Saga naruszeń danych Ledger-Shopify jeszcze się nie skończyła, wniesiono kolejny pozew zbiorowy

Grupa użytkowników Ledger złożyła pozew zbiorowy w Sądzie Okręgowym Stanów Zjednoczonych w Delaware przeciwko globalnej platformie e-commerce Shopify, jej zewnętrznemu konsultantowi ds. danych TaskUs, a także samemu producentowi portfeli sprzętowych.

Kolejny proces

Według oficjalnych dokumentpowodowie oskarżyli Shopify i TaskUs o „niezachowanie należytej staranności przy zabezpieczeniu i ochronie” danych użytkowników w związku z naruszeniem danych w 2020 r., które miało wpływ na portfele kryptowalutowe Ledger SAS.

Ze skargi wynika, że ​​naruszenie doprowadziło do nieuprawnionego publicznego ujawnienia około 272,000 XNUMX danych osobowych, takich jak imię i nazwisko, identyfikator e-mail, adres pocztowy i numery telefonów.

Powodowie twierdzili, że zarówno Shopify, jak i TaskUs były według doniesień świadome wycieku danych przez ponad tydzień, zanim powiadomiły klientów o włamaniu. W okresie od kwietnia do czerwca 2020 r. napastnicy wykorzystali bazę danych Ledger za pośrednictwem Shopify i TaskUs i uzyskali listę danych osobowych klientów tego pierwszego. Pod koniec czerwca dane ofiar trafiły do ​​obrotu na czarnym rynku, co naraziło je na ataki phishingowe.

Ledger, który jest również odpowiedzialny za wielokrotne obietnice i globalne kampanie reklamowe wychwalające jego bezpieczeństwo, początkowo zaprzeczył naruszeniu. Do grudnia 2020 r. zakres exploita pogorszył się, gdy haker opublikował listę klientów Ledgera online w Shopify.

Oprócz ataków phishingowych. ofiarom grożono także napaścią fizyczną i szantażem, jeśli nie przekażą środków przestępcom. To wtedy, jak twierdzili powodowie, francuska firma produkująca portfele sprzętowe wysłała niektórym swoim klientom dotkniętym naruszeniem danych wiadomość e-mail, w której po raz pierwszy poinformowali ich o wycieku ich danych osobowych.

W skardze zarzucano również, że Ledger korzystał z Shopify do obsługi sklepu internetowego na swojej stronie internetowej, dzięki czemu ten ostatni miał bezpośredni dostęp do danych osobowych użytkowników znajdujących się w bazie danych Ledger. Shopify korzysta z TaskUs jako zewnętrznego wykonawcy w celu świadczenia usług obsługi klienta i dlatego miał dostęp do wspomnianych danych klienta.

Sąd w Kalifornii oddalił pozew dotyczący naruszenia danych z 2020 r

To nie pierwszy raz, gdy Ledger i Shopify zostały pobrane za naruszenie danych, w wyniku którego kilku użytkowników Ledger utraciło swoje zasoby kryptograficzne w wyniku ataków phishingowych po wycieku ich danych osobowych.

Jednak sąd w Kalifornii w listopadzie ubiegłego roku przychylił się do wniosku Shopify i Ledger o oddalenie pozwu. Sędzia Edward Chen stwierdził, że sąd z siedzibą w USA nie ma jurysdykcji nad tymi dwoma podmiotami, ponieważ ich siedziby znajdują się w Kanadzie i Francji.

Na początku tego tygodnia inna firma zajmująca się portfelem kryptowalut, Trezor, Zatwierdzony że jego użytkownicy byli celem exploita MailChimp. Badał teraz kampanię e-mailowego phishingu, w ramach której hakerzy wysyłali fałszywe powiadomienia o naruszeniach danych po włamaniu się na listę mailingową.