaux sociaux, réitérant un principe essentiel de la sécurité des portefeuilles : « Ledger ne demandera jamais votre phrase de récupération de 24 mots. Si quelqu'un le fait, c'est une arnaque. » L'entreprise a également mis à jour sa page d'avis de sécurité avec des exemples de la lettre frauduleuse pour aider les utilisateurs à identifier des tentatives similaires.

Anatomie d'une escroquerie sophistiquée

Ce qui rend cette campagne de phishing particulièrement dangereuse, c'est son approche à plusieurs niveaux pour créer une légitimité. Les chercheurs en sécurité qui ont analysé l'arnaque notent plusieurs éléments sophistiqués :

1. Support physique : Contrairement aux communications numériques qui contiennent souvent des signes évidents de fraude (URL suspectes, fautes d'orthographe), le courrier physique porte un facteur de confiance inhérent.

2. Personnalisation : Les destinataires rapportent que les lettres incluent souvent leur nom complet, leur adresse et, dans certains cas, des références aux modèles spécifiques de Ledger qu'ils possèdent.

3. Création d'urgence : Les lettres exploitent les tactiques de peur en suggérant qu'un manque de conformité entraînera une perte d'accès permanente aux actifs cryptographiques.

4. Présentation professionnelle : Les matériaux utilisent une impression de haute qualité, des en-têtes officiels, et incluent même ce qui semble être des hologrammes Ledger authentiques dans certains cas.

5. Sophistication technique : Les codes QR mènent à des sites de phishing bien élaborés qui utilisent des certificats SSL et des noms de domaine ressemblant étroitement aux URL légitimes de Ledger.

Le consultant en sécurité Marcus Hutchins, connu pour son travail d'arrêt de l'attaque par ransomware WannaCry, a commenté la campagne : « Cela représente une escalade significative dans les tactiques de phishing. La volonté d'investir dans l'envoi postal démontre à la fois la rentabilité potentielle pour les attaquants et la sophistication croissante des arnaques ciblant les cryptomonnaies. »

La fuite de données Ledger de 2020

Bien que Ledger n'ait pas officiellement confirmé de lien direct, les communautés de cybersécurité et de cryptomonnaies suspectent fortement que cette campagne de phishing exploite des informations volées lors de la fuite de données de juillet 2020 de Ledger. Cet incident a fait l'effet d'un choc dans la communauté des cryptomonnaies quand un hacker a exploité une clé API obsolète pour accéder à des portions des bases de données de commerce électronique et de marketing de l'entreprise.

L'ampleur de la fuite était substantielle :

• Environ 1 million d'adresses email ont été compromises
• Les détails personnels d'environ 272 000 clients ont été exposés, y compris :
  • Noms complets
  • Numéros de téléphone
  • Adresses postales physiques
  • Informations sur les commandes de produits et l'historique d'achat

Bien que la violation n'ait pas compromis directement les phrases de récupération de portefeuilles, les clés privées ou les actifs cryptographiques, elle a créé une vulnérabilité persistante par l'ingénierie sociale. Au fil des ans, les victimes ont indiqué avoir été ciblées par divers canaux :

• E-mails de phishing se faisant passer pour le support de Ledger
• Messages SMS prétendant à une compromission de compte
• Fausses remplacements de périphériques Ledger expédiés aux domiciles
• Messages menaçants demandant des paiements de rançon
• Et maintenant, courrier postal élaboré

Les données de la violation ont été vues à plusieurs reprises sur des marchés du dark web, avec des prix variant selon l'exhaustivité des informations client. Selon l'entreprise d'analyse de blockchain Chainalysis, des informations provenant de la violation ont été liées à au moins 11,5 millions de dollars de crypto-vols via des campagnes de phishing réussies depuis 2020.

La longue traîne des violations de données

Troy Hunt, chercheur en sécurité et fondateur du service de notification de violation de données Have I Been Pwned, explique pourquoi la violation de Ledger continue de poser des menaces des années après l'incident initial.

« Les violations de données ont des effets en cascade qui s'étendent bien au-delà des répercussions immédiates, » note Hunt. « Une fois que des informations personnelles entrent dans l'écosystème criminel, elles ne se dégradent pas ou n'expirent pas. Au contraire, elles sont souvent enrichies avec des données supplémentaires provenant d'autres violations, devenant plus précieuses et dangereuses au fil du temps. »

Ce phénomène, parfois appelé « composition de violations », rend les données de Ledger particulièrement précieuses pour les attaquants. Lorsqu'elles sont combinées avec des informations provenant d'autres violations financières ou d'identité, elles créent un profil complet des victimes possédant de la crypto qui représentent des cibles à haute valeur.

