Tras bastantes meses sin volver a oír nada sobre ese asunto, hoy he visto que se ha lanzado una nueva demanda colectiva en EEUU contra Shopify (01/04/2022), por su implicación en la filtración de datos de los clientes de Ledger en el 2020. Piden pagos por daños bajo distintos conceptos, aunque no se detalla los importes solicitados. Veremos el recorrido que llegan a tener estas demandas …
Ver:
https://es.benzinga.com/2022/04/09/shopify-enfrenta-demanda-colectiva/ (incluye enlace a demanda)
https://coingeek.com/shopify-faces-fresh-class-action-lawsuit-over-2020-ledger-data-breach/
Topic: Ledger SMS campaña de phishing – otra campaña de phishing mediante SMS en curso (Read 721 times)
April 09, 2022, 10:05:14 AM
June 20, 2021, 07:35:56 AM
Hay una campaña en curso de envío de dispositivos falsos de Ledger, a fin de que reemplaces el tuyo por el "reemplazo" (falso). Por ahora, creo que tan sólo una persona lo ha reportado, pero Ledger lo ha puesto en su página a modo de aviso a navegantes:
https://www.ledger.com/phishing-campaigns-status#phishing-campaigns
No me ha quedado claro si el circuito es completamente falso, o sólo modificado para incluir una unidad flash. La unidad flash contiene una falsa Ledger Live, que si el usuario instala y le proporciona el nemónico de 24 palabras, se encarga de remitírsela a los hackers.
En todo caso, aunque sea un único caso el reportado por ahora, va bien saberlo …
Ver también:
Ledger customer data breach aftermath, a sophisticated scam
https://www.bleepingcomputer.com/news/cryptocurrency/criminals-are-mailing-altered-ledger-devices-to-steal-cryptocurrency/
https://www.ledger.com/phishing-campaigns-status#phishing-campaigns
No me ha quedado claro si el circuito es completamente falso, o sólo modificado para incluir una unidad flash. La unidad flash contiene una falsa Ledger Live, que si el usuario instala y le proporciona el nemónico de 24 palabras, se encarga de remitírsela a los hackers.
En todo caso, aunque sea un único caso el reportado por ahora, va bien saberlo …
Ver también:
Ledger customer data breach aftermath, a sophisticated scam
https://www.bleepingcomputer.com/news/cryptocurrency/criminals-are-mailing-altered-ledger-devices-to-steal-cryptocurrency/
February 18, 2021, 06:13:42 AM
He recibido una carta de la AEPD, indicando que han recibido mi consulta y que la han estudiado blablabla.... se resume la cosa en que le han enviado todo a la autoridad competente francesa al tratarse de un tema trasnfronterizo, y que me mantendran informado.
Tengo que llamarles porque no me gusta demasiado la forma en la que han redactado el historico de acontecimientos; pero parece que, aunque lento, poco a poco vamos sabiendo algo
Tengo que llamarles porque no me gusta demasiado la forma en la que han redactado el historico de acontecimientos; pero parece que, aunque lento, poco a poco vamos sabiendo algo
February 15, 2021, 10:38:01 AM
----
Si que vas rápido! Acababa de verlo y despues de examinar todos sus componentes con atencion, he venido a compartirlo pero alguien pasa mas tiempo que yo en la pantalla ultimamente
Edit: al darle a reportar como spam me ha permitido darme de baja de la lista de suscripción, el ID de la misma es este, no se si sirve de algo:
Code:
MzQ4MzU0MC0zMTIzOC0xNQ==.list-id.mailin.fr
February 15, 2021, 08:41:34 AM
Hacía días que los intentos de phishing a la BD Ledger no pasaban el filtro del spam, además de haberse reducido en cuantía. No obstante, hay un correo nuevo que ha logrado pasar los filtros spam, y lo reflejo aquí para que sepamos que es un claro intento de phishing:
El correo procede del siguiente dominio:
El supuesto update te lleva a un site que lo que hace es pedir tu mnemotécnico de 24 palabras (cosa que obviamente no hemos de proporcionar). La url es la siguiente:
Quote
Dear name surname
(we have included your full name for the authenticity of this message)
Due to latest security issues found in the encryption protocol, we strongly recommend that you proceed with the update.
We regret to inform you that Ledger has experienced a security breach affecting approximately 270.000 of our customers and that wallet associated with your email email@domain is within those affecting by the breach.
On Sunday, February 14th 2021, our forensics team has found several problem with encryption protocol.
Now it's technically impossible to protect your wallet without this update because we do not store anything of this in our server.
For the security of the wallet and your cryptocurrencies we need your help.
It only takes two minutes, but after that you will be sure that your wallet is safe.
Sincerely,
Ledger
(we have included your full name for the authenticity of this message)
Due to latest security issues found in the encryption protocol, we strongly recommend that you proceed with the update.
We regret to inform you that Ledger has experienced a security breach affecting approximately 270.000 of our customers and that wallet associated with your email email@domain is within those affecting by the breach.
On Sunday, February 14th 2021, our forensics team has found several problem with encryption protocol.
Now it's technically impossible to protect your wallet without this update because we do not store anything of this in our server.
For the security of the wallet and your cryptocurrencies we need your help.
It only takes two minutes, but after that you will be sure that your wallet is safe.
Sincerely,
Ledger
El correo procede del siguiente dominio:
Code:
Ledger
El supuesto update te lleva a un site que lo que hace es pedir tu mnemotécnico de 24 palabras (cosa que obviamente no hemos de proporcionar). La url es la siguiente:
Code:
https[colon]//www[dot]cryptoledgerwallet[dot]com/update/
February 08, 2021, 03:25:30 AM
<…>
Lo de las llamadas puede llegar a hacerse pesado, y siempre está la posibilidad de que llegue a llamar algún indeseado que no sea de una empresa de inversión, sino de la banda de la llave inglesa de los 5$ (o afín). Uno puede optar por no coger los números desconocidos, o cambiar de número de móvil, con los incordios derivados.Por algún motivo, un teléfono mío entró en una lista de estas que utilizan personas de otros países para intentar timar mediante la técnica del supuesto soporte de un/tu sistema operativo, que tienes un virus, y que ellos te lo quitan. Ponte en sus manos y te instalan un RAT, para luego o bien encriptarte el contenido y extorsionarte el rescate, o bien obtener tus claves y desplumar tu cripo y/o cuentas bancarias.
Esto viene de lejos en mi caso, y la puerta de entrada no fueron las criptomonedas. Especulo que fue una BD filtrada de usuarios registrados de una marca de ordenadores, pero no lo sé a ciencia cierta. Recibí mi tarjeta de fidelización a sus llamadas probablemente por haberles mandado a algún sitio escatológico, a raíz del cual debo estar en su lista de "muy interesados". A estos ya les puedo decir misa de las listas Robinson ...
February 07, 2021, 06:12:54 PM
Pues no ha cambiado mucho la cosa recientemente; sigo sin tener ninguna noticia de la AEPD, los emails van directos a spam (gracias a dios), y siguen llegando llamadas dia si y dia tambien sobre empresas de inversion que se piensan que quiero invertir algo con ellos. Lo curioso de estas ultimas es que siempre hay muchisimo ruido de fondo, como si hubiera mucha gente haciendo muchas llamadas desde un sitio no muy bien preparado para hacer esto... Resulta bastante evidente que esto es una consecuencia directa del filtrado, ya que crypto e inversiones van de la mano en la cabeza de mucha gente.
Como anecdota de estas semanas, llamada de un número alemán (de Leipzig); ya nos estamos alejando del bombardeo de llamadas de madrid, ruido de fondo, de noseque empresa de inversion... y me acuerdo de mencionarles como comento Ddmr hace unos posts que estoy en la lista Robinson (aunque no este)... respuesta de la otra parte "y yo como voy a saber en que listas estas apuntado". Al mencionar que es una lista anti-spam y que es obligatorio por ley que la miren las prisas por colgarme fueron increibles, cosa de 5 segundos duró la llamada....
Como anecdota de estas semanas, llamada de un número alemán (de Leipzig); ya nos estamos alejando del bombardeo de llamadas de madrid, ruido de fondo, de noseque empresa de inversion... y me acuerdo de mencionarles como comento Ddmr hace unos posts que estoy en la lista Robinson (aunque no este)... respuesta de la otra parte "y yo como voy a saber en que listas estas apuntado". Al mencionar que es una lista anti-spam y que es obligatorio por ley que la miren las prisas por colgarme fueron increibles, cosa de 5 segundos duró la llamada....
January 30, 2021, 09:56:14 AM
Los intentos de phishing siguen, aunque la gran mayoría no parece pasar los filtros de spam, y se quedan en la bandeja correspondiente. Mirando los últimos directamente relacionados con Ledger, el último que he visto versa algo del estilo de lo siguiente:
El mensaje contiene una cantidad de porquería adicional indescifrable, que hace que el mensaje sea de lo menos profesional. Me imagino que los usuarios de Ledger estarán cada vez más acostumbrados a ignorar estos mensajes, pero por probar que no falte …
Quote
We are improving our data security.
Important security update!
Dear nombre apellido,
Our system is developed according to highest security protocols. But we prevented a highly sophisticated cyber attack that could cause a breach of some user data.
Your cryptoassets are always in safety but we publish an update as additional measures to keep our infrastructure and user data more secure.
It is necessary to install a security patch to upgrade software and use Ledger Live wallet. It fixes vulnerabilities that can be processed by hackers. Security patch will be installed automatically on launching Ledger Live App and will update it to version 2.21.0. If it does not autoupdate then please download and install security patch manually from the link below: enlace.
Important security update!
Dear nombre apellido,
Our system is developed according to highest security protocols. But we prevented a highly sophisticated cyber attack that could cause a breach of some user data.
Your cryptoassets are always in safety but we publish an update as additional measures to keep our infrastructure and user data more secure.
It is necessary to install a security patch to upgrade software and use Ledger Live wallet. It fixes vulnerabilities that can be processed by hackers. Security patch will be installed automatically on launching Ledger Live App and will update it to version 2.21.0. If it does not autoupdate then please download and install security patch manually from the link below: enlace.
El mensaje contiene una cantidad de porquería adicional indescifrable, que hace que el mensaje sea de lo menos profesional. Me imagino que los usuarios de Ledger estarán cada vez más acostumbrados a ignorar estos mensajes, pero por probar que no falte …
January 27, 2021, 07:53:59 AM
Los datos de Ledger serán ahora tratados de las dos maneras: como un segmento más targetizado (poseedores probables de criptomonedas), o incorporado a cualquier BD de gente a spamear con cualquier pretexto (visto la bandeja de spam tras el hackeo).
Visto que las webs en las que está disponible la base de datos está llena de script-kiddies, dependerá de quién use las listas y con qué propósito. Puede que incluso empresas reguladas con intenciones comerciales en principio legítimas se planteen tirar de la misma saltándose la protección de datos, pero viendo que cualquier chaval de 13 años la tiene al alcance de la mano, entiendo que el uso principal va a ser a diestro y siniestro, apresurado y chapucero, y sin buenas intenciones, lógicamente.
Desconozco el motivo de que falte información en la BD filtrada; quizá la base íntegra se venda en otros círculos a un precio mayor, y solo se haya filtrado una parte. Sea como sea, a mí de momento -voy a cruzar dedos-, como comentaba, no me ha llegado spam de ningún tipo, y eso que he comprado varios Ledger. ¿Igual depende de la fecha en la que fueron compradas? ni idea, muchas incógnitas.
January 27, 2021, 06:30:21 AM
Que recuerde, prácticamente la totalidad, si no la totalidad, de las BDs de Cliente que he tratado requieren el cruce con las listas Robinson antes de realizar una comunicación, amén de las propias con finalidad afín.
Los que se la suelen pasar por el forro son aquellos que cogen las listas de fijos a partir de un listín telefónico antiguo y se ponen a llamar a diestro y siniestro, sin ser en muchas ocasiones pertenecientes a la empresa a la que dicen representar (si es que lo dicen).
En todo caso, hay listas originadas en hackeos y demás, que se fusionan entre sí, y se venden sin miramientos para los timadores de poca monta. Los datos de Ledger serán ahora tratados de las dos maneras: como un segmento más targetizado (poseedores probables de criptomonedas), o incorporado a cualquier BD de gente a spamear con cualquier pretexto (visto la bandeja de spam tras el hackeo).
Los que se la suelen pasar por el forro son aquellos que cogen las listas de fijos a partir de un listín telefónico antiguo y se ponen a llamar a diestro y siniestro, sin ser en muchas ocasiones pertenecientes a la empresa a la que dicen representar (si es que lo dicen).
En todo caso, hay listas originadas en hackeos y demás, que se fusionan entre sí, y se venden sin miramientos para los timadores de poca monta. Los datos de Ledger serán ahora tratados de las dos maneras: como un segmento más targetizado (poseedores probables de criptomonedas), o incorporado a cualquier BD de gente a spamear con cualquier pretexto (visto la bandeja de spam tras el hackeo).
January 27, 2021, 05:52:38 AM
en teoría no te deben de llamar si estás en esa lista....
Uno de los clientes de mi empresa es una operadora de telefonía y puedo confirmaros que, al menos para los SMS/MMS/emails, se toman el tema de robinson bastante en serio y cuando hay alguna incidencia (p.ej. algún problema cargando la lista de teléfonos) nos piden que la miremos rapidito.
Por si sirve de algo
January 26, 2021, 12:41:29 PM
Sería raro que no te estén bombardeando a spam, la verdad. Puede que en si no tenga nada que ver, pero desde que se filtraron los datos me llegan más de 10 emails directos a la carpeta de spam (y eso que en algunos me quieren regalar millones de dolares!), y llevo 2 semanas que recibo cada día llamadas de números madrileños de "empresas de inversión".
Por si a alguién más le pasa esto último, aparte de bloquear el número despues de la llamada, hay un forma para que te cuelguen. En mi caso con decirles un "No estoy interesado, borrad todos mis datos, no os he dado mis datos" bastó la cosa (bastante maleducado por su parte, he de decir)
Por si a alguién más le pasa esto último, aparte de bloquear el número despues de la llamada, hay un forma para que te cuelguen. En mi caso con decirles un "No estoy interesado, borrad todos mis datos, no os he dado mis datos" bastó la cosa (bastante maleducado por su parte, he de decir)
Aunque no te lo creas, acabo de leer tu mensaje y ahora todo me cuadra. Llevo dos semanas que no hay un día que no me llame un teléfono de Madrid. Lo que me tiene rayado es que siempre es de Madrid y me llaman para ofrecer mejoras en tarifas eléctricas, telefonía, asesoría energética.... pero es que no le encuentro relación a los del 'phising' del Ledger. Lo que también es cierto que muchas de estas llamadas se cortan y muchas otras ya las cuelgo y bloqueo los teléfonos, per llevo un par de semanas que solo veo un 910....
Ahora mismo no recuerdo si hace años incluso incluí mi teléfono en la Lista Robinson o igual fue el de mi mujer sólo. No obstante, os dejo el enlace para el que le quiera echar un ojo, en teoría no te deben de llamar si estás en esa lista....
January 26, 2021, 10:45:35 AM
<…>
Lo de las llamas "comerciales", derivadas de la publicación de los datos Ledger está al orden del día. Es un canal más para intentar sisar a la gente, y aunque estés en las listas Robinson (argumento que uso de preámbulo), normalmente les da bastante igual (no hablo sólo por este caso, sino en términos generales en relación a las llamadas). Otra opción a ponderar en este caso es cambiar el número móvil, pero ahí cada cual tiene sus circunstancias a valorar.El caso es que, a través de las llamadas, algunos logran su botín. Recuerdo haber leído múltiples casos de gente de cierta edad desplomada por estas prácticas, por algún motivo usualmente residente en Inglaterra, y a los cuales les venden los servicios de inversión en bitcoin con pingues (irrelales) beneficios.
January 26, 2021, 10:02:17 AM
Estaré más atento al email, ya que es cierto que puede que no se quede en un primer intento como hicieron con el mensaje del móvil y vuelvan a la carga por otro medio.
Sería raro que no te estén bombardeando a spam, la verdad. Puede que en si no tenga nada que ver, pero desde que se filtraron los datos me llegan más de 10 emails directos a la carpeta de spam (y eso que en algunos me quieren regalar millones de dolares!), y llevo 2 semanas que recibo cada día llamadas de números madrileños de "empresas de inversión".
Por si a alguién más le pasa esto último, aparte de bloquear el número despues de la llamada, hay un forma para que te cuelguen. En mi caso con decirles un "No estoy interesado, borrad todos mis datos, no os he dado mis datos" bastó la cosa (bastante maleducado por su parte, he de decir)
January 26, 2021, 03:55:47 AM
La probabilidad de que suceda algo físico es muy baja diría (no imposible). Al fin y al cabo, viendo donde vive uno y/o el vehículo que lleva parece más indicativo de si la persona tiene poder adquisitivo.
En mi caso, ha coincidido que cuando me compré el ledger vivía en otro domicilio, por lo que en ese sentido la preocupación prácticamente es nula, lo que mi mujer se preocupa por los inquilinos de la casa ahora que son conocidos y personas mayores, pero eso ya no puedo hacer nada. Además es un bloque de pisos...
Estos días, entre los emails recibidos sobre mi correo expuesto, he recibido uno relativo a una persona que dice estar en posesión de los documentos KYC y los datos de contacto de un Exchange menor (con el cual tuve alguna relación en su momento). Según la persona, ha intentado chantajear al Exchange, han pasado de él, y ha pasado a pedir "la colaboración" de las personas del supuesto filtrado de datos. Según indica, la BD no es de dominio público, pero si no la rentabiliza, lo hará. Para que veamos cómo está el percal…
Estaré más atento al email, ya que es cierto que puede que no se quede en un primer intento como hicieron con el mensaje del móvil y vuelvan a la carga por otro medio.
January 26, 2021, 03:50:23 AM
Lo de la mujer, hombre, lo ideal es no tener secretos con la parienta, pero si ya la conoces deberías haber previsto el posible output. Espero que se le olvide pronto.
Uff el tema de las criptos no lo ve y mira que empecé en 2017 minando ethereum y demás, vamos que ya se maneja un poco y sabe hasta el botón de reinicio de la placa base en caso de necesitar un reset. Pero como no he sacado un duro, no confía mucho en las criptos, cree que esto de un día para otro desaparecerá...
En las navidades de 2017 le regalé un ledger escondido en un conejito de peluche, para cuando tengamos críos, y me dijo que muy bonito, pero que lo iba a dejar en un armario y no lo iba a tocar, y que me encargue yo 
Buenísimo lo del conejito
, yo hice un amago y le dije que el mejor regalo que le podíamos hacer a los niños era un ledger y un par de ethers a cada uno, para que cuando tuvieran mayoría de edad ya tendrían su coche, pero es que ni me contestó jajaja January 26, 2021, 03:43:40 AM
<…>
La probabilidad de que suceda algo físico es muy baja diría (no imposible). Al fin y al cabo, viendo donde vive uno y/o el vehículo que lleva parece más indicativo de si la persona tiene poder adquisitivo. Es mucho más probable que sufras múltiples intentos de timos a través de phishing/smishing, llamadas directas, o que incluso alguien se aventure a intentar realizar un sim-swapping a ver qué pilla (en un Exchange o similar). Ante esto, uno ha de valorar si cambiar su número de móvil, dar de baja el vigente, cambiar el móvil allá donde figure como posible camino de acceso a una cuenta, cambiar su email, etc.
Estos días, entre los emails recibidos sobre mi correo expuesto, he recibido uno relativo a una persona que dice estar en posesión de los documentos KYC y los datos de contacto de un Exchange menor (con el cual tuve alguna relación en su momento). Según la persona, ha intentado chantajear al Exchange, han pasado de él, y ha pasado a pedir "la colaboración" de las personas del supuesto filtrado de datos. Según indica, la BD no es de dominio público, pero si no la rentabiliza, lo hará. Para que veamos cómo está el percal…
January 25, 2021, 02:56:56 PM
Otro amiguete mío ha pasado los fondos a Binance y está haciendo compound y staking y me tiene la cabeza loca, dice que están más seguros los fondos en Binance que en un ledger en tu casa, ya cada uno ...
Dile a tu amiguete de mi parte que está chalao
Lo de la mujer, hombre, lo ideal es no tener secretos con la parienta, pero si ya la conoces deberías haber previsto el posible output. Espero que se le olvide pronto.
Esto de las cryptos y las parejas es muy complicado, depende del carácter que tenga, o le pareces un tipo interesante -las menos ocasiones, pero conozco casos- o te tacha de imprudente y faltarte un tornillo. En mi caso he tenido relativa suerte y me ha tocado el caso intermedio, el de no querer saber nada del tema. En las navidades de 2017 le regalé un ledger escondido en un conejito de peluche, para cuando tengamos críos, y me dijo que muy bonito, pero que lo iba a dejar en un armario y no lo iba a tocar, y que me encargue yo
January 25, 2021, 01:40:26 PM
No pensemos que con el caso Ledger ya hemos cubierto el cupo. Aunque se trate de un exchange de la india, BuyUCoin, y nos pille algo lejanos, esto le puede suceder eventualmente a cualquier otro Exchange, se haga o no público:
Un grupo de hackers ha filtrado supuestamente datos particulares de entre 161K y 325K clientes del Exchange, haciendo accesible a malhechores los nombres, emails, teléfonos, cuentas bancarias, detalles de las wallets (se entiende que en el Exchange), etc. Vamos, que ya están tardando en cambiar sus canales de comunicación y ver cómo puede afectar a sus cuentas bancarias (se me ocurre el caso de la impersonalización).
Ver: https://es.cointelegraph.com/news/breach-at-indian-exchange-buyucoin-allegedly-exposes-325k-users-personal-data
Un grupo de hackers ha filtrado supuestamente datos particulares de entre 161K y 325K clientes del Exchange, haciendo accesible a malhechores los nombres, emails, teléfonos, cuentas bancarias, detalles de las wallets (se entiende que en el Exchange), etc. Vamos, que ya están tardando en cambiar sus canales de comunicación y ver cómo puede afectar a sus cuentas bancarias (se me ocurre el caso de la impersonalización).
Ver: https://es.cointelegraph.com/news/breach-at-indian-exchange-buyucoin-allegedly-exposes-325k-users-personal-data
En mi caso a mi sí me a tocado el tema del phising del Ledger, me llegó el mensaje al móvil y no sabía nada de lo que había ocurrido. Me metí a investigar un poco y efectivamente pude ver toda la historia. Lo que me preocupa de estos temas es que tengan nuestra información personal gente que no ande bien de la cabeza y al final cambies tus planes. Yo la verdad que ando tranquilo, realmente no creo que a nadie le pase nada, pero cuando mi mujer se enteró de la historia (por supuesto que yo no le dije nada), no veas ahora aguantar el que si saben donde vives, que si no se que y encima que tengo dos duros y medio en el Ledger.
Otro amiguete mío ha pasado los fondos a Binance y está haciendo compound y staking y me tiene la cabeza loca, dice que están más seguros los fondos en Binance que en un ledger en tu casa, ya cada uno ...
