Firma Ledger i jej partner e-commerce Shopify zostały pozwane w związku z naruszeniem danych z 2020 roku. Spowodowało one wyciek danych osobowych 270 000 klientów producenta portfeli sprzętowych.

Powodowie stracili fundusze w atakach phishingowych

Skarga została wniesiona do sądu w Północnej Kalifornii przez byłych klientów Ledger, Johna Chu i Edwarda Batona. Domagają się odszkodowania w związku z zeszłorocznym wyciekiem danych. Powodowie nie twierdzą, że naruszenie dotyczyło portfeli sprzętowych Ledgera. Twierdzą oni raczej, że kilku użytkowników straciło swoje kryptowaluty w atakach phishingowych między kwietniem a czerwcem 2020 roku. W tym czasie nieuczciwi pracownicy w Shopify wykorzystali lukę w bazie danych. Pozwoliła ona uzyskać nieuprawniony dostęp do danych osobowych klientów Ledger.

Dane te sprzedano w darknecie i wykorzystano do kampanii phishingowych skierowanych przeciwko klientom Ledger. Następnie, 21 grudnia 2020 r., haker opublikował je na stronie internetowej o nazwie RaidForums. Każdy mógł uzyskać do niej swobodny dostęp. Dane osobowe, które wyciekły, obejmowały pełne imiona i nazwiska, adresy e-mail, numery telefonów i adresy wysyłkowe.

Z powodu ataków phishingowych, Chu stracił około 4,2 BTC i 11 ETH, warte w momencie składania skargi około 267 000 USD. Baton natomiast stracił około 150 000 XLM.

Czy Ledger powiadomił klientów w odpowiednim czasie?

W pozwie zarzuca się, że Ledger nie powiadomił dotkniętych klientów i nie przyznał się do winy na czas. Powodowie domagają się teraz odszkodowania za utracone środki.

Wysiłki firmy Ledger mające na celu ukrycie i zbagatelizowanie rzeczywistej i potencjalnej skali naruszenia w miesiącach poprzedzających jego powszechne publiczne ujawnienie spowodowały katastrofalne szkody dla jej klientów. W tym czasie wielu inwestorów kryptowalutowych aktywów straciło ogromne sumy pieniędzy. Gdyby Ledger działał odpowiedzialnie w tym okresie, wiele z tych strat można było uniknąć

– czytamy w pozwie.

Nie jest jeszcze pewne, czy firma wiedziała o zasięgu ataku hakerskiego. Nie wiadomo też czy świadomie zdecydowała się nie informować o nim swoich użytkowników. Początkowo Ledger opublikował informacje o naruszeniu w lipcu 2020 roku. Ujawnił wtedy, że atakiem dotkniętych zostało około 9500 klientów.

W styczniu 2021 roku Ledger przyznał się do niedoszacowania skali naruszenia. Jeśli to co mówi firma jest prawdą, to dopiero gdy hakerzy opublikowali wszystkie 270 000 wpisów, zrozumiała, że prawdziwy zakres wycieku był większy niż sądziła.