Les données de la violation de 2020 ont montré une persistance remarquable. En décembre 2022, de nouvelles compilations des données exposées ont commencé à circuler sur des forums de hacking. En mars 2023, des chercheurs ont identifié des ensembles de données améliorés qui fusionnaient des informations de clients de Ledger avec des données d'autres violations non liées, créant des profils complets de victimes potentielles.

Évolution des tactiques de phishing à l'ère des cryptos

Cet incident marque une évolution troublante dans les tactiques de phishing ciblant les détenteurs de cryptomonnaies. Alors que l'usurpation d'e-mails et de sites web est depuis longtemps un pilier des arnaques crypto, le courrier physique ajoute plusieurs couches de manipulation psychologique - exploitant la confiance des utilisateurs dans les documents d'apparence officielle qui arrivent via les services postaux traditionnels.

Des experts en cybersécurité expliquent que le courrier physique déclenche des évaluations de confiance différentes par rapport aux communications numériques. La plupart des gens ont développé un certain niveau de scepticisme envers les e-mails mais maintiennent une confiance plus élevée dans les documents physiques, en particulier ceux qui paraissent officiels ou contiennent des détails personnels que seules des organisations légitimes devraient connaître. »

L'impact psychologique de recevoir de telles communications peut être significatif. Plusieurs victimes rapportent avoir éprouvé de l'anxiété, de l'urgence et une paralysie décisionnelle en recevant ces lettres.

« Je savais que quelque chose n'allait pas, mais la lettre comportait mon adresse, mon nom complet et mentionnait même quand j'avais acheté mon Ledger, » a partagé une victime qui a échappé de justesse à l'arnaque. « Pendant un moment, j'ai vraiment envisagé de suivre les instructions parce que j'avais peur de perdre l'accès à mes cryptos. »

Implications pour l'industrie et meilleures pratiques

Cette dernière attaque souligne l'importance d'une éducation complète en matière de sécurité dans le domaine des cryptomonnaies. Bien que des entreprises comme Ledger aient renforcé leur sécurité opérationnelle après des violations passées, la nature persistante des données exposées signifie que les utilisateurs doivent rester vigilants indéfiniment.

Les utilisateurs de portefeuilles matériels - qu'ils soient avec Ledger, Trezor, SafePal ou d'autres fournisseurs - devraient adhérer aux pratiques clés suivantes :

1. Phrase de récupération sacrée : Ne partagez jamais votre phrase de récupération dans aucune circonstance. Les entreprises légitimes ne la demanderont jamais par aucun canal de communication.

2. Vérification multi-source : Lorsque vous recevez des communications préoccupantes concernant votre portefeuille, vérifiez plusieurs canaux de support officiels avant d'agir.

3. Approche zéro-trust : Traitez toutes les communications non sollicitées avec un scepticisme extrême, surtout celles faisant référence à des transactions spécifiques ou à des détails matériels.

4. Sécurité des opérations physiques : Utilisez une boîte postale ou une adresse de livraison alternative lors de l'achat de matériel de cryptomonnaie pour minimiser l'exposition des adresses physiques.

5. Considérez les options d'achat préservant la vie privée : Certains détaillants acceptent maintenant les paiements en cryptomonnaie pour les portefeuilles matériels, réduisant les informations personnelles liées à votre achat.

Ledger a réagi à cette dernière vague d'attaques en lançant une campagne éducative renforcée. L'entreprise offre des webinaires gratuits de sécurité et a mis à jour son application pour inclure des avertissements plus en évidence sur la sécurité de la phrase de récupération.

Réponse de l'industrie

L'industrie plus large des cryptomonnaies a pris note de ces techniques de phishing évoluées. L'Alliance de sécurité crypto, un consortium de grands fournisseurs de portefeuilles matériels et logiciels, a annoncé des plans pour développer des protocoles de communication standardisés qui aideraient les utilisateurs à distinguer les messages légitimes des messages frauduleux.

« Nous devons établir des normes claires sur ce que les entreprises ne demanderont jamais, » a déclaré Pamela Morgan, experte en sécurité des cryptomonnaies et auteur de "Cryptoasset Inheritance Planning"." Content: les campagnes d'ingénierie sociale multi-canal démontrent que la sécurité dans cet espace nécessite une vigilance et une éducation continues.

Pour l'instant, la communauté des cryptomonnaies doit adopter le mantra qui a protégé d'innombrables utilisateurs contre le vol : si quelqu'un ou quelque chose demande votre phrase de récupération - peu importe à quel point cela semble légitime - c'est toujours une arnaque.