Pocket Bitcoin заявил 3 сентября, что в результате инцидента безопасности в августе были раскрыты дополнительные личные и финансовые данные, касающиеся 5 411 клиентов, что расширяет масштабы, описанные в первоначальном уведомлении.
Резюме
- Pocket Bitcoin подтвердил, что две раскрытые группы данных содержали записи, касающиеся в общей сложности 5 411 клиентов.
- Списки банковских транзакций раскрыли имена, адреса, суммы переводов, даты, а иногда и номера IBAN клиентов.
- Еще 291 клиент столкнулся с возможным раскрытием удостоверений личности, биткоин-адресов и конфиденциальных записей о финансировании.
- Pocket заявил, что его базы данных клиентов, транзакционные системы, приватные ключи и биткоины клиентов остались непосредственно незатронутыми.
- Власти Швейцарии и Лихтенштейна получили уведомления, а Pocket также официально подал заявление в полицию.
Швейцарский поставщик биткоин-услуг выявил две отдельные группы после завершения судебно-медицинского расследования. Одна содержала информацию о банковских транзакциях, касающуюся 5 120 клиентов. Другая охватывала переписку, содержащую потенциально более чувствительные записи от 291 клиента.
Утечка данных Pocket Bitcoin раскрыла две группы данных
Более крупная группа состояла из списков транзакций, которые банки-партнеры отправляли Pocket Bitcoin во время проверок соответствия. Эти списки содержали имена клиентов, домашние адреса, суммы переводов и даты транзакций. Некоторые также включали IBAN, связанный с переводом.
Меньшая группа касалась переписки, которую Pocket Bitcoin отправлял банкам-партнерам. В зависимости от клиента раскрытые материалы включали имена, почтовые адреса, публичные биткоин-адреса, копии удостоверений личности и записи об источниках средств.
Две группы в совокупности охватывают 5 411 клиентов. У других клиентов могли быть раскрыты адреса электронной почты или переписка со службой поддержки в рамках первоначального уведомления компании, но Pocket заявил, что те, кто не получил нового персонального уведомления, должны по-прежнему полагаться на это первоначальное сообщение.
Основные базы данных и биткоины клиентов не пострадали
Pocket Bitcoin заявил, что злоумышленники не скомпрометировали его основные базы данных клиентов или транзакций. Вместо этого записи были получены из переписки и списков, сгенерированных банками, хранившихся в скопированной резервной копии в затронутой системе поддержки.
Это различие объясняет, почему были раскрыты данные, похожие на транзакционные и идентификационные записи, хотя базовые базы данных остались защищенными. Затронутые материалы поддержки содержали копии информации, созданной или полученной в ходе процедур нормативного соответствия.
Pocket Bitcoin работает как некастодиальный сервис и не хранит приватные ключи клиентов. Компания заявила, что биткоин-балансы никогда не были доступны злоумышленнику, а услуги по покупке и продаже продолжают работать в обычном режиме.
Раскрытый биткоин-адрес не может авторизовать перевод. Однако связывание публичного адреса с личностью клиента может позволить другому лицу просматривать его видимую активность в блокчейне. Pocket отметил, что перемещение биткоинов не может стереть существующую историю транзакций адреса.
Раскрытые записи создают риски физического фишинга
Pocket Bitcoin заявил, что в настоящее время у него нет признаков того, что раскрытая информация была использована неправомерно. Это заявление отражает информацию, доступную после его расследования, и не гарантирует, что неправомерное использование не произойдет позже.
«На данный момент у нас нет никаких указаний на то, что какая-либо из затронутых информационных данных была использована неправомерно», — заявили в Pocket Bitcoin.
Компания определила поддельные письма и другие физические сообщения как особые риски, поскольку в них были включены имена и почтовые адреса. Мошенник мог сослаться на подлинный банковский перевод или транзакцию Bitcoin, чтобы попытка выдать себя за другое лицо выглядела правдоподобной.
Адреса электронной почты и учетные данные для входа не были связаны с двумя вновь выявленными группами данных, согласно Pocket Bitcoin. Поэтому компания заявила, что не видит прямого риска целевого фишинга по электронной почте, возникающего конкретно из этих записей.
Инцидент следует за несколькими раскрытиями, связанными с информацией о клиентах, хранящейся за пределами основных криптосистем. Как сообщал crypto.news, три недавних нарушения раскрыли 253 487 записей, что вызывает опасения, что данные о месте жительства и транзакциях могут поддержать фишинг или физические атаки спустя годы.
Отдельный инцидент в августе в Bits of Gold потенциально раскрыл личность клиентов, банковскую и кошельковую информацию через стороннюю систему. Это расследование аналогично показало, что средства клиентов и пароли остались незатронутыми.
Pocket Bitcoin уведомила регуляторов и полицию
Pocket Bitcoin сообщила об инциденте Федеральному комиссару Швейцарии по защите данных и информации и Управлению по защите данных Лихтенштейна. Она также подала заявление в полицию, но не назвала предполагаемого злоумышленника и не предоставила подробностей расследования.
Компания заявила, что уязвимость, стоящая за инцидентом, была устранена, и были установлены дополнительные меры защиты. Она пересматривает, как хранятся и передаются банковская корреспонденция и связанные с ней документы о соответствии требованиям.
Pocket ожидает опубликовать дополнительную информацию об этих изменениях в ближайшие недели. Она не ожидает выявления дополнительных категорий раскрытия, хотя заявила, что уведомит клиентов, если более поздние выводы изменят эту оценку.
Затронутым пользователям следует следить за банковской активностью и осторожно относиться к неожиданным письмам, звонкам или сообщениям. Pocket Bitcoin заявила, что никогда не попросит клиентов раскрыть сид-фразу или перевести Bitcoin по незапрошенному телефонному звонку или письму.
