De Zwitserse Bitcoin-dienstverlener Pocket Bitcoin heeft bekendgemaakt dat een beveiligingsincident in augustus persoonlijke en financiële informatie blootstelde van meer dan 5.400 klanten, waaronder bankgegevens en, in een kleiner aantal gevallen, gevoeligere gegevens.

Volgens informatie gepubliceerd door @WuBlockchain zei Pocket Bitcoin dat gegevens van 5.120 klanten bij het incident zijn blootgesteld. De getroffen informatie omvatte namen, adressen, bedragen en datums van bankoverschrijvingen, terwijl sommige records ook IBAN's bevatten.

Bij nog eens 291 klanten werd gevoeligere informatie blootgesteld. Volgens het bedrijf ging het hierbij mogelijk om identiteitsdocumenten, bewijs van fondsherkomst, Bitcoin-adressen en woonadressen. Dergelijke gegevens worden doorgaans verzameld door gereguleerde cryptodienstverleners om te voldoen aan anti-witwas- en know-your-customer-eisen, waardoor ook bedrijven die nooit klant-privésleutels beheren toch over grote hoeveelheden gevoelige persoonsgegevens beschikken.

Klant- en transactiedatabases niet gecompromitteerd, aldus het bedrijf

Pocket Bitcoin stelde dat de klant- en transactiedatabases tijdens het incident niet zijn gecompromitteerd. De blootgestelde informatie was afkomstig uit bankcorrespondentie en transactielijsten die waren opgeslagen in het getroffen supportsysteem van het bedrijf.

Dit onderscheid is belangrijk, omdat het incident volgens het bedrijf de kern databases met klanttransactiegegevens niet raakte. Pocket Bitcoin zei ook dat Bitcoin-saldi en privésleutels niet zijn aangetast. Pocket Bitcoin hanteert een model waarin klanten Bitcoin via het platform kopen en in zelfbeheer bewaren, wat betekent dat het bedrijf geen klant-privésleutels beheert — een opzet dat de directe financiële impact van een dergelijk lek beperkt tot persoonsgegevens in plaats van fondsen.

Het bedrijf zei dat er momenteel geen aanwijzingen zijn dat de blootgestelde informatie is misbruikt. De onthulling van bankgegevens, woonadressen en bewijs van fondsherkomst kan echter privacy- en beveiligingsrisico's met zich meebrengen voor getroffen klanten, vooral als de informatie later wordt gecombineerd met gegevens uit andere bronnen.

Gegevensbeschermingsautoriteiten en politie geïnformeerd

Pocket Bitcoin zei het incident te hebben gemeld bij de gegevensbeschermingsautoriteiten van Zwitserland en Liechtenstein, evenals bij de politie. Meldingen van deze soort aan toezichthouders sluiten aan bij de verplichtingen waarmee bedrijven onder de Zwitserse gegevensbeschermingswet worden geconfronteerd, die sinds de herziening van 2023 in veel gevallen melding van datalekken met persoonsgegevens vereist, evenals bij de Algemene Verordening Gegevensbescherming van de Europese Unie, die geldt voor bedrijven met EU-klanten en doorgaans melding van in aanmerking komende datalekken binnen 72 uur vereist.

De respons plaatst het incident binnen de bredere reguleringsfocus op cybersecurity en de bescherming van persoonsgegevens in de financiële dienstverlening. Cryptobedrijven die bankgegevens en identiteitsgegevens verwerken lopen extra risico's, omdat gecompromitteerde persoonsgegevens mogelijk kunnen worden gebruikt voor fraude, social engineering of gerichte aanvallen, zelfs wanneer digitale activa en privésleutels veilig blijven. Vergelijkbare incidenten bij andere cryptobedrijven, waaronder datalekken op beursniveau die identiteitsgegevens van klanten blootstelden, hebben aangetoond dat uitsluitend gegevenslekken nog steeds aanzienlijke klant schade en reputatieschade kunnen veroorzaken.

De directe focus voor Pocket Bitcoin en de getroffen klanten zal daarom liggen op het vaststellen van de volledige omvang van de blootgestelde informatie en het monitoren of er na de onthulling misbruik optreedt.

Bron: Hokanews