January 25, 2021, 01:24:19 PM
No pensemos que con el caso Ledger ya hemos cubierto el cupo. Aunque se trate de un exchange de la india, BuyUCoin, y nos pille algo lejanos, esto le puede suceder eventualmente a cualquier otro Exchange, se haga o no público:
Un grupo de hackers ha filtrado supuestamente datos particulares de entre 161K y 325K clientes del Exchange, haciendo accesible a malhechores los nombres, emails, teléfonos, cuentas bancarias, detalles de las wallets (se entiende que en el Exchange), etc. Vamos, que ya están tardando en cambiar sus canales de comunicación y ver cómo puede afectar a sus cuentas bancarias (se me ocurre el caso de la impersonalización).
Ver: https://es.cointelegraph.com/news/breach-at-indian-exchange-buyucoin-allegedly-exposes-325k-users-personal-data
Un grupo de hackers ha filtrado supuestamente datos particulares de entre 161K y 325K clientes del Exchange, haciendo accesible a malhechores los nombres, emails, teléfonos, cuentas bancarias, detalles de las wallets (se entiende que en el Exchange), etc. Vamos, que ya están tardando en cambiar sus canales de comunicación y ver cómo puede afectar a sus cuentas bancarias (se me ocurre el caso de la impersonalización).
Ver: https://es.cointelegraph.com/news/breach-at-indian-exchange-buyucoin-allegedly-exposes-325k-users-personal-data
January 24, 2021, 10:37:50 AM
Esto es un ejemplo de supuesto sim swapping que afecta a un caso de un usuario de Ledger, pero que esta tan mal explicado, y que es tan incoherente, que no hay por dónde cogerlo: https://decrypt.co/55137/man-loses-27000-in-bitcoin-to-sim-swap-scam
No hay manera de ver si el caso tiene relación con el filtrado de información de clientes Ledger, pero en una parte del redactado, cita que la persona en cuestión fue contactada por supuestos empleados de Ledger, que verbalmente le indicaron que su cuenta estaba comprometida. La persona entregó su "contraseña y los números de identificación de la cuenta" al llamante (véase la incoherencia en lo que les entregó), tras lo cual le desplumaron 27K$ en bitcoin.
Haciendo un ejercicio de comprensión con el redactor, probablemente neófito en la materia, o perdido en la traducción, el llamante le pidió el mnemotécnico de 24 palabras, y luego lo reestableció en otra wallet (del tipo que sea) para clonar la original, pudiendo mover los bitcoins sin problemas.
Para esto no hace falta hacer realmente realizar un sim swapping, sino sencillamente llamar a personas de las listas, encontrar alguno que esté realmente pez, y proceder al timo del técnico que te resuelve el problema … de manera permanente …
No hay manera de ver si el caso tiene relación con el filtrado de información de clientes Ledger, pero en una parte del redactado, cita que la persona en cuestión fue contactada por supuestos empleados de Ledger, que verbalmente le indicaron que su cuenta estaba comprometida. La persona entregó su "contraseña y los números de identificación de la cuenta" al llamante (véase la incoherencia en lo que les entregó), tras lo cual le desplumaron 27K$ en bitcoin.
Haciendo un ejercicio de comprensión con el redactor, probablemente neófito en la materia, o perdido en la traducción, el llamante le pidió el mnemotécnico de 24 palabras, y luego lo reestableció en otra wallet (del tipo que sea) para clonar la original, pudiendo mover los bitcoins sin problemas.
Para esto no hace falta hacer realmente realizar un sim swapping, sino sencillamente llamar a personas de las listas, encontrar alguno que esté realmente pez, y proceder al timo del técnico que te resuelve el problema … de manera permanente …
January 17, 2021, 09:49:19 AM
<…>
Probablemente sea una nueva estrategia de las compañías de Zuckerberg para que les facilites los datos, abriendo una línea comercial de venta a timadores de todo tipo …Veo que ya has visto el post sobre reclamos de compensaciones. Hay gente realmente experta en estos temas. Me refiero a particulares que se dan de alta en las listas robinson, y luego reclaman compensación por recibir información comercial de las compañías. Desconozco lo que sacan pero ahí están.
En el caso de Ledger, por ahora, los efectos laterales conocidos resultantes son principalmente el incremento del spam por correo electrónico, el spam por sms, y las llamadas directas por parte de supuestas empresas de inversión. Casos de Sim swapping creo haber leído uno (y puede ser coyuntural en el tiempo, y no causa/efecto), pero este último es un riesgo que te puede afectar, con independencia de tu pericia para esquivar casos de phishing multicanal.
January 17, 2021, 08:59:34 AM
Como han pasado ya 10 días desde que mandé todo el papeleo y he tenido 0 respuesta; estoy explorando la web de la aepd para ver si consigo encontrar alguna página donde pueda ver las reclamaciones en curso. Por ahora no he encontrado nada, asique supongo que el martes que tendré tiempo les llamaré para consultar....
Lo que si he encontrado mientras tanto, es esto:
Importante también añadir que he encontrado esto entre las cosas que NO puede hacer la AEPD; por si alguno estaba frotandose ya las manos. Sin embargo, supongo que si la propia agencia dictamina que si se han vulnerado los datos, a cualquiera interesado en dar ese siguiente paso a tribunales le hará las cosas mucho más fáciles.
Bueno, vengo a editar esto porque acabo de recibir uno de los mensajes de spam más divertidos de mi vida:
Podeis ir muriendoos de envidia, que mr zuckerberg me va a dar una millonada por mi cara bonita
Lo que si he encontrado mientras tanto, es esto:
Quote
El comercio online, así como cualquiera que en su nombre recoja o trate datos personales, está obligado a guardar secreto profesional. Esa obligación continúa incluso después de haber finalizado la relación comercial o contractual con él.En ningún caso pueden hacerse públicos los datos personales de los visitantes y clientes de un comercio online sin su consentimiento. Su publicación en internet de forma que sea accesible sin restricciones es una violación de la normativa vigente que puede ser denunciada ante la AEPD.
https://www.aepd.es/sites/default/files/2019-09/guia-compra-segura-digital-web.pdfImportante también añadir que he encontrado esto entre las cosas que NO puede hacer la AEPD; por si alguno estaba frotandose ya las manos. Sin embargo, supongo que si la propia agencia dictamina que si se han vulnerado los datos, a cualquiera interesado en dar ese siguiente paso a tribunales le hará las cosas mucho más fáciles.
Quote
Si lo que solicitas es una indemnización derivada del tratamiento de tus datos personales, puesto que en este caso debes acudir a los Tribunales
https://www.aepd.es/es/la-agencia/en-que-podemos-ayudarteBueno, vengo a editar esto porque acabo de recibir uno de los mensajes de spam más divertidos de mi vida:
Quote
My name is Mark Zuckerberg,A philanthropist the Co- founder and CEO of the social-networking website called Facebook,As well as one of the world's youngest billionaire's and Chairman of the Mark Zuckerberg Charitable Foundation which is also One of the largest private foundations in the world right now.I believe strongly in‘giving while living' I have one idea that never changed in my mind - that you should use your wealth to help people and i have decided to secretly give {$1,500,000.00} to randomly selected individuals worldwide. On the receipt of this email, You should count yourself as the lucky winner. Your email address was chosen online while searching at random.Kindly get back to me at your earliest convenience,so I know your email address is valid(-----) Email me. Visit the web page to know more about me: https://en.wikipedia.org/wiki/ Mark_Zuckerberg/ or you can Google me (Mark Zuckerberg)
Podeis ir muriendoos de envidia, que mr zuckerberg me va a dar una millonada por mi cara bonita
January 14, 2021, 04:24:58 AM
Ledger prepara un nuevo sistema de seguridad para datos
https://news.bit2me.com/ledger-prepara-nuevo-sistema-de-seguridad-para-datos
Quote
la compañía continúa señalando que cambiará la forma en la que la compañía recopilará y manejará los datos de los clientes. Por ejemplo, Ledger mantendrá los datos personales de usuarios y clientes durante el menor tiempo posible legalmente. Además también minimizará al máximo la visualización de los datos personales en correos electrónicos y moverá los datos necesarios hacia un entorno más segregado lo antes posible. Sumado a esto creará un canal seguro de comunicación y mensajería efectiva por medio de Ledger Live, que los usuarios podrán utilizar de forma confiable.
Quote
Según informó el nuevo jefe de seguridad de Ledger, Matt Johnson, que se unió a la compañía a mediados de diciembre, la empresa ya está preparada para lanzar nuevas medidas de seguridad que permitirán reforzar la protección de los datos de sus usuarios y clientes, y evitar futuros ataques y filtraciones como el que ocurrió entre los meses de junio y julio de 2020. Esta filtración de datos, que se realizó a las bases de datos de marketing y comercio electrónico de Ledger, dejó expuesta información personal y privada de más de 1 millón de usuarios de la compañía, que se han visto fuertemente afectados por ataques de phishing, donde los ciberdelincuentes buscan engañarlos para despojarlos de sus criptomonedas.
https://news.bit2me.com/ledger-prepara-nuevo-sistema-de-seguridad-para-datos
January 14, 2021, 04:03:53 AM
<…>
He estado mirando el tema un poco más, y por lo que he visto, diría que cuando compras en la página de Ledger, tus datos primero van a parar a la BD de Shopify, desde la cual presumiblemente se los remiten a Ledger para que los incorpore a su BD de clientes.Uno diría que Shopify actúa por tanto a modo de pasarela de datos, y que no tendría porqué retener los datos de los compradores de Ledger, dado que el usuario no puede interactuar más con estos datos (no hay ficha de cliente para ver ni editar). No obstante, la plataforma de Shopify si permite la gestión de Clientes, derivar perfiles de los mismos, etc.
Es decir, como plataforma, debe ser inherente almacenar los datos de los clientes, si bien algunas corporaciones que usen Shopify explotarán esta funcionalidad, y otros no (como es el caso de Ledger). Por tanto, aunque conceptualmente la plataforma de Shopify parece que podría dejar de tener los datos de los clientes de Ledger una vez finalizada la compra (y traspasados a Ledger), su estructura técnica probablemente lo almacena de manera inherente.
Como tal, las clausulas relativas al tratamiento de datos cubren esta posibilidad en su verborrea genérica, pero siendo realistas, ningún cliente es conocedor real de este hecho, ni se lo espera.
January 13, 2021, 12:55:51 PM
Parecen ser dos filtraciones (manda cojones, con perdón), pero con un 93% de coincidencia (yupi ..):
De verdad? Eso hace que sea bastante peor.... No solo les roban los datos en Abril; sino que además no los protegen y LOS VUELVEN A ROBAR poco mas de medio año despues? Te tienes que reir...
January 13, 2021, 12:51:11 PM
Parecen ser dos filtraciones (manda cojones, con perdón), pero con un 93% de coincidencia (yupi ..):
<…>
Pues sí … Ya no voy ni intentar decodificar la lógica de la API de Ledger, fuente de su filtrado, cuando los datos comerciales estaban en la plataforma de e-commerce (Shopify) – salvo que fuese la API de comunicación entre ambas plataformas. January 13, 2021, 12:38:00 PM
este comunicado es un intento de descarga de responsabilidad sobre Shopify
Resumiendo....Por lo que entiendo de todo este meollo con un poco de imaginación, es que lo que negaron de Shopify en un principio fue que la BD fuera real, al ser en principio de 2016, fecha en la cual no utilizaban esa aplicación
Quote
The hacker claims he hacked Ledger clients’ database through a Shopify exploit in 2016. While Ledger currently uses Shopify as a third party provider for its ecommerce operation, this was not the case back in 2016.
Parece ser que es un solo ataque, aunque no me termina de quedar clara la cosa. En principio, los datos de Ledger se obtuvieron mediante una API externa, pero en la información de shopify; son varios miembros del equipo de soporte los que procedieron al filtrado. Lo cual nos lleva a otra cuestión: Si el API externa era oficial, como lo pudieron detectar unos consultores externos? No estoy muy aplicado en estos temas, pero si el ataque vino de dentro, no veo como se podría detectar
Es en principio también el mismo conjunto de datos; aunque con 20.000 más que los que se publicaron en diciembre (que ahora parece hasta un numero pequeño y todo).
A ver que nos cuenta la AEPD cuando se pongan con ello....
January 13, 2021, 11:38:35 AM
Estos de Ledger parecen tener dificultades en saber gestionar los comunicados. Primero, diría que en Julio 2020, informar de un hackeo, minimizando el volumen de clientes impactados con datos personales (9.500) + 1M emails. Luego, en diciembre, informan que la cifra es de 272.00 (tras ver la BD en Raidforum).
Ahora, envían un nuevo comunicado relativo al breach de Shopify, que es su proveedor de e-comerce (al comprar en la página de Ledger, entiendo que va a través de Shopify). Por las fechas que indican en comunicado abajo citado, estamos hablando de los mismo (dicen que hasta el 21/12/2020 no supieron que Ledger era de los productos sobre los cuales se extrajo información desde Shopify – la fecha es la misma que la oficialización del hackeo tras Raidforum).
O me he perdido algo, o el comunicado abajo citado no referencia el recibido el 21/12/2020 por parte de las personas perjudicadas. Si hablan de lo mismo, deberían explicitarlo, e indicar que este comunicado es un intento de descarga de responsabilidad sobre Shopify. Si son dos cosas distintas, ¿son conjuntos distintos con posibles coincidencias? ¿Es un hackeo o dos?
Hablan de que Shopify se lo comunicó el día 23/12/2020, lo cual no me cuadra con el segundo comunicado, que fue anterior (del 21/12/2020).
O estoy espeso, o tienen problemas de comunicación …
En su momento, dijeron que lo de Shopify no les afectaba (ver https://www.ledger.com/our-ecommerce-database-has-not-been-hacked). Tururú …
Ahora, envían un nuevo comunicado relativo al breach de Shopify, que es su proveedor de e-comerce (al comprar en la página de Ledger, entiendo que va a través de Shopify). Por las fechas que indican en comunicado abajo citado, estamos hablando de los mismo (dicen que hasta el 21/12/2020 no supieron que Ledger era de los productos sobre los cuales se extrajo información desde Shopify – la fecha es la misma que la oficialización del hackeo tras Raidforum).
O me he perdido algo, o el comunicado abajo citado no referencia el recibido el 21/12/2020 por parte de las personas perjudicadas. Si hablan de lo mismo, deberían explicitarlo, e indicar que este comunicado es un intento de descarga de responsabilidad sobre Shopify. Si son dos cosas distintas, ¿son conjuntos distintos con posibles coincidencias? ¿Es un hackeo o dos?
Hablan de que Shopify se lo comunicó el día 23/12/2020, lo cual no me cuadra con el segundo comunicado, que fue anterior (del 21/12/2020).
O estoy espeso, o tienen problemas de comunicación …
Quote
Dear client,
On December 23, 2020, Shopify, our e-commerce service provider, informed Ledger of an incident involving merchant data. Rogue agent(s) of their customer support team obtained Ledger customer transactional records in April and June 2020. This is related to the incident reported by Shopify in September 2020, which concerns more than 200 merchants, but until December 21, 2020, Shopify had not identified this affected Ledger as well.
We were able to examine the stolen data together with a third party forensic firm to identify the impacted customers.
We regret to inform you that you are part of the customers whose detailed personal information was stolen by Shopify rogue agent(s). Specifically, your name and surname, detail of product(s) ordered, phone number and your postal address were exposed.
We notified the French Data Protection Authority on December 26, 2020. We are continuing to work with Shopify and law enforcement on the case; an investigation is already underway, led by the FBI and the RCMP. Ledger also reported the events to the French Public Prosecutor and filed a complaint against the rogue agent(s).
Thefts and attacks such as this cannot go uninvestigated or unprosecuted. We continue to work with law enforcement as well as private investigators on these cases, and we are adding more firepower by hiring additional private investigation capacity, adding experience and approaches to finding those responsible for these data thefts.
FINALLY, keeping you secure is our reason for existing. We will soon release a technical solution that will remove the 24 words as the single pillar of the security of our hardware wallets and will open the door to funds insurance.
If you would like more detail on the many steps we are taking to prevent such incidents in the future, please read this blog post.
Sincerely,
Pascal Gauthier
Ledger CEO
On December 23, 2020, Shopify, our e-commerce service provider, informed Ledger of an incident involving merchant data. Rogue agent(s) of their customer support team obtained Ledger customer transactional records in April and June 2020. This is related to the incident reported by Shopify in September 2020, which concerns more than 200 merchants, but until December 21, 2020, Shopify had not identified this affected Ledger as well.
We were able to examine the stolen data together with a third party forensic firm to identify the impacted customers.
We regret to inform you that you are part of the customers whose detailed personal information was stolen by Shopify rogue agent(s). Specifically, your name and surname, detail of product(s) ordered, phone number and your postal address were exposed.
We notified the French Data Protection Authority on December 26, 2020. We are continuing to work with Shopify and law enforcement on the case; an investigation is already underway, led by the FBI and the RCMP. Ledger also reported the events to the French Public Prosecutor and filed a complaint against the rogue agent(s).
Thefts and attacks such as this cannot go uninvestigated or unprosecuted. We continue to work with law enforcement as well as private investigators on these cases, and we are adding more firepower by hiring additional private investigation capacity, adding experience and approaches to finding those responsible for these data thefts.
FINALLY, keeping you secure is our reason for existing. We will soon release a technical solution that will remove the 24 words as the single pillar of the security of our hardware wallets and will open the door to funds insurance.
If you would like more detail on the many steps we are taking to prevent such incidents in the future, please read this blog post.
Sincerely,
Pascal Gauthier
Ledger CEO
En su momento, dijeron que lo de Shopify no les afectaba (ver https://www.ledger.com/our-ecommerce-database-has-not-been-hacked). Tururú …
January 07, 2021, 10:16:14 AM
Estos días ha bajado mucho la intensidad de los intentos de phishing/smishing sobre la BD de Ledger. Hay más entradas en la bandeja de Spam que antes, pero con todo tipo de pretextos distantes del ámbito cripto. Ya regresarán supongo …
En lo relativo a la BD filtrada, algunos fueron algo hábiles, y dejaron como teléfono de contacto el del diablo (66666xx).
Por curiosidad, he mirado la BD de emails para ver qué dominios son los más populares: Del 1.075.382 emails, el top 10 es:
Los más privados que usan protonmail representa el 10,89%, mientras que el más popular, gmail, representa el 53,5% …
En lo relativo a la BD filtrada, algunos fueron algo hábiles, y dejaron como teléfono de contacto el del diablo (66666xx).
Por curiosidad, he mirado la BD de emails para ver qué dominios son los más populares: Del 1.075.382 emails, el top 10 es:
Code:
gmail.com 575419
hotmail.com 82308
yahoo.com 60114
outlook.com 13948
protonmail.com 11719
icloud.com 10414
aol.com 9427
gmx.de 9115
web.de 8274
mail.ru 8099
hotmail.com 82308
yahoo.com 60114
outlook.com 13948
protonmail.com 11719
icloud.com 10414
aol.com 9427
gmx.de 9115
web.de 8274
mail.ru 8099
Los más privados que usan protonmail representa el 10,89%, mientras que el más popular, gmail, representa el 53,5% …
January 07, 2021, 09:21:02 AM
Y eso es todo por ahora; en palabras de la persona escuchando mis quejas, los de Ledger "han preparado una monumental", y "es casi imposible que no les caiga un paquete* (y de eso se va a encargar la AEPD)"
*Cuando hablo de que la compañia tenga que pagar, no me refiero a pagarnos a nosotros los afectados (que no estaria nada mal, pero bueno) sino que a multas y diversas sanciones por las ineptitudes que han demostrado tener a la hora de operar con información tan sensible
*Cuando hablo de que la compañia tenga que pagar, no me refiero a pagarnos a nosotros los afectados (que no estaria nada mal, pero bueno) sino que a multas y diversas sanciones por las ineptitudes que han demostrado tener a la hora de operar con información tan sensible
Al final, poco positivo creo que puede salir de aquí... todo sea que lo de las multas no sea un mero "farol" y que Ledger, ahogada por las críticas y también económicamente, acabe dejando de darnos soporte algún día.
Tenía pensado crear un hilo ad hoc, porque en este seguramente se pierda, pero bueno por no duplicar lo escribo aquí: fruto de la curiosidad, y gracias a un tercero bastante mas hábil que yo con los ordenadores, he podido comprobar que no estoy en la infame base de datos que se ha filtrado (sí está mi mail en la otra base de datos, de newsletter, pero me parece peccata minuta comparado con la filtración de direcciones, o números de teléfono). Si alguien está preocupado y quiere salir de dudas sobre cuáles de sus datos se han podido filtrar, que me escriba por privado.
January 07, 2021, 08:37:32 AM
Pues como ya he avanzado en otro hilo, tenia cita para entregar la documentación hoy a la mañana. Estoy sumamente aterrado por la gestión de papeleo en la administración pública; me he quedado sin palabras.
Lo primero, ya había comentado que solo tenía 3 opciones de enviarlo: web con certificado digital (no tengo), correo postal, o en un ente gubernamental para que se lo "hicieran llegar". El "hacernoslo llegar" suponía que sería por correo postal, pero no podía estar más equivocado. Literalmente he entregado los papeles, les han quitado las grapas, los han escaneado, y los han enviado escaneados (me han devuelto los de papel por lo menos). Además, leyendo el justificante, el motivo de mi denuncia segun la persona de ventanilla es "denuncia notificaciones de los denominados SMS phishing"; ninguna mención a un robo masivo de datos personales...
Supongo que me tocará llamarles, y explicar que la persona de ventanilla no era precisamente "user-friendly" y que puso lo que le dio la gana
Lo primero, ya había comentado que solo tenía 3 opciones de enviarlo: web con certificado digital (no tengo), correo postal, o en un ente gubernamental para que se lo "hicieran llegar". El "hacernoslo llegar" suponía que sería por correo postal, pero no podía estar más equivocado. Literalmente he entregado los papeles, les han quitado las grapas, los han escaneado, y los han enviado escaneados (me han devuelto los de papel por lo menos). Además, leyendo el justificante, el motivo de mi denuncia segun la persona de ventanilla es "denuncia notificaciones de los denominados SMS phishing"; ninguna mención a un robo masivo de datos personales...
Supongo que me tocará llamarles, y explicar que la persona de ventanilla no era precisamente "user-friendly" y que puso lo que le dio la gana
December 30, 2020, 05:11:11 AM
<…>
En lo relativo a la política de Trezor, habría que saber bien cómo lo cocinan. Comprendo lo de anonimizar los datos tras 90 días como se haría, pero no quiere decir que la anomización sea irreversible. Me explico: La compra devenga en una factura, y éstas tienen un plazo legal de conservación. Mínimo deben poder casar los datos durante el periodo de garantía del producto (1 o 2 años según el país). En España se han de conservar 4 años.
Pongamos que sea 1 año por ir al caso menor. Si uno reclama algo respecto de su dispositivo, Ledger ha de poder contrastar los datos de factura, luego los datos, de alguna manera, están allí, sea:
- Porque lo mueven de la BD de e-commerce (que es la que dicen anonimizar) a la BD de facturas.
- O por tener ya de por sí las dos BD, y la borran de una, pero están en la otra.
- O por anonimizar mediante encriptación, lo cual es reversible con la clave de desencriptación.
- Posiblemente accesibles para alguna API.
No descarto que realmente anonimicen los datos de manera irreversible, pero no me lo creo simplemente por el archivo de facturas que deben tener de manera legal, con los datos del cliente.
Luego no nos pensemos que sólo debe preocupar lo que está online. Todas las copias de seguridad son susceptibles de ser potencialmente robadas/hackeadas. Ahí dependerá de su política de copias y rescate, y cómo de bien están protegidas.
La política de privacidad de Ledger es la siguiente: https://shop.ledger.com/pages/privacy-policy
Efectivamente, la información filtrada es un cúmulo de, cuanto menos, dos años y medio de datos (te diré …). En teoría se originó a partir de una API con demasiados permisos para un tercero (si no recuerdo mal).
December 29, 2020, 05:54:43 PM
He estado siguiendo esta situación por algún tiempo y una pregunta que se me vino a la mente es que esta pasando con el competidor de Ledger? Y revisando su blog me encontré con esta noticia.
https://blog.trezor.io/phishing-attacks-are-targeting-trezor-users-4edac4cb96fa
Al parecer ni siquiera los usuarios de Trezor están a salvo porque los hackers han inferido que si tienes una cartera como Ledger es probable que también tengas una Trezor, lo que no acabo de entender es que al parecer Trezor tiene una política de anonimizar la información de sus clientes en 90 días o incluso borrarla si así se solicita antes de ese plazo, alguien sabe cuál era la política de privacidad de Ledger? Porque dudo mucho que toda esta información que se ha filtrado sea información de los últimos meses, esta es información que probablemente han recolectado durante años.
https://blog.trezor.io/phishing-attacks-are-targeting-trezor-users-4edac4cb96fa
Al parecer ni siquiera los usuarios de Trezor están a salvo porque los hackers han inferido que si tienes una cartera como Ledger es probable que también tengas una Trezor, lo que no acabo de entender es que al parecer Trezor tiene una política de anonimizar la información de sus clientes en 90 días o incluso borrarla si así se solicita antes de ese plazo, alguien sabe cuál era la política de privacidad de Ledger? Porque dudo mucho que toda esta información que se ha filtrado sea información de los últimos meses, esta es información que probablemente han recolectado durante años.
December 29, 2020, 02:41:14 PM
Pues al final he conseguido la tarde de hoy para tirar en comisaria por este tema, y no sorprendentemente, he salido con las manos casi vacias.
Resumiendo un poco:
-Solo puedo denunciar las cosas cuando ya han pasado, por lo que da igual que a la mitad de la lista les haya llegado un mensaje del estilo "se donde vives, pagame para que no te de una paliza", que hasta que no lo reciba yo, no hay nada que hacer (lo mismo con swim swapping y demases).
-En la AEPD SI que se pueden hacer cosas, e invito al resto de afectados a presentar su correspondiente escrito explicando lo que ha pasado y como os está afectando personalmente. El problema del COVID+Navidades es que hasta el 7 de enero no me daban cita para aportar todos los datos en papel, pero que ahí si que hay por donde rascar.
Y eso es todo por ahora; en palabras de la persona escuchando mis quejas, los de Ledger "han preparado una monumental", y "es casi imposible que no les caiga un paquete* (y de eso se va a encargar la AEPD)"
*Cuando hablo de que la compañia tenga que pagar, no me refiero a pagarnos a nosotros los afectados (que no estaria nada mal, pero bueno) sino que a multas y diversas sanciones por las ineptitudes que han demostrado tener a la hora de operar con información tan sensible
Resumiendo un poco:
-Solo puedo denunciar las cosas cuando ya han pasado, por lo que da igual que a la mitad de la lista les haya llegado un mensaje del estilo "se donde vives, pagame para que no te de una paliza", que hasta que no lo reciba yo, no hay nada que hacer (lo mismo con swim swapping y demases).
-En la AEPD SI que se pueden hacer cosas, e invito al resto de afectados a presentar su correspondiente escrito explicando lo que ha pasado y como os está afectando personalmente. El problema del COVID+Navidades es que hasta el 7 de enero no me daban cita para aportar todos los datos en papel
, pero que ahí si que hay por donde rascar.Y eso es todo por ahora; en palabras de la persona escuchando mis quejas, los de Ledger "han preparado una monumental", y "es casi imposible que no les caiga un paquete* (y de eso se va a encargar la AEPD)"
*Cuando hablo de que la compañia tenga que pagar, no me refiero a pagarnos a nosotros los afectados (que no estaria nada mal, pero bueno) sino que a multas y diversas sanciones por las ineptitudes que han demostrado tener a la hora de operar con información tan sensible
December 29, 2020, 08:55:36 AM
<…>
Ahora creo que cada día o dos a lo sumo, hay una nueva variante, y no específicamente con una temática Ledger de trasfondo. Como he dicho en algún momento, no hay una BD de cripto mejor que éste par de Ledger, que va a ser utilizada para phishing, smishing, sim swapping y márketing de cualquier producto, con o sin el pretexto de Ledger de por medio.Tengo un correo reciente en la bandeja de Spam que cita que puedes reclamar tu Bitcoin SV, con una serie de enlaces que ya sabemos de qué van. Ahora, todo kiski va a provechar una u otra lista para sus fines, con todo tipo de pretextos, comunicándose tanto con los correos electrónicos como los teléfonos por medio de SMS (y esperemos que se quede allí).
December 29, 2020, 08:29:58 AM
Además de los típicos intentos baratos de SMS e email de robarme datos, he recibido el siguiente mensaje que ha ido también directo al spam:
Ha llegado un punto en el que te tienes que reir por no poder hacer más...
En otras tintas, las benditas navidades no me han permitido coger una cita para presentar EN PAPEL todos los documentos que tengo que mandar a la AEPD, asique la cosa va para largo con eso. A ver si saco por lo menos tiempo antes de enero para pasar por comisaria, que por lo menos vaya empezando la cosa a moverse
Quote
Hola Amigo/a,
Toda tu información personal esta circulando online después de que la empresa
Ledger Nano sufriese un hack y filtración de toda su base de datos.
Seguramente habrás recibido muchos emails de ciber-criminales pidiendote que
introduzcas tu “seed phrase” en páginas phishing (porfavor, NUNCA hagas esto)
Igual piensas que estas son las únicas consecuencias de este atentado contra tu
privacidad, pero existen más implicaciones que debes de conocer hoy mismo para
protegerte ante ellas.
Hablo sobre las consecuencias que tiene esta filtración de tus datos personales
aquí:
https://enlacechungo
Saludos,
Luigi Domenico
Toda tu información personal esta circulando online después de que la empresa
Ledger Nano sufriese un hack y filtración de toda su base de datos.
Seguramente habrás recibido muchos emails de ciber-criminales pidiendote que
introduzcas tu “seed phrase” en páginas phishing (porfavor, NUNCA hagas esto)
Igual piensas que estas son las únicas consecuencias de este atentado contra tu
privacidad, pero existen más implicaciones que debes de conocer hoy mismo para
protegerte ante ellas.
Hablo sobre las consecuencias que tiene esta filtración de tus datos personales
aquí:
https://
Saludos,
Luigi Domenico
Ha llegado un punto en el que te tienes que reir por no poder hacer más...
En otras tintas, las benditas navidades no me han permitido coger una cita para presentar EN PAPEL todos los documentos que tengo que mandar a la AEPD, asique la cosa va para largo con eso. A ver si saco por lo menos tiempo antes de enero para pasar por comisaria, que por lo menos vaya empezando la cosa a moverse
December 28, 2020, 07:38:26 AM
Pues francamente, soy incapaz de verlo. Figura "Blockchain" en mayúsculas como remitente, y no logro dar con la opción que visualice el número del emisor subyacente. He visto un usuario del foro alemán que lo ha recibido procedente de un teléfono con prefijo de inglaterra. Me imagino que pueden "spoofear" el origen.
Hay otro uso curioso que están haciendo de estas listas, en este caso de la lista de correos electrónicos, que es hacer publicidad de una moneda alternativa, que no viene a cuento, pero bueno, ya puestos a tener al alcance de la mano 1M de emails de interesados/dueños de criptomonedas, que mejor que hacer publicidad sobre esta lista …
Hay otro uso curioso que están haciendo de estas listas, en este caso de la lista de correos electrónicos, que es hacer publicidad de una moneda alternativa, que no viene a cuento, pero bueno, ya puestos a tener al alcance de la mano 1M de emails de interesados/dueños de criptomonedas, que mejor que hacer publicidad sobre esta lista …
December 28, 2020, 06:46:10 AM
----
Te ha llegado desde un numero nacional? Me llego ayer por la tarde y aparte de reirme no hice mucho, pero al ser un +34 creo que hay donde rascar por intento de estafa December 28, 2020, 05:38:13 AM
Ahora están aprovechando la lista de teléfonos que circula a fin de hacer smishing de productos cruzados. Concretamente, el SMS que ahora circula indica lo siguiente:
No sólo no es el dominio (IO) el oficial, sino que además la "I" fijaros que es realmente una "L" minúscula, y es un pelín más alta -> "Il" (la primera es una I mayúscula, la segunda una "L" minúscula.
Atentos pues …
Quote
"You have received 0.08155120 BTC, please login and confirm: HTTPS[colon]//BLOCKCHAlN [dot]IO
No sólo no es el dominio (IO) el oficial, sino que además la "I" fijaros que es realmente una "L" minúscula, y es un pelín más alta -> "Il" (la primera es una I mayúscula, la segunda una "L" minúscula.
Atentos pues …
December 24, 2020, 06:58:46 AM
Creo que de las cosas que si se debería hacer es, probablemente, cambiar el número de móvil. Más que nada para minimizar el riesgo de Sim Swapping. Ya puestos, lo mejor sería asegurarnos de que el nuevo número de teléfono sea completamente nuevo, y no reciclado (online puedes hacer el cambio del número de móvil, pero normalmente no te garantizan que el nuevo asignado sea nuevo, y no heredado de alguien anterior).
Es bastante lío cambiarlo si tiene mucha vinculación (contactos, empresas, etc.), e incluso en algunos casos no es posible hacerlo de manera sencilla. Entretenido, vamos.
Otra opción adicional es ponderar cambiar el correo electrónico, que es más o menos igual de pesado que el caos de la Sim.
Es bastante lío cambiarlo si tiene mucha vinculación (contactos, empresas, etc.), e incluso en algunos casos no es posible hacerlo de manera sencilla. Entretenido, vamos.
Otra opción adicional es ponderar cambiar el correo electrónico, que es más o menos igual de pesado que el caos de la Sim.
December 23, 2020, 07:38:17 AM
<…>
No dan en el clavo ni con el comunicado, el cual debería revisarse concienzudamente por parte de varias personas para tener el Ok (claro, eso si los revisores conocen exactamente el contexto de lo sucedido, que ya les vale en caso contrario).Más allá del hackeo de base, y su difusión en foros turbios, creo que globalmente se ha errado en propagar en múltiples fuentes los enlaces a la información. Personalmente, prefiero que un conjunto de hackers y hackers-wannabe tengan acceso a los datos, a que los adicionalmente los tenga fácilmente accesibles cualquier vecino de mi ciudad. Uno ya puede conocer si está en la lista, sin tener que tener la lista accesible con tanta facilidad.
