Ledger SMS campaña de phishing – otra campaña de phishing mediante SMS en curso

[DdmrDdmr]

Y siguen los intentos de phishing tras la filtración de datos de Ledger hace unos meses ...
 
Algunos clientes de Ledger, han empezado a recibir hoy una nueva variante de phishing por SMS, con el siguiente texto (o similar) (*):

Code:

Nombre Apellido Withdrawl request from new Device (IP China, Macau). 
Edit or Cancel details: ledger[dot]com-device[dot]id73457[dot]app/activity

El Id numérico no parece ser único por cliente filtrado, dado que he visto algunos reportes con el mismo Id (tambien he jugado con la parte numérica de la URL sin dar con mas webs válidas).

La URL te lleva a un site falso de Ledger, donde te pide seleccionar tu modelo, y posteriormente, que lo enchufes al ordenador. No hace falta realmente, dado que te acaba llevando a la siguiente página tras unos segundos de espera:



No hace falta decir lo que sucederá si proporcionas la información solicitada en la pantalla anterior …

Ver: https://www.reddit.com/r/ledgerwallet/comments/k2tb69/unknown_withdrawal_request_sms/

(*) No he visto ningún mensaje en el foro reportando la URL proporcionada en el SMS tipo que indico.

[DdmrDdmr]

Ahora, deberían vender los dispositivos hardware tipo Ledger y Trezor con garantía de que los datos de sus clientes no podrán ser filtrados ni hackeados; y sino, ver Ledger SMS campaña de phishing – otra campaña de phishing mediante SMS en curso.
De hecho, yo he llegado a recibir uno de estos SMS, lo que te deja ahora con la incógnita de cuánto y cómo van a circular tus datos por vete a saber dónde.

El almacenamiento de datos de clientes en una BD sin cifrar es totalmente evitable hoy en día. No obstante, siempre habrá una clave para descifrar los datos, sea para el usuario que los trabaja por backoffice, sea para una API o el software de gestión correspondiente. En estos casos de brechas de seguridad, siempre me interesa conocer el cómo sucedió, para conocer en qué grado una BD cifrada hubiese bastado. Como es habitual, los detalles no los llegamos a conocer con la precisión que me gustaría.

[Porfirii]

¡Muchas gracias por el aviso DdmrDdmr!

Me imagino que habrán tomado/tomarán medidas a partir de ahora, pero parte del daño ya está hecho al haberse filtrado la información. Lo que me parece curioso es que a mí nunca me haya llegado nada, igual no era buen cliente y me borraron de su base de datos en buena hora por cierto

Con tu permiso, aprovecho para lanzar otro Aviso: Ayer en twitter, un usuario bastante veterano reportó que le habían limpiado la cuenta de trading; al parecer, recibió un SMS en el que ponía que recibiría un paquete, y un link de tracking, y como siempre espera paquetería, hizo click y cayó en la trampa. No dio muchos detalles, comentaba que la pérdida había sido "devastadora" y necesitaba desconectar un tiempo, y no me quiero imaginar además cómo después de la euforia del ATH de ayer, al poco se diera cuenta de que le habían robado. Según comentarios de otros usuarios, podía tratarse de que a través del sms le robaban las claves del 2FA, y recomendaban no tenerlas instaladas en el teléfono principal por seguridad, sino en un segundo teléfono sin conexión a Internet.

Pero bueno, este es otro tema, si sale más información y da como para abrir un hilo ya haremos el fork. Dejemos este para seguir haciendo seguimiento del caso de Ledger.

[LUCKMCFLY]

¡Muchas gracias por el aviso DdmrDdmr!

Me imagino que habrán tomado/tomarán medidas a partir de ahora, pero parte del daño ya está hecho al haberse filtrado la información. Lo que me parece curioso es que a mí nunca me haya llegado nada, igual no era buen cliente y me borraron de su base de datos en buena hora por cierto

Con tu permiso, aprovecho para lanzar otro Aviso: Ayer en twitter, un usuario bastante veterano reportó que le habían limpiado la cuenta de trading; al parecer, recibió un SMS en el que ponía que recibiría un paquete, y un link de tracking, y como siempre espera paquetería, hizo click y cayó en la trampa. No dio muchos detalles, comentaba que la pérdida había sido "devastadora" y necesitaba desconectar un tiempo, y no me quiero imaginar además cómo después de la euforia del ATH de ayer, al poco se diera cuenta de que le habían robado. Según comentarios de otros usuarios, podía tratarse de que a través del sms le robaban las claves del 2FA, y recomendaban no tenerlas instaladas en el teléfono principal por seguridad, sino en un segundo teléfono sin conexión a Internet.

Pero bueno, este es otro tema, si sale más información y da como para abrir un hilo ya haremos el fork. Dejemos este para seguir haciendo seguimiento del caso de Ledger.

Gran aviso Porfirii,

Como lo dice DdmrDdmr en OP, están haciéndolo con el mismo ID, tal vez por ahí es donde tienen la vulnerabilidad, sin embargo están haciendo prácticas similares hasta con las cuentas de Trading, pienso que ahora ya que el bitcoin está dando tremendas altas en el precio, los hackers se están volviendo locos por el BTC, y como sea quieren apoderarse de ello así sea aplicando las mayores vulnerabilidades de las personas en su PC, Teléfonos, entre otros.

[Csmiami]

Pequeña actualización, esto sigue pasando. Me estoy descojonando vivo por el nuevo SMS que me acaba de llegar, ojo al dato:

Your hardware wallets has been deactivated. Duer to the new KYC regulations, you are required to pass verification: (enlace tope chungo)

Ya empezando por el nombre del que envia el mensaje hasta el contenido... Mucho cuidado newbies, estas cosas pueden pasar desapercibidas si no teneis cuidado.

La vez anterior envie un escrito a la agencia de protección de datos de aqui, pero me dijero que tenia que hablar con la nacional, y por falta de encontrar una categoria dentro de la web lo deje pasar. Creo que toca retomar el tema.... @Porfirii, me suena que eras un pequeño picapleitos? (sin animo de ofender evidentemente)

[Porfirii]

Creo que toca retomar el tema.... @Porfirii, me suena que eras un pequeño picapleitos? (sin animo de ofender evidentemente)

Abogado colegiado pero no ejerciente en este momento (me dedico al Derecho Administrativo y en principio el ejercicio es incompatible con lo que hago). Puedo asesorar jurídicamente pero no defender en juicio, por ejemplo, y las demandas judiciales debo decir que no son mi especialidad

De todos modos, si vais a tomar medidas contra esta gentuza me gustaría saber del proceso y quizá pueda añadir un punto de vista poco convencional al asunto.

[DdmrDdmr]

<...>

Lo he reportado in mi hilo en inglés antes de cenar, y en el nuestro tocaba tras los postres. Te me has adelantado … (https://bitcointalk.org/index.php?topic=5294323.msg55769325#msg55769325).

El mensaje es descojonante, efectivamente:

Your hardware wallet has been deactivated. Due to the new KYC regulations, you are required to pass verification: ledger[dot]com[dot]device[dot]id[dot]nnnnnn[dot]app/verification

Donde "nnnnnn" es una cifra de 6 dígitos. He probado multiples variantes del número, y parece que no es un id personal.

Las pantallas donde acabas son prácticamente las mismas que las descritas en el OP (sólo he visto variar el número de error en la parte superior de la página).

¿La parte numérica del Id que tienes es 8nnnn2? (nnnn números adicionales).

[Csmiami]

¿La parte numérica del Id que tienes es 8nnnn2? (nnnn números adicionales).

Afirmativo; con el 8 duplicado 4 veces en total.

Suchmoon lo habia mencionado tambien esta mañana en otro hilo en ingles, pero me lo habia tomado como una satira (sabiendo un poco como es); y mi respuesta pues ha ido de la misma mano pensando que era una coña, diciendo que a ver si no se habia enterado de que los ultimos modelos de ledger vienen con camara para hacer face ID y lector de huellas para reconocimiento biometrico... aveces me inspiro fuerte yo tambien

----

Mas alla del comercio internacional y derecho maritimo que he tocado en la carrera por encima.... se me escapa el resto de cosas; tengo las neuronas justas para entender un BOE  Pero si, en principio contactare esta semana con la agencia española de proteccion de datos para ver que se puede hacer; en un mundo yanki ideal, igual hasta pillaba cacho por la poca cabeza de esta empresa a la hora de proteger datos, pero me conformare con que les peguen un tirón de orejas... Ddmr, si quieres voy actualizando mi consulta aqui, y como a ti tambien te ha llegado, puedes decidir a ver si te animas tambien

[DdmrDdmr]

<…> Afirmativo; con el 8 duplicado 4 veces en total.

Snap …
Si le ha llegado tambien a @suchmoon esta mañana, van por batches de SMS a lo largo del día. Mi temor es que, en algún momento, el ID sea personalizado, pero parece que por ahora no.

Ddmr, si quieres voy actualizando mi consulta aqui, y como a ti tambien te ha llegado, puedes decidir a ver si te animas tambien

Ok, toda información en este sentido es buena. Dudo que la APD haga mucho. Que yo sepa, el mal uso y abuso es el terreno en el cual se suelen mover, pero un hackeo me da que no lleva a nada serio en términos de sanción.

[Csmiami]

Ok, toda información en este sentido es buena. Dudo que la APD haga mucho. Que yo sepa, el mal uso y abuso es el terreno en el cual se suelen mover, pero un hackeo me da que no lleva a nada serio en términos de sanción.

Puedo estar de acuerdo en que el hackeo no es "culpa suya" (que telita que una empresa de este tipo haga aguas de este pelo), pero no informar debidamente a sus clientes de ello? En el email original de hace unos meses mencionaban que solo habia 9000 usuarios implicados y que se les contactaria por privado... Creo que ninguno de los presentes entraba en esa definición. Despues de eso lo unico que han hecho ha sido una entrada de blog bastante general sobre como evitar phishing, y ningun asomo de disculpa o reconocimiento de culpa por parte de la empresa.

Podria decirse que son simplemente malas practicas empresariales? Tal vez; pero hay usuarios reportando que han hecho su primera compra ahora por el black friday, y estan viendose afectados por esto mismo. Y la verdad, es que sabiendo esto, empiezo a no tener tan claro que hayan sido capaces de resolver el filtrado todavia

[DdmrDdmr]

Sí que hay opciones de sanciones, si:

https://wwwhatsnew.com/2020/02/06/explosivo-crecimiento-de-multas-relacionadas-con-el-incumplimento-de-la-gdpr/

En la lista de multas, de las más frecuentes están las de falta de medidas organizativas o técnicas para proteger la seguridad de la información (44 multas por este hecho en la EU).

El caso de mayor sanción fue a British Airways, tras un ciberataque: https://www.pinsentmasons.com/out-law/news/british-airways-fined-20m-over-gdpr-breach

La de Marriot es del mismo palo:
https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-marriott-international-inc-184million-for-failing-to-keep-customers-personal-data-secure/

Hay gente que ya estaba mirando para organizarse y demandar:
https://www.reddit.com/r/ledgerwallet/comments/i045z3/ledger_classaction_lawsuit/
Creo haber visto algo más elaborado hace algunos días, pero le he perdido la traza.

(Apago por hoy ...)

[DdmrDdmr]

Por lo visto, hay varios IDs distintos en las URLs de phishing que están circulando estos días. No son nominales, y no sé si estarán testando distintos mensajes para ver los resultados (sobre distintas URLs de phishing).

Code:

ledger[dot]com[dot]634644[dot]app
ledger[dot]com[dot]837729[dot]app
ledger[dot]com[dot]565333[dot]app
ledger[dot]com[dot]453455[dot]app
ledger[dot]com[dot]342344[dot]app
ledger[dot]com[dot]device[dot]id[dot]837729[dot]app
ledger[dot]com[dot]device[dot]id[dot]634644[dot]app
ledger[dot]com[dot]device[dot]id[dot]565333[dot]app
ledger[dot]com[dot]device[dot]id[dot]453455[dot]app
ledger[dot]com[dot]device[dot]id[dot]342344[dot]app
ledger[dot]com[dot]device[dot]id[dot]756728[dot]app
ledger[dot]com[dot]device[dot]id[dot]727783[dot]app
ledger[dot]com[dot]device[dot]id[dot]657377[dot]app
ledger[dot]com[dot]device[dot]id[dot]893900[dot]app
ledger[dot]com[dot]device[dot]id[dot]745583[dot]app
ledger[dot]com[dot]device[dot]id[dot]688338[dot]app
ledger[dot]com[dot]device[dot]id[dot]883882[dot]app
ledger[dot]com[dot]device-u23-verification[dot]app
ledger[dot]com[dot]device-e72-verification[dot]app
ledger[dot]com[dot]verification-login-s61[dot]app
ledger[dot]com[dot]acc-verification-login[dot]app
ledger[dot]com[dot]device[dot]id[dot]7537472[dot]app
ledger[dot]com[dot]hardware[dot]id[dot]54656346[dot]app
ledger[dot]com[dot]device[dot]id[dot]6567288[dot]app
ledger[dot]com[dot]hardware[dot]id[dot]953781832[dot]app
xn--ldr-qsa2998aca[dot]com
ledger[dot]com-settings[dot]device-id-45682[dot]app
xn--lede-dxa93a[dot]com

Ver: https://www.reddit.com/r/ledgerwallet/comments/kaasmt/ledger_security_breach_please_update_your_pin/

Estos intentos a veces dan con un buen botín, para desgracia del que cae en ellos. Un usuario reportó recientemente haber conversado por las redes sociales con alguien que perdido 50K$, al caer en la trampa …

Ver: https://coinfomania.com/bitcoiner-loses-50k-life-savings-ledger-phishing/#utm_source=rss&utm_medium=rss&utm_campaign=bitcoiner-loses-50k-life-savings-ledger-phishing

[Filicius]

----

Mas alla del comercio internacional y derecho maritimo que he tocado en la carrera por encima.... se me escapa el resto de cosas; tengo las neuronas justas para entender un BOE   Pero si, en principio contactare esta semana con la agencia española de proteccion de datos para ver que se puede hacer; en un mundo yanki ideal, igual hasta pillaba cacho por la poca cabeza de esta empresa a la hora de proteger datos, pero me conformare con que les peguen un tirón de orejas... Ddmr, si quieres voy actualizando mi consulta aqui, y como a ti tambien te ha llegado, puedes decidir a ver si te animas tambien

¿Los míticos Incoterms? Típico de empresariales, mi pareja estudió comercio internacional y ahí se los cascaron también. Materia interesante que no sé cómo estará a día de hoy pero he leído hace no mucho que con la tecnología blockchain podría mejorarse (añadiendo sensórica, supongo).

¿Has contactado finalmente con la Agencia? Mantennos informados please.

[Csmiami]

¿Los míticos Incoterms? Típico de empresariales, mi pareja estudió comercio internacional y ahí se los cascaron también. Materia interesante que no sé cómo estará a día de hoy pero he leído hace no mucho que con la tecnología blockchain podría mejorarse (añadiendo sensórica, supongo).

Los infames mismos; tengo un examen a mediados de enero solo sobre ellos, pero no hemos dado gran cosa asique parece sencillo. Lo otro que comentas va a ser basicamente mi tema de TFG, hace unas semanas hice un pequeño adelante sobre el tema aquí; a ver como evoluciona la cosa....

¿Has contactado finalmente con la Agencia? Mantennos informados please.

Tenia pensado ponerme a ello mañana, entre el puente y los horarios que tengo, no me da la vida para más... iré actualizando con lo que me digan

[DdmrDdmr]

Estos intentos de phishing, sobre la BD de clientes de Ledger, van para largo. El último correo electrónico que circula es ahora del estilo de:

From: ledger Alerts noreply@ledger.com-m31-email-m6-encryption.rk28-email-ssl.cloud

Your Ledger Hardware Wallet has been deactivated.

Unfortunately, due to the new KYC policy, you are required to confirm your identity:
https[dos puntos]//docs[punto]google[punto]com/document/d/e/2PACX-1vQjTM5NpOsIYz97qt6Bv8fdTUfMBReCqiBkilPtyKxqN5BSuGVEa7wWF5butVwiI-y1h-qN7oTMKCur/pub?embedded=true

Ledger Verification TeamW67PT8Q04WK-994

En mi caso, el correo se quedó en el spam. El que cito arriba no es el contenido exacto del mío, dado que varía el remitente, el link interior, y el Team abajo citado. No he visto apenas casos reportados, por lo que no sé si son agrupaciones con un mismo contenido o si son correos personalizados (aunque no nominales en este caso).

Lo malo adicional, es que en mi copia estoy en BCC en el correo, donde el destinatario es otra persona. Es decir, que, al menos en este caso, estoy yo viendo el correo de otro (probable) tenedor de Ledger. Esto lleva a pensar que uno puede estar referenciado en el correo de otros receptores. Suma y sigue …

[Csmiami]

Y ya para rematar la faena, parece ser que se han publicado todos los datos posibles de manera gratuita en un foro...

I'm posting here again because there is something new and unfortunately the phishing and other scams attempts are not about to stop since someone has made the stolen database available for free on 'raidforums'.

https://twitter.com/JimmyMcShill/status/1340733120610447365

Ledger confirmed 

https://twitter.com/Ledger/status/1340769565639233536

Podeis acceder a los tuits sin miedo, pero poco nuevo van a decirnos ya. El segundo tuit es la propia empresa Ledger confirmando que efectivamente ese filtrado parece ser correcto...
En resumen, se han filtrado:

272.853 pedidos con todos los datos personales (Email, Direcciones, Telefono)
1.075.382 direcciones de email suscritas al newsletter

No se menciona si estos datos son solo los recabados hasta julio (cuando se dieron cuenta de lo que estaba pasando) ni cuando comenzó la faena.

Por otro lado, pequeña actualización de la APD... como buen ente dependiente de la administración central, solo hay 2 formas de realizar una solicitud/denuncia:
-Identificandose con certificado electrónico (eDNI) pero que a ver quien es el listo que tiene un lector de tarjetas por casa
-En papel.

Tengo que ceñirme a la segunda, enviando o por correo ordinario o por otro ente público para que se lo hagan llegar. Teniendo en cuenta las fechas, supongo que lo estarán llevando en el burrito sabanero, y que hasta febrero o así no tendré una respuesta clara. Seguiré actualizando

[DdmrDdmr]

<...>

Lo he visto en otro hilo, y con estos datos, ahora me cuadra que tanta gente reporte estar fuera de los 9.500 registros filtrados con datos personales, habiendo recibido intentos de phishing, y en cambio sin haber recibido el comunicado oficial de pertenencia al conjunto.

He entrado en el citado foro y me lo he leído de punta a punta. No entiendo por qué el tonto del bote lo ha publicado. En estos momentos, 720 personas han accedido al contenido del enlace (para acceder, has de tener 8 créditos en la plataforma). Encima, a modo de ejemplo, han publicado los datos de una persona de la lista.

8k España
17k Francia
23k Alemania
... una p.mierda.

[Csmiami]

----

8k España
17k Francia
23k Alemania
... una p.mierda.

Veo que has accedido pues a los datos... dejo el enlace por si alguien mas está interesado en buscarse:  https://raw.githubusercontent.com/xoso9/ledgerhack/main/Ledger/buyers/Ledger%20Orders%20(Buyers)%20only.txt (gracias suchmoon por publicar el enlace)

Me sorprende entre comillas gratamente que haya tantos datos "cercanos"; se que sería medianamente posibles rastrearnos mutuamente entre los que más interactuamos en el foro, y que haya muchos más afectados de los esperados (en mi CP hay ya más de 5, incluido curiosamente un Guardia Civil....) nos sirve de cierto colchon de seguridad

Realmente no tengo muy claro lo que va a pasar ahora; supogno que despues de un tiempo los sms e emails desaparecerán, pero no me hace ninguna gracia que se relacione mi dirección física con un Ledger; sobre todo cuando nisiquiera utilizo Ledger...

[DdmrDdmr]

<…>

Si, ya lo he cargado en una BD mía para poder mirarlo mejor, con el fin de ver el alcance en la globalidad, el impacto por países, y el microcosmos relativo al yoismo. La estructura del fichero no es la mejor posible (casi que afortunadamente), dado que no todos los registros tienen el mismo número de campos, pero sin dedicarle mucho tiempo he podido ver el desglose por los países y determinadas ciudades (OR de valores en varios campos cargados).

Lo de la dirección y el teléfono son un incordio, pues ahora hemos de pensar en ello en lugar de obviar un problema que no existía. Tampoco hay que obsesionarse; al fin y al cabo, todos ya destilamos de alguna manera si tenemos cierto poder adquisitivo o no en la vida 3D, y esto no tiene por qué suponer nada en concreto, salvo por el hecho de que son activos psesudoanónimos, con potencial de crecer lo suyo, y más sencillos de desplumar que la cuenta corriente de alguien.

Nota: Ya he visto el enlace a varios Github en distintos sitios (yo fui por otra vía). No obstante, tengo reservas acerca de si es bueno publicarlo en el foro. Uno puede comprobar si pertenece al conjunto de datos que circulan, pero multiplicamos el efecto de acceso al mismo. Claro que, quien vaya a hacer mal uso del mismo, ya accedería por las webs como la que es origen de esta información.

[DdmrDdmr]

Si a alguien le sobran 2h 19m 46s, hay un video de Andreas Antonopoulos respecto del incidente:
https://www.youtube.com/watch?v=uKCMx8nqQhY&feature=youtu.be
(Help! Ledger Hack.What is it? What should you do right now to protect youself? Emergency Livestream).

En video participan tanto Andreas, como Taylor Monahan, Jameson Lopp y Peter McCormack. El orden anterior coincide con el orden de relevancia de sus comentarios (de más a menos). Lo interesante del contenido no se circunscribe únicamente a los acontecimientos, sino que se extiende en algunos efectos potenciales como el sim swapping (acto seguido, he eliminado mi móvil como mecanismo de recuperación del correo electrónico), la seguridad lógica, la física, el phishing y demás.

Como curiosidad, Andreas está en la BD, aunque el no utiliza sus datos vigentes para las entregas, y recurre a un tipo de servicio postal que permite hacer de proxy en EEUU.