Les utilisateurs Ledger visés par un phishing lié à Global-e

Une nouvelle campagne de phishing cible les utilisateurs de Ledger, suite à une fuite de données chez Global-e, un prestataire tiers de commerce électronique utilisé par la société de portefeuilles matériels. Les attaquants se servent d’informations de commande dérobées pour envoyer des e-mails d’arnaque personnalisés usurpant l’identité de Ledger et évoquant à tort une fusion avec le fabricant concurrent Trezor.

La fuite de Global-e exploitée pour viser les clients Ledger

Ledger a confirmé que Global-e a récemment subi une faille de sécurité affectant les données de ses clients. Les informations exposées incluent noms, adresses e-mail, numéros de téléphone et détails de commande. Peu après cette divulgation, les utilisateurs ont commencé à signaler des e-mails de phishing imitant les communications officielles. Des captures d’écran circulent déjà sur X.

Ces messages invitent les destinataires à protéger leurs avoirs en réaction à une prétendue fusion. Les liens redirigent vers de faux sites imitant ceux de Ledger, qui incitent à entrer leur phrase de récupération de 24 mots – donnant ainsi aux pirates un accès complet aux fonds.

Ce phishing ciblé par e-mail repose sur des données réelles de commande, rendant les messages difficiles à détecter. Des références à des produits ou à des dates d’achat renforcent leur crédibilité.

La campagne présente plusieurs schémas récurrents :

• Fausse annonce de fusion Ledger–Trezor
• Utilisation d’informations personnelles réelles
• Incitation à migrer les portefeuilles via des liens externes
• Sites factices imitant l’interface de Ledger
• Demande explicite de la phrase de récupération

Global-e a indiqué avoir ouvert une enquête interne et coopère avec des entreprises de cybersécurité pour évaluer l’ampleur de la fuite. Aucune donnée financière n’aurait été compromise, l’incident se limitant aux données de contact et de commande. Le nombre de clients affectés n’a pas été communiqué.

Ledger a de son côté signalé l’incident aux autorités compétentes et collabore avec les forces de l’ordre. L’entreprise rappelle qu’elle ne demande jamais de phrase de récupération ou de clé privée.

Des précédents chez Ledger, mais une tendance globale à la baisse

Ce nouvel incident s’ajoute à plusieurs failles de sécurité ayant touché Ledger par le passé. En 2020, une fuite massive avait exposé les données personnelles de centaines de milliers d’utilisateurs, incluant adresses e-mail, numéros de téléphone et adresses postales. Les victimes avaient signalé une vague de tentatives de phishing et d’intimidation.

La même année, une enquête avait révélé qu’un ancien employé de Shopify avait divulgué les données de près de 20 000 clients. Plus tard, une autre fuite a conduit à la publication d’informations concernant environ 292 000 utilisateurs.

Plus récemment, une attaque exploitant du code malveillant injecté dans une bibliothèque partagée a vidé certains portefeuilles connectés via des applications décentralisées. Environ 600 000 dollars ont été dérobés.

Malgré ces incidents, les pertes dues au phishing ont chuté de manière significative. En 2025, elles s’élèvent à 83,85 millions de dollars, soit une baisse de 83 % par rapport à l’année précédente. Les pertes sont plus fréquentes lors des pics d’activité du marché : la plus grosse attaque recensée cette année, en septembre, a provoqué un préjudice de 6,5 millions de dollars via un abus de signature de permis.