December 22, 2020, 05:13:40 PM
Casi se me olvida publicar la actualización de ayer.
Por fin, han admitido que mis datos se han filtrado y he recibido por un lado el email general de que se informaría a todos los afectados, y luego el "personalizado" de que soy un afectado. Sinceramente, me quedo sin comillas con el personalizado; ya que se trata de un muy generico copia pega que encima no lista todos mis datos filtrados con exactitud (faltan el email y el telefono)...
Todo es tan subrealista que ya no se sinceramente ni que opinar; como pueden ser tan descerebrados de decirme la lista de datos filtrados incompleta cuando está publicamente disponible y puedo comprobarlo? Os juro que ya no se ni que pensar sobre este tema
Edit:
Pues acabo de ver que hubo un segundo email en mi carpeta de spam, curioso que uno si pase y otro no... en dicho email, se copia pega absolutamente todo el email anterior, se le añade un espacio entre 2 parrafos, y se añade el telefono a la lista de datos filtrados. Ahora solo les falta un tercer email añadiendo el email a la lista
Por fin, han admitido que mis datos se han filtrado y he recibido por un lado el email general de que se informaría a todos los afectados, y luego el "personalizado" de que soy un afectado. Sinceramente, me quedo sin comillas con el personalizado; ya que se trata de un muy generico copia pega que encima no lista todos mis datos filtrados con exactitud (faltan el email y el telefono)...
Todo es tan subrealista que ya no se sinceramente ni que opinar; como pueden ser tan descerebrados de decirme la lista de datos filtrados incompleta cuando está publicamente disponible y puedo comprobarlo? Os juro que ya no se ni que pensar sobre este tema
Edit:
Pues acabo de ver que hubo un segundo email en mi carpeta de spam, curioso que uno si pase y otro no... en dicho email, se copia pega absolutamente todo el email anterior, se le añade un espacio entre 2 parrafos, y se añade el telefono a la lista de datos filtrados. Ahora solo les falta un tercer email añadiendo el email a la lista
December 22, 2020, 04:03:20 PM
Si a alguien le sobran 2h 19m 46s, hay un video de Andreas Antonopoulos respecto del incidente:
https://www.youtube.com/watch?v=uKCMx8nqQhY&feature=youtu.be
(Help! Ledger Hack.What is it? What should you do right now to protect youself? Emergency Livestream).
En video participan tanto Andreas, como Taylor Monahan, Jameson Lopp y Peter McCormack. El orden anterior coincide con el orden de relevancia de sus comentarios (de más a menos). Lo interesante del contenido no se circunscribe únicamente a los acontecimientos, sino que se extiende en algunos efectos potenciales como el sim swapping (acto seguido, he eliminado mi móvil como mecanismo de recuperación del correo electrónico), la seguridad lógica, la física, el phishing y demás.
Como curiosidad, Andreas está en la BD, aunque el no utiliza sus datos vigentes para las entregas, y recurre a un tipo de servicio postal que permite hacer de proxy en EEUU.
https://www.youtube.com/watch?v=uKCMx8nqQhY&feature=youtu.be
(Help! Ledger Hack.What is it? What should you do right now to protect youself? Emergency Livestream).
En video participan tanto Andreas, como Taylor Monahan, Jameson Lopp y Peter McCormack. El orden anterior coincide con el orden de relevancia de sus comentarios (de más a menos). Lo interesante del contenido no se circunscribe únicamente a los acontecimientos, sino que se extiende en algunos efectos potenciales como el sim swapping (acto seguido, he eliminado mi móvil como mecanismo de recuperación del correo electrónico), la seguridad lógica, la física, el phishing y demás.
Como curiosidad, Andreas está en la BD, aunque el no utiliza sus datos vigentes para las entregas, y recurre a un tipo de servicio postal que permite hacer de proxy en EEUU.
December 21, 2020, 12:56:33 PM
<…>
Si, ya lo he cargado en una BD mía para poder mirarlo mejor, con el fin de ver el alcance en la globalidad, el impacto por países, y el microcosmos relativo al yoismo. La estructura del fichero no es la mejor posible (casi que afortunadamente), dado que no todos los registros tienen el mismo número de campos, pero sin dedicarle mucho tiempo he podido ver el desglose por los países y determinadas ciudades (OR de valores en varios campos cargados).Lo de la dirección y el teléfono son un incordio, pues ahora hemos de pensar en ello en lugar de obviar un problema que no existía. Tampoco hay que obsesionarse; al fin y al cabo, todos ya destilamos de alguna manera si tenemos cierto poder adquisitivo o no en la vida 3D, y esto no tiene por qué suponer nada en concreto, salvo por el hecho de que son activos psesudoanónimos, con potencial de crecer lo suyo, y más sencillos de desplumar que la cuenta corriente de alguien.
Nota: Ya he visto el enlace a varios Github en distintos sitios (yo fui por otra vía). No obstante, tengo reservas acerca de si es bueno publicarlo en el foro. Uno puede comprobar si pertenece al conjunto de datos que circulan, pero multiplicamos el efecto de acceso al mismo. Claro que, quien vaya a hacer mal uso del mismo, ya accedería por las webs como la que es origen de esta información.
December 21, 2020, 10:54:43 AM
----
8k España
17k Francia
23k Alemania
... una p.mierda.
8k España
17k Francia
23k Alemania
... una p.mierda.
Veo que has accedido pues a los datos... dejo el enlace por si alguien mas está interesado en buscarse: https://raw.githubusercontent.com/xoso9/ledgerhack/main/Ledger/buyers/Ledger%20Orders%20(Buyers)%20only.txt (gracias suchmoon por publicar el enlace)
Me sorprende entre comillas gratamente que haya tantos datos "cercanos"; se que sería medianamente posibles rastrearnos mutuamente entre los que más interactuamos en el foro, y que haya muchos más afectados de los esperados (en mi CP hay ya más de 5, incluido curiosamente un Guardia Civil....) nos sirve de cierto colchon de seguridad
Realmente no tengo muy claro lo que va a pasar ahora; supogno que despues de un tiempo los sms e emails desaparecerán, pero no me hace ninguna gracia que se relacione mi dirección física con un Ledger; sobre todo cuando nisiquiera utilizo Ledger...
December 21, 2020, 05:47:29 AM
<...>
Lo he visto en otro hilo, y con estos datos, ahora me cuadra que tanta gente reporte estar fuera de los 9.500 registros filtrados con datos personales, habiendo recibido intentos de phishing, y en cambio sin haber recibido el comunicado oficial de pertenencia al conjunto.
He entrado en el citado foro y me lo he leído de punta a punta. No entiendo por qué el tonto del bote lo ha publicado. En estos momentos, 720 personas han accedido al contenido del enlace (para acceder, has de tener 8 créditos en la plataforma). Encima, a modo de ejemplo, han publicado los datos de una persona de la lista.
8k España
17k Francia
23k Alemania
... una p.mierda.
December 21, 2020, 05:26:37 AM
Y ya para rematar la faena, parece ser que se han publicado todos los datos posibles de manera gratuita en un foro...
Podeis acceder a los tuits sin miedo, pero poco nuevo van a decirnos ya. El segundo tuit es la propia empresa Ledger confirmando que efectivamente ese filtrado parece ser correcto...
En resumen, se han filtrado:
No se menciona si estos datos son solo los recabados hasta julio (cuando se dieron cuenta de lo que estaba pasando) ni cuando comenzó la faena.
Por otro lado, pequeña actualización de la APD... como buen ente dependiente de la administración central, solo hay 2 formas de realizar una solicitud/denuncia:
-Identificandose con certificado electrónico (eDNI) pero que a ver quien es el listo que tiene un lector de tarjetas por casa
-En papel.
Tengo que ceñirme a la segunda, enviando o por correo ordinario o por otro ente público para que se lo hagan llegar. Teniendo en cuenta las fechas, supongo que lo estarán llevando en el burrito sabanero, y que hasta febrero o así no tendré una respuesta clara. Seguiré actualizando
I'm posting here again because there is something new and unfortunately the phishing and other scams attempts are not about to stop since someone has made the stolen database available for free on 'raidforums'.
https://twitter.com/JimmyMcShill/status/1340733120610447365
Ledger confirmed
https://twitter.com/Ledger/status/1340769565639233536
https://twitter.com/JimmyMcShill/status/1340733120610447365
Ledger confirmed
https://twitter.com/Ledger/status/1340769565639233536
Podeis acceder a los tuits sin miedo, pero poco nuevo van a decirnos ya. El segundo tuit es la propia empresa Ledger confirmando que efectivamente ese filtrado parece ser correcto...
En resumen, se han filtrado:
Quote
272.853 pedidos con todos los datos personales (Email, Direcciones, Telefono)
1.075.382 direcciones de email suscritas al newsletter
1.075.382 direcciones de email suscritas al newsletter
No se menciona si estos datos son solo los recabados hasta julio (cuando se dieron cuenta de lo que estaba pasando) ni cuando comenzó la faena.
Por otro lado, pequeña actualización de la APD... como buen ente dependiente de la administración central, solo hay 2 formas de realizar una solicitud/denuncia:
-Identificandose con certificado electrónico (eDNI) pero que a ver quien es el listo que tiene un lector de tarjetas por casa
-En papel.
Tengo que ceñirme a la segunda, enviando o por correo ordinario o por otro ente público para que se lo hagan llegar. Teniendo en cuenta las fechas, supongo que lo estarán llevando en el burrito sabanero, y que hasta febrero o así no tendré una respuesta clara. Seguiré actualizando
December 15, 2020, 05:34:31 AM
Estos intentos de phishing, sobre la BD de clientes de Ledger, van para largo. El último correo electrónico que circula es ahora del estilo de:
Lo malo adicional, es que en mi copia estoy en BCC en el correo, donde el destinatario es otra persona. Es decir, que, al menos en este caso, estoy yo viendo el correo de otro (probable) tenedor de Ledger. Esto lleva a pensar que uno puede estar referenciado en el correo de otros receptores. Suma y sigue …
Quote
From: ledger Alerts [email protected]
Your Ledger Hardware Wallet has been deactivated.
Unfortunately, due to the new KYC policy, you are required to confirm your identity:
https[dos puntos]//docs[punto]google[punto]com/document/d/e/2PACX-1vQjTM5NpOsIYz97qt6Bv8fdTUfMBReCqiBkilPtyKxqN5BSuGVEa7wWF5butVwiI-y1h-qN7oTMKCur/pub?embedded=true
Ledger Verification TeamW67PT8Q04WK-994
En mi caso, el correo se quedó en el spam. El que cito arriba no es el contenido exacto del mío, dado que varía el remitente, el link interior, y el Team abajo citado. No he visto apenas casos reportados, por lo que no sé si son agrupaciones con un mismo contenido o si son correos personalizados (aunque no nominales en este caso).Your Ledger Hardware Wallet has been deactivated.
Unfortunately, due to the new KYC policy, you are required to confirm your identity:
https[dos puntos]//docs[punto]google[punto]com/document/d/e/2PACX-1vQjTM5NpOsIYz97qt6Bv8fdTUfMBReCqiBkilPtyKxqN5BSuGVEa7wWF5butVwiI-y1h-qN7oTMKCur/pub?embedded=true
Ledger Verification TeamW67PT8Q04WK-994
Lo malo adicional, es que en mi copia estoy en BCC en el correo, donde el destinatario es otra persona. Es decir, que, al menos en este caso, estoy yo viendo el correo de otro (probable) tenedor de Ledger. Esto lleva a pensar que uno puede estar referenciado en el correo de otros receptores. Suma y sigue …
December 10, 2020, 02:40:46 PM
¿Los míticos Incoterms? Típico de empresariales, mi pareja estudió comercio internacional y ahí se los cascaron también. Materia interesante que no sé cómo estará a día de hoy pero he leído hace no mucho que con la tecnología blockchain podría mejorarse (añadiendo sensórica, supongo).
Los infames mismos; tengo un examen a mediados de enero solo sobre ellos, pero no hemos dado gran cosa asique parece sencillo. Lo otro que comentas va a ser basicamente mi tema de TFG, hace unas semanas hice un pequeño adelante sobre el tema aquí; a ver como evoluciona la cosa....Quote
¿Has contactado finalmente con la Agencia? Mantennos informados please.
Tenia pensado ponerme a ello mañana, entre el puente y los horarios que tengo, no me da la vida para más... iré actualizando con lo que me digan December 10, 2020, 01:20:36 PM
----
Mas alla del comercio internacional y derecho maritimo que he tocado en la carrera por encima.... se me escapa el resto de cosas; tengo las neuronas justas para entender un BOE 
Pero si, en principio contactare esta semana con la agencia española de proteccion de datos para ver que se puede hacer; en un mundo yanki ideal, igual hasta pillaba cacho por la poca cabeza de esta empresa a la hora de proteger datos, pero me conformare con que les peguen un tirón de orejas... Ddmr, si quieres voy actualizando mi consulta aqui, y como a ti tambien te ha llegado, puedes decidir a ver si te animas tambien¿Los míticos Incoterms? Típico de empresariales, mi pareja estudió comercio internacional y ahí se los cascaron también. Materia interesante que no sé cómo estará a día de hoy pero he leído hace no mucho que con la tecnología blockchain podría mejorarse (añadiendo sensórica, supongo).
¿Has contactado finalmente con la Agencia? Mantennos informados please.
December 10, 2020, 12:52:03 PM
Por lo visto, hay varios IDs distintos en las URLs de phishing que están circulando estos días. No son nominales, y no sé si estarán testando distintos mensajes para ver los resultados (sobre distintas URLs de phishing).
Estos intentos a veces dan con un buen botín, para desgracia del que cae en ellos. Un usuario reportó recientemente haber conversado por las redes sociales con alguien que perdido 50K$, al caer en la trampa …
Ver: https://coinfomania.com/bitcoiner-loses-50k-life-savings-ledger-phishing/#utm_source=rss&utm_medium=rss&utm_campaign=bitcoiner-loses-50k-life-savings-ledger-phishing
Code:
ledger[dot]com[dot]634644[dot]app
ledger[dot]com[dot]837729[dot]app
ledger[dot]com[dot]565333[dot]app
ledger[dot]com[dot]453455[dot]app
ledger[dot]com[dot]342344[dot]app
ledger[dot]com[dot]device[dot]id[dot]837729[dot]app
ledger[dot]com[dot]device[dot]id[dot]634644[dot]app
ledger[dot]com[dot]device[dot]id[dot]565333[dot]app
ledger[dot]com[dot]device[dot]id[dot]453455[dot]app
ledger[dot]com[dot]device[dot]id[dot]342344[dot]app
ledger[dot]com[dot]device[dot]id[dot]756728[dot]app
ledger[dot]com[dot]device[dot]id[dot]727783[dot]app
ledger[dot]com[dot]device[dot]id[dot]657377[dot]app
ledger[dot]com[dot]device[dot]id[dot]893900[dot]app
ledger[dot]com[dot]device[dot]id[dot]745583[dot]app
ledger[dot]com[dot]device[dot]id[dot]688338[dot]app
ledger[dot]com[dot]device[dot]id[dot]883882[dot]app
ledger[dot]com[dot]device-u23-verification[dot]app
ledger[dot]com[dot]device-e72-verification[dot]app
ledger[dot]com[dot]verification-login-s61[dot]app
ledger[dot]com[dot]acc-verification-login[dot]app
ledger[dot]com[dot]device[dot]id[dot]7537472[dot]app
ledger[dot]com[dot]hardware[dot]id[dot]54656346[dot]app
ledger[dot]com[dot]device[dot]id[dot]6567288[dot]app
ledger[dot]com[dot]hardware[dot]id[dot]953781832[dot]app
xn--ldr-qsa2998aca[dot]com
ledger[dot]com-settings[dot]device-id-45682[dot]app
xn--lede-dxa93a[dot]com
Ver: https://www.reddit.com/r/ledgerwallet/comments/kaasmt/ledger_security_breach_please_update_your_pin/ledger[dot]com[dot]837729[dot]app
ledger[dot]com[dot]565333[dot]app
ledger[dot]com[dot]453455[dot]app
ledger[dot]com[dot]342344[dot]app
ledger[dot]com[dot]device[dot]id[dot]837729[dot]app
ledger[dot]com[dot]device[dot]id[dot]634644[dot]app
ledger[dot]com[dot]device[dot]id[dot]565333[dot]app
ledger[dot]com[dot]device[dot]id[dot]453455[dot]app
ledger[dot]com[dot]device[dot]id[dot]342344[dot]app
ledger[dot]com[dot]device[dot]id[dot]756728[dot]app
ledger[dot]com[dot]device[dot]id[dot]727783[dot]app
ledger[dot]com[dot]device[dot]id[dot]657377[dot]app
ledger[dot]com[dot]device[dot]id[dot]893900[dot]app
ledger[dot]com[dot]device[dot]id[dot]745583[dot]app
ledger[dot]com[dot]device[dot]id[dot]688338[dot]app
ledger[dot]com[dot]device[dot]id[dot]883882[dot]app
ledger[dot]com[dot]device-u23-verification[dot]app
ledger[dot]com[dot]device-e72-verification[dot]app
ledger[dot]com[dot]verification-login-s61[dot]app
ledger[dot]com[dot]acc-verification-login[dot]app
ledger[dot]com[dot]device[dot]id[dot]7537472[dot]app
ledger[dot]com[dot]hardware[dot]id[dot]54656346[dot]app
ledger[dot]com[dot]device[dot]id[dot]6567288[dot]app
ledger[dot]com[dot]hardware[dot]id[dot]953781832[dot]app
xn--ldr-qsa2998aca[dot]com
ledger[dot]com-settings[dot]device-id-45682[dot]app
xn--lede-dxa93a[dot]com
Estos intentos a veces dan con un buen botín, para desgracia del que cae en ellos. Un usuario reportó recientemente haber conversado por las redes sociales con alguien que perdido 50K$, al caer en la trampa …
Ver: https://coinfomania.com/bitcoiner-loses-50k-life-savings-ledger-phishing/#utm_source=rss&utm_medium=rss&utm_campaign=bitcoiner-loses-50k-life-savings-ledger-phishing
December 06, 2020, 05:28:47 PM
Sí que hay opciones de sanciones, si:
https://wwwhatsnew.com/2020/02/06/explosivo-crecimiento-de-multas-relacionadas-con-el-incumplimento-de-la-gdpr/
En la lista de multas, de las más frecuentes están las de falta de medidas organizativas o técnicas para proteger la seguridad de la información (44 multas por este hecho en la EU).
El caso de mayor sanción fue a British Airways, tras un ciberataque: https://www.pinsentmasons.com/out-law/news/british-airways-fined-20m-over-gdpr-breach
La de Marriot es del mismo palo:
https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-marriott-international-inc-184million-for-failing-to-keep-customers-personal-data-secure/
Hay gente que ya estaba mirando para organizarse y demandar:
https://www.reddit.com/r/ledgerwallet/comments/i045z3/ledger_classaction_lawsuit/
Creo haber visto algo más elaborado hace algunos días, pero le he perdido la traza.
(Apago por hoy ...)
https://wwwhatsnew.com/2020/02/06/explosivo-crecimiento-de-multas-relacionadas-con-el-incumplimento-de-la-gdpr/
En la lista de multas, de las más frecuentes están las de falta de medidas organizativas o técnicas para proteger la seguridad de la información (44 multas por este hecho en la EU).
El caso de mayor sanción fue a British Airways, tras un ciberataque: https://www.pinsentmasons.com/out-law/news/british-airways-fined-20m-over-gdpr-breach
La de Marriot es del mismo palo:
https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-marriott-international-inc-184million-for-failing-to-keep-customers-personal-data-secure/
Hay gente que ya estaba mirando para organizarse y demandar:
https://www.reddit.com/r/ledgerwallet/comments/i045z3/ledger_classaction_lawsuit/
Creo haber visto algo más elaborado hace algunos días, pero le he perdido la traza.
(Apago por hoy ...)
December 06, 2020, 05:04:33 PM
Ok, toda información en este sentido es buena. Dudo que la APD haga mucho. Que yo sepa, el mal uso y abuso es el terreno en el cual se suelen mover, pero un hackeo me da que no lleva a nada serio en términos de sanción.
Puedo estar de acuerdo en que el hackeo no es "culpa suya" (que telita que una empresa de este tipo haga aguas de este pelo), pero no informar debidamente a sus clientes de ello? En el email original de hace unos meses mencionaban que solo habia 9000 usuarios implicados y que se les contactaria por privado... Creo que ninguno de los presentes entraba en esa definición. Despues de eso lo unico que han hecho ha sido una entrada de blog bastante general sobre como evitar phishing, y ningun asomo de disculpa o reconocimiento de culpa por parte de la empresa.Podria decirse que son simplemente malas practicas empresariales? Tal vez; pero hay usuarios reportando que han hecho su primera compra ahora por el black friday, y estan viendose afectados por esto mismo. Y la verdad, es que sabiendo esto, empiezo a no tener tan claro que hayan sido capaces de resolver el filtrado todavia
December 06, 2020, 05:00:19 PM
<…> Afirmativo; con el 8 duplicado 4 veces en total.
Snap …Si le ha llegado tambien a @suchmoon esta mañana, van por batches de SMS a lo largo del día. Mi temor es que, en algún momento, el ID sea personalizado, pero parece que por ahora no.
Quote
Ddmr, si quieres voy actualizando mi consulta aqui, y como a ti tambien te ha llegado, puedes decidir a ver si te animas tambien
Ok, toda información en este sentido es buena. Dudo que la APD haga mucho. Que yo sepa, el mal uso y abuso es el terreno en el cual se suelen mover, pero un hackeo me da que no lleva a nada serio en términos de sanción. December 06, 2020, 04:52:33 PM
¿La parte numérica del Id que tienes es 8nnnn2? (nnnn números adicionales).
Afirmativo; con el 8 duplicado 4 veces en total.Suchmoon lo habia mencionado tambien esta mañana en otro hilo en ingles, pero me lo habia tomado como una satira (sabiendo un poco como es); y mi respuesta pues ha ido de la misma mano pensando que era una coña, diciendo que a ver si no se habia enterado de que los ultimos modelos de ledger vienen con camara para hacer face ID y lector de huellas para reconocimiento biometrico... aveces me inspiro fuerte yo tambien
----
Mas alla del comercio internacional y derecho maritimo que he tocado en la carrera por encima.... se me escapa el resto de cosas; tengo las neuronas justas para entender un BOE Pero si, en principio contactare esta semana con la agencia española de proteccion de datos para ver que se puede hacer; en un mundo yanki ideal, igual hasta pillaba cacho por la poca cabeza de esta empresa a la hora de proteger datos, pero me conformare con que les peguen un tirón de orejas... Ddmr, si quieres voy actualizando mi consulta aqui, y como a ti tambien te ha llegado, puedes decidir a ver si te animas tambien December 06, 2020, 04:23:34 PM
<...>
Lo he reportado in mi hilo en inglés antes de cenar, y en el nuestro tocaba tras los postres. Te me has adelantado … (https://bitcointalksearch.org/topic/m.55769325).El mensaje es descojonante, efectivamente:
Quote
Your hardware wallet has been deactivated. Due to the new KYC regulations, you are required to pass verification: ledger[dot]com[dot]device[dot]id[dot]nnnnnn[dot]app/verification
Donde "nnnnnn" es una cifra de 6 dígitos. He probado multiples variantes del número, y parece que no es un id personal. Las pantallas donde acabas son prácticamente las mismas que las descritas en el OP (sólo he visto variar el número de error en la parte superior de la página).
¿La parte numérica del Id que tienes es 8nnnn2? (nnnn números adicionales).
December 06, 2020, 04:13:39 PM
Creo que toca retomar el tema.... @Porfirii, me suena que eras un pequeño picapleitos? (sin animo de ofender evidentemente)
Abogado colegiado pero no ejerciente en este momento (me dedico al Derecho Administrativo y en principio el ejercicio es incompatible con lo que hago). Puedo asesorar jurídicamente pero no defender en juicio, por ejemplo, y las demandas judiciales debo decir que no son mi especialidad
De todos modos, si vais a tomar medidas contra esta gentuza me gustaría saber del proceso y quizá pueda añadir un punto de vista poco convencional al asunto.
December 06, 2020, 03:20:27 PM
Pequeña actualización, esto sigue pasando. Me estoy descojonando vivo por el nuevo SMS que me acaba de llegar, ojo al dato:
Ya empezando por el nombre del que envia el mensaje hasta el contenido... Mucho cuidado newbies, estas cosas pueden pasar desapercibidas si no teneis cuidado.
La vez anterior envie un escrito a la agencia de protección de datos de aqui, pero me dijero que tenia que hablar con la nacional, y por falta de encontrar una categoria dentro de la web lo deje pasar. Creo que toca retomar el tema.... @Porfirii, me suena que eras un pequeño picapleitos? (sin animo de ofender evidentemente)
Quote from: KYC
Your hardware wallets has been deactivated. Duer to the new KYC regulations, you are required to pass verification: (enlace tope chungo)
Ya empezando por el nombre del que envia el mensaje hasta el contenido... Mucho cuidado newbies, estas cosas pueden pasar desapercibidas si no teneis cuidado.
La vez anterior envie un escrito a la agencia de protección de datos de aqui, pero me dijero que tenia que hablar con la nacional, y por falta de encontrar una categoria dentro de la web lo deje pasar. Creo que toca retomar el tema.... @Porfirii, me suena que eras un pequeño picapleitos? (sin animo de ofender evidentemente)
December 02, 2020, 07:15:08 PM
¡Muchas gracias por el aviso DdmrDdmr!
Me imagino que habrán tomado/tomarán medidas a partir de ahora, pero parte del daño ya está hecho al haberse filtrado la información. Lo que me parece curioso es que a mí nunca me haya llegado nada, igual no era buen cliente y me borraron de su base de datos
en buena hora por cierto
Con tu permiso, aprovecho para lanzar otro Aviso: Ayer en twitter, un usuario bastante veterano reportó que le habían limpiado la cuenta de trading; al parecer, recibió un SMS en el que ponía que recibiría un paquete, y un link de tracking, y como siempre espera paquetería, hizo click y cayó en la trampa. No dio muchos detalles, comentaba que la pérdida había sido "devastadora" y necesitaba desconectar un tiempo, y no me quiero imaginar además cómo después de la euforia del ATH de ayer, al poco se diera cuenta de que le habían robado. Según comentarios de otros usuarios, podía tratarse de que a través del sms le robaban las claves del 2FA, y recomendaban no tenerlas instaladas en el teléfono principal por seguridad, sino en un segundo teléfono sin conexión a Internet.
Pero bueno, este es otro tema, si sale más información y da como para abrir un hilo ya haremos el fork. Dejemos este para seguir haciendo seguimiento del caso de Ledger.
Me imagino que habrán tomado/tomarán medidas a partir de ahora, pero parte del daño ya está hecho al haberse filtrado la información. Lo que me parece curioso es que a mí nunca me haya llegado nada, igual no era buen cliente y me borraron de su base de datos
en buena hora por cierto Con tu permiso, aprovecho para lanzar otro Aviso: Ayer en twitter, un usuario bastante veterano reportó que le habían limpiado la cuenta de trading; al parecer, recibió un SMS en el que ponía que recibiría un paquete, y un link de tracking, y como siempre espera paquetería, hizo click y cayó en la trampa. No dio muchos detalles, comentaba que la pérdida había sido "devastadora" y necesitaba desconectar un tiempo, y no me quiero imaginar además cómo después de la euforia del ATH de ayer, al poco se diera cuenta de que le habían robado. Según comentarios de otros usuarios, podía tratarse de que a través del sms le robaban las claves del 2FA, y recomendaban no tenerlas instaladas en el teléfono principal por seguridad, sino en un segundo teléfono sin conexión a Internet.
Pero bueno, este es otro tema, si sale más información y da como para abrir un hilo ya haremos el fork. Dejemos este para seguir haciendo seguimiento del caso de Ledger.
Gran aviso Porfirii,
Como lo dice DdmrDdmr en OP, están haciéndolo con el mismo ID, tal vez por ahí es donde tienen la vulnerabilidad, sin embargo están haciendo prácticas similares hasta con las cuentas de Trading, pienso que ahora ya que el bitcoin está dando tremendas altas en el precio, los hackers se están volviendo locos por el BTC, y como sea quieren apoderarse de ello así sea aplicando las mayores vulnerabilidades de las personas en su PC, Teléfonos, entre otros.
December 01, 2020, 04:16:55 AM
¡Muchas gracias por el aviso DdmrDdmr!
Me imagino que habrán tomado/tomarán medidas a partir de ahora, pero parte del daño ya está hecho al haberse filtrado la información. Lo que me parece curioso es que a mí nunca me haya llegado nada, igual no era buen cliente y me borraron de su base de datos en buena hora por cierto
Con tu permiso, aprovecho para lanzar otro Aviso: Ayer en twitter, un usuario bastante veterano reportó que le habían limpiado la cuenta de trading; al parecer, recibió un SMS en el que ponía que recibiría un paquete, y un link de tracking, y como siempre espera paquetería, hizo click y cayó en la trampa. No dio muchos detalles, comentaba que la pérdida había sido "devastadora" y necesitaba desconectar un tiempo, y no me quiero imaginar además cómo después de la euforia del ATH de ayer, al poco se diera cuenta de que le habían robado. Según comentarios de otros usuarios, podía tratarse de que a través del sms le robaban las claves del 2FA, y recomendaban no tenerlas instaladas en el teléfono principal por seguridad, sino en un segundo teléfono sin conexión a Internet.
Pero bueno, este es otro tema, si sale más información y da como para abrir un hilo ya haremos el fork. Dejemos este para seguir haciendo seguimiento del caso de Ledger.
Me imagino que habrán tomado/tomarán medidas a partir de ahora, pero parte del daño ya está hecho al haberse filtrado la información. Lo que me parece curioso es que a mí nunca me haya llegado nada, igual no era buen cliente y me borraron de su base de datos
en buena hora por cierto Con tu permiso, aprovecho para lanzar otro Aviso: Ayer en twitter, un usuario bastante veterano reportó que le habían limpiado la cuenta de trading; al parecer, recibió un SMS en el que ponía que recibiría un paquete, y un link de tracking, y como siempre espera paquetería, hizo click y cayó en la trampa. No dio muchos detalles, comentaba que la pérdida había sido "devastadora" y necesitaba desconectar un tiempo, y no me quiero imaginar además cómo después de la euforia del ATH de ayer, al poco se diera cuenta de que le habían robado. Según comentarios de otros usuarios, podía tratarse de que a través del sms le robaban las claves del 2FA, y recomendaban no tenerlas instaladas en el teléfono principal por seguridad, sino en un segundo teléfono sin conexión a Internet.
Pero bueno, este es otro tema, si sale más información y da como para abrir un hilo ya haremos el fork. Dejemos este para seguir haciendo seguimiento del caso de Ledger.
December 01, 2020, 03:31:14 AM
Ahora, deberían vender los dispositivos hardware tipo Ledger y Trezor con garantía de que los datos de sus clientes no podrán ser filtrados ni hackeados; y sino, ver Ledger SMS campaña de phishing – otra campaña de phishing mediante SMS en curso.
De hecho, yo he llegado a recibir uno de estos SMS, lo que te deja ahora con la incógnita de cuánto y cómo van a circular tus datos por vete a saber dónde.
El almacenamiento de datos de clientes en una BD sin cifrar es totalmente evitable hoy en día. No obstante, siempre habrá una clave para descifrar los datos, sea para el usuario que los trabaja por backoffice, sea para una API o el software de gestión correspondiente. En estos casos de brechas de seguridad, siempre me interesa conocer el cómo sucedió, para conocer en qué grado una BD cifrada hubiese bastado. Como es habitual, los detalles no los llegamos a conocer con la precisión que me gustaría.
De hecho, yo he llegado a recibir uno de estos SMS, lo que te deja ahora con la incógnita de cuánto y cómo van a circular tus datos por vete a saber dónde.
El almacenamiento de datos de clientes en una BD sin cifrar es totalmente evitable hoy en día. No obstante, siempre habrá una clave para descifrar los datos, sea para el usuario que los trabaja por backoffice, sea para una API o el software de gestión correspondiente. En estos casos de brechas de seguridad, siempre me interesa conocer el cómo sucedió, para conocer en qué grado una BD cifrada hubiese bastado. Como es habitual, los detalles no los llegamos a conocer con la precisión que me gustaría.
November 28, 2020, 05:04:53 PM
Y siguen los intentos de phishing tras la filtración de datos de Ledger hace unos meses ...
Algunos clientes de Ledger, han empezado a recibir hoy una nueva variante de phishing por SMS, con el siguiente texto (o similar) (*):
La URL te lleva a un site falso de Ledger, donde te pide seleccionar tu modelo, y posteriormente, que lo enchufes al ordenador. No hace falta realmente, dado que te acaba llevando a la siguiente página tras unos segundos de espera:
No hace falta decir lo que sucederá si proporcionas la información solicitada en la pantalla anterior …
Ver: https://www.reddit.com/r/ledgerwallet/comments/k2tb69/unknown_withdrawal_request_sms/
(*) No he visto ningún mensaje en el foro reportando la URL proporcionada en el SMS tipo que indico.
Algunos clientes de Ledger, han empezado a recibir hoy una nueva variante de phishing por SMS, con el siguiente texto (o similar) (*):
Code:
Nombre Apellido Withdrawl request from new Device (IP China, Macau).
Edit or Cancel details: ledger[dot]com-device[dot]id73457[dot]app/activity
El Id numérico no parece ser único por cliente filtrado, dado que he visto algunos reportes con el mismo Id (tambien he jugado con la parte numérica de la URL sin dar con mas webs válidas).Edit or Cancel details: ledger[dot]com-device[dot]id73457[dot]app/activity
La URL te lleva a un site falso de Ledger, donde te pide seleccionar tu modelo, y posteriormente, que lo enchufes al ordenador. No hace falta realmente, dado que te acaba llevando a la siguiente página tras unos segundos de espera:
No hace falta decir lo que sucederá si proporcionas la información solicitada en la pantalla anterior …
Ver: https://www.reddit.com/r/ledgerwallet/comments/k2tb69/unknown_withdrawal_request_sms/
(*) No he visto ningún mensaje en el foro reportando la URL proporcionada en el SMS tipo que indico.
Jump to: