Una nueva demanda colectiva alega que Intuit "intencionalmente, deliberadamente, imprudentemente o por negligencia" fallór al proteger los datos de Mailchimp, lo que condujo al robo de criptomonedas de los usuarios de la wallet Trezor.
La demanda, presentada el viernes en California, afirma que la empresa de software financiero y su filial Rocket Science Group, que opera Mailchimp, son responsables de "millones de dólares de pérdidas."
Eso incluye 82.000 dólares robados de la propia wallet Trezor del demandante Alan Levinson.
En nombre de otros usuarios de la wallet Trezor, Levinson reclama a Intuit daños y perjuicios reales y punitivos, así como tres años de supervisión del crédito.
Alega que un empleado de Rocket Science Group "fue víctima de uno de los trucos cibernéticos más antiguos del libro" al hacer clic en un enlace malicioso que permitió a los atacantes acceder a la información personal, incluidas las direcciones de correo electrónico, de más de 100 usuarios que estaban suscritos a un boletín informativo de Trezor.
Los correos electrónicos se utilizaron para atraer a los usuarios a un sitio web falso de Trezor, donde se les pedía que descargaran una nueva versión de la aplicación de escritorio Trezor Suite de la empresa para protegerse de una violación de datos.
Al hacerlo, los usuarios, sin saberlo, dieron a los ciberdelincuentes acceso a la frase de recuperación utilizada para acