Ledger-Shopify Data Breach Saga n’est pas encore terminée, un autre recours collectif est déposé

Un groupe d’utilisateurs de Ledger a intenté un recours collectif devant le tribunal de district du Delaware aux États-Unis contre la plate-forme mondiale de commerce électronique Shopify, son consultant tiers en matière de données TaskUs ainsi que le fabricant de portefeuilles matériels lui-même.

Un autre procès

Selon le document officiel, les plaignants ont accusé Shopify et TaskUs de leur « manquement à exercer une diligence raisonnable dans la sécurisation et la sauvegarde » des données des utilisateurs liées à la violation de données de 2020 qui a affecté les portefeuilles cryptographiques Ledger SAS.

La plainte indiquait que la violation avait entraîné la diffusion publique non autorisée d’environ 272 000 informations personnelles telles que le nom, l’adresse e-mail, l’adresse postale et les numéros de téléphone.

Les plaignants ont affirmé que Shopify et TaskUs auraient été au courant de la fuite de données pendant plus d’une semaine avant d’informer les clients du piratage. Entre avril et juin 2020, des attaquants ont exploité la base de données de Ledger via Shopify et TaskUs et ont obtenu la liste des PII des anciens clients. Fin juin, les données des victimes avaient été échangées sur le marché noir, ce qui les rendait vulnérables aux attaques de phishing.

Ledger, qui est également responsable des promesses répétées et des campagnes publicitaires mondiales vantant sa sécurité, avait initialement nié la violation. En décembre 2020, l’étendue de l’exploit s’est aggravée lorsque le pirate a publié la liste des clients de Ledger en ligne depuis Shopify.

En dehors des attaques de phishing. les victimes ont également été menacées d’agression physique et de chantage si elles ne transféraient pas leurs fonds aux criminels. C’est alors, selon les plaignants, que la société française de portefeuille matériel a envoyé à certains de ses clients touchés par la violation de données un e-mail les informant pour la première fois que leurs PII avaient été divulgués.

La plainte affirmait également que Ledger utilisait Shopify pour exploiter la boutique en ligne de son site Web, grâce à laquelle ce dernier avait un accès direct aux informations personnelles des utilisateurs sur la base de données de Ledger. Shopify utilise TaskUs en tant que sous-traitant tiers pour fournir des services d’assistance client et a donc eu accès auxdites données client.

Le tribunal de Californie rejette le procès pour violation de données de 2020

Ce n’est pas la première fois que Ledger et Shopify sont poursuivis pour une violation de données alléguant que plusieurs utilisateurs de Ledger ont perdu leurs actifs cryptographiques lors d’attaques de phishing après la fuite de leurs données personnelles.

Cependant, le tribunal californien s’est prononcé en faveur de la requête de Shopify et Ledger visant à rejeter le procès en novembre de l’année dernière. Le juge Edward Chen a déclaré que le tribunal basé aux États-Unis n’a pas compétence sur les deux entités puisqu’elles ont leur siège social au Canada et en France.

Plus tôt cette semaine, une autre société de portefeuille de crypto-monnaie, Trezor, a confirmé que ses utilisateurs étaient ciblés par l’exploit MailChimp. Il enquêtait maintenant sur la campagne d’hameçonnage par e-mail dans laquelle les pirates envoyaient de fausses notifications de violation de données après avoir compromis une liste de diffusion.