Ledger-Shopify Data Breach Saga noch nicht vorbei, weitere Sammelklage eingereicht

Eine Gruppe von Ledger-Nutzern hat beim US-Bezirksgericht Delaware eine Sammelklage gegen die globale E-Commerce-Plattform Shopify, ihren externen Datenberater TaskUs sowie den Hardware-Wallet-Hersteller selbst eingereicht.

Eine weitere Klage

Nach dem offiziellen DokumentDie Kläger warfen Shopify und TaskUs vor, dass sie im Zusammenhang mit der Datenschutzverletzung im Jahr 2020, die die Krypto-Wallets von Ledger SAS betraf, „keine angemessene Sorgfalt bei der Sicherung und dem Schutz“ von Benutzerdaten walten ließen.

In der Beschwerde heißt es, dass der Verstoß zur unbefugten Veröffentlichung von rund 272,000 personenbezogenen Daten wie Name, E-Mail-ID, Postanschrift und Telefonnummern geführt habe.

Die Kläger behaupteten, dass sowohl Shopify als auch TaskUs Berichten zufolge mehr als eine Woche lang von dem Datenleck wussten, bevor sie die Kunden über den Hack informierten. Zwischen April und Juni 2020 nutzten Angreifer die Datenbank von Ledger über Shopify und TaskUs aus und erlangten die Liste der PII der Kunden von Ledger. Bis Ende Juni wurden die Daten der Opfer auf dem Schwarzmarkt gehandelt, was sie anfällig für Phishing-Angriffe machte.

Ledger, das auch für wiederholte Versprechungen und weltweite Werbekampagnen verantwortlich ist, in denen seine Sicherheit angepriesen wird, hatte den Verstoß zunächst bestritten. Im Dezember 2020 verschärfte sich das Ausmaß des Exploits, als der Hacker die Kundenliste von Ledger online auf Shopify veröffentlichte.

Abgesehen von Phishing-Angriffen. Den Opfern drohten außerdem körperliche Übergriffe und Erpressungen, wenn sie es versäumten, den Kriminellen ihr Geld zu überweisen. Zu diesem Zeitpunkt, so behaupteten die Kläger, habe das französische Hardware-Wallet-Unternehmen einigen seiner von der Datenpanne betroffenen Kunden eine E-Mail geschickt, in der es sie zum ersten Mal darüber informierte, dass ihre personenbezogenen Daten durchgesickert seien.

In der Beschwerde wurde außerdem behauptet, dass Ledger Shopify für den Betrieb des Online-Shops seiner Website nutzte, wodurch Letzterer direkten Zugriff auf die persönlichen Daten der Benutzer in der Ledger-Datenbank hatte. Shopify nutzt TaskUs als Drittanbieter zur Bereitstellung von Kundensupportdiensten und hatte daher Zugriff auf die genannten Kundendaten.

Kalifornisches Gericht weist Klage wegen Datenschutzverletzung aus dem Jahr 2020 ab

Dies ist nicht das erste Mal, dass Ledger und Shopify wegen eines Datenschutzverstoßes verklagt werden, bei dem mehrere Ledger-Benutzer ihre Krypto-Assets durch Phishing-Angriffe verloren haben, nachdem ihre persönlichen Daten durchgesickert waren.

Das kalifornische Gericht entschied jedoch im November letzten Jahres zugunsten des Antrags von Shopify und Ledger, die Klage abzuweisen. Richter Edward Chen erklärte, dass das in den USA ansässige Gericht nicht für die beiden Unternehmen zuständig sei, da sie ihren Hauptsitz in Kanada und Frankreich hätten.

Anfang dieser Woche hat ein weiteres Kryptowährungs-Wallet-Unternehmen, Trezor, bestätigt dass seine Benutzer Ziel des MailChimp-Exploits waren. Es untersuchte nun die E-Mail-Phishing-Kampagne, bei der die Hacker gefälschte Benachrichtigungen über Datenschutzverletzungen verschickten, nachdem sie eine Mailingliste kompromittiert hatten.