Το έπος παραβίασης δεδομένων του Ledger-Shopify δεν έχει τελειώσει ακόμη, υποβλήθηκε άλλη μια αγωγή Class Action

Μια ομάδα χρηστών του Ledger έχει καταθέσει ομαδική αγωγή στο Περιφερειακό Δικαστήριο του Ντέλαγουερ των Ηνωμένων Πολιτειών κατά της παγκόσμιας πλατφόρμας ηλεκτρονικού εμπορίου Shopify, του τρίτου συμβούλου δεδομένων TaskUs καθώς και της ίδιας της εταιρείας κατασκευής πορτοφολιών υλικού.

Άλλη μήνυση

Σύμφωνα με την επίσημη έγγραφο, οι ενάγοντες κατηγόρησαν τη Shopify και την TaskUs για την «αδυναμία τους να επιδείξουν εύλογη προσοχή στην ασφάλεια και τη διαφύλαξη» των δεδομένων χρηστών που συνδέονται με την παραβίαση δεδομένων του 2020 που επηρέασε τα κρυπτογραφικά πορτοφόλια Ledger SAS.

Η καταγγελία ανέφερε ότι η παραβίαση είχε ως αποτέλεσμα τη μη εξουσιοδοτημένη δημόσια δημοσιοποίηση περίπου 272,000 τεμαχίων προσωπικών πληροφοριών, όπως όνομα, ταυτότητα ηλεκτρονικού ταχυδρομείου, ταχυδρομική διεύθυνση και αριθμοί τηλεφώνου.

Οι ενάγοντες ισχυρίστηκαν ότι τόσο το Shopify όσο και το TaskUs φέρεται να γνώριζαν τη διαρροή δεδομένων για περισσότερο από μία εβδομάδα προτού ειδοποιήσουν τους πελάτες για το hack. Μεταξύ Απριλίου-Ιουνίου 2020, οι εισβολείς εκμεταλλεύτηκαν τη βάση δεδομένων του Ledger μέσω του Shopify και του TaskUs και απέκτησαν τη λίστα με τα PII των πελατών του πρώτου. Μέχρι τα τέλη Ιουνίου, τα δεδομένα των θυμάτων είχαν διαπραγματευτεί στη μαύρη αγορά, γεγονός που τα έκανε ευάλωτα σε επιθέσεις phishing.

Η Ledger, η οποία είναι επίσης υπεύθυνη για επαναλαμβανόμενες υποσχέσεις και παγκόσμιες διαφημιστικές εκστρατείες που διαφημίζουν την ασφάλειά της, είχε αρχικά αρνηθεί την παραβίαση. Μέχρι τον Δεκέμβριο του 2020, η έκταση της εκμετάλλευσης επιδεινώθηκε όταν ο χάκερ δημοσίευσε τη λίστα πελατών του Ledger στο διαδίκτυο από το Shopify.

Εκτός από επιθέσεις phishing. Τα θύματα αντιμετώπιζαν επίσης απειλές σωματικής επίθεσης και εκβιασμού εάν δεν μπορούσαν να μεταφέρουν τα χρήματά τους στους εγκληματίες. Τότε, όπως ισχυρίστηκαν οι ενάγοντες, η γαλλική εταιρεία πορτοφολιών υλικού έστειλε σε ορισμένους από τους πελάτες της που επηρεάστηκαν από την παραβίαση δεδομένων ένα email που τους ενημέρωνε για πρώτη φορά ότι τα PII τους διέρρευσαν.

Η καταγγελία ισχυρίστηκε επίσης ότι η Ledger χρησιμοποίησε το Shopify για τη λειτουργία του ηλεκτρονικού καταστήματος του ιστότοπού της, λόγω του οποίου ο τελευταίος είχε άμεση πρόσβαση στα προσωπικά στοιχεία των χρηστών στη βάση δεδομένων του Ledger. Το Shopify χρησιμοποιεί το TaskUs ως ανάδοχο τρίτου μέρους για την παροχή υπηρεσιών υποστήριξης πελατών και, ως εκ τούτου, είχε πρόσβαση στα εν λόγω δεδομένα πελατών.

Το δικαστήριο της Καλιφόρνια απορρίπτει την αγωγή για παραβίαση δεδομένων του 2020

Αυτή δεν είναι η πρώτη φορά που η Ledger και η Shopify υποβάλλονται σε μήνυση για παραβίαση δεδομένων που ισχυρίστηκε ότι αρκετοί χρήστες του Ledger έχασαν τα κρυπτογραφικά τους στοιχεία σε επιθέσεις phishing μετά τη διαρροή των προσωπικών τους δεδομένων.

Ωστόσο, το δικαστήριο της Καλιφόρνια αποφάνθηκε υπέρ της πρότασης των Shopify και Ledger για απόρριψη της αγωγής τον Νοέμβριο του περασμένου έτους. Ο δικαστής Έντουαρντ Τσεν δήλωσε ότι το δικαστήριο που εδρεύει στις ΗΠΑ δεν έχει δικαιοδοσία επί των δύο οντοτήτων αφού έχουν την έδρα τους στον Καναδά και τη Γαλλία.

Νωρίτερα αυτή την εβδομάδα, μια άλλη εταιρεία πορτοφολιών κρυπτονομισμάτων, η Trezor, επιβεβαίωσε ότι οι χρήστες του στοχεύονταν στο MailChimp exploit. Τώρα διερευνούσε την εκστρατεία ηλεκτρονικού ψαρέματος, όπου οι χάκερ έστελναν ψεύτικες ειδοποιήσεις για παραβιάσεις δεδομένων, αφού είχαν θέσει σε κίνδυνο μια λίστα αλληλογραφίας.