La saga de violación de datos de Ledger-Shopify aún no ha terminado, se presentó otra demanda colectiva

Un grupo de usuarios de Ledger presentó una demanda colectiva en el Tribunal de Distrito de Delaware de los Estados Unidos contra la plataforma global de comercio electrónico Shopify, su consultor de datos externo TaskUs y el propio fabricante de billeteras de hardware.

Otra demanda

De acuerdo con el funcionario documento, los demandantes acusaron a Shopify y TaskUs de "no ejercer un cuidado razonable para asegurar y salvaguardar" los datos de los usuarios relacionados con la violación de datos de 2020 que afectó a las billeteras criptográficas Ledger SAS.

La denuncia decía que la violación resultó en la divulgación pública no autorizada de alrededor de 272,000 piezas de información personal, como nombre, identificación de correo electrónico, dirección postal y números de teléfono.

Los demandantes afirmaron que, según los informes, tanto Shopify como TaskUs estaban al tanto de la fuga de datos durante más de una semana antes de notificar a los clientes sobre el ataque. Entre abril y junio de 2020, los atacantes explotaron la base de datos de Ledger a través de Shopify y TaskUs y obtuvieron la lista de PII de los clientes del primero. A finales de junio, los datos de las víctimas se comercializaron en el mercado negro, lo que las dejó vulnerables a los ataques de phishing.

Ledger, que también es responsable de repetidas promesas y campañas publicitarias globales que promocionan su seguridad, inicialmente negó la violación. Para diciembre de 2020, el alcance del exploit empeoró cuando el pirata informático publicó la lista de clientes de Ledger en línea desde Shopify.

Aparte de los ataques de phishing. las víctimas también enfrentaron amenazas de agresión física y chantaje si no transfirieron sus fondos a los delincuentes. Fue entonces, alegaron los demandantes, que la compañía francesa de billeteras de hardware envió un correo electrónico a algunos de sus clientes afectados por la violación de datos informándoles por primera vez que se había filtrado su PII.

La denuncia también afirmaba que Ledger usaba Shopify para operar la tienda en línea de su sitio web, por lo que este último tenía acceso directo a la información personal de los usuarios en la base de datos de Ledger. Shopify utiliza TaskUs como contratista externo para brindar servicios de atención al cliente y, por lo tanto, tuvo acceso a dichos datos del cliente.

Tribunal de California desestima demanda por violación de datos de 2020

Esta no es la primera vez que Ledger y Shopify han sido demandados por una violación de datos que alega que varios usuarios de Ledger perdieron sus criptoactivos en ataques de phishing después de que se filtraron sus datos personales.

Sin embargo, la corte de California falló a favor de la moción de Shopify y Ledger para desestimar la demanda en noviembre del año pasado. El juez Edward Chen declaró que el tribunal con sede en EE. UU. no tiene jurisdicción sobre las dos entidades, ya que tienen su sede en Canadá y Francia.

A principios de esta semana, otra empresa de carteras de criptomonedas, Trezor, confirmado que sus usuarios fueron atacados en MailChimp exploit. Ahora estaba investigando la campaña de phishing por correo electrónico en la que los piratas informáticos enviaron notificaciones falsas de violaciones de datos después de comprometer una lista de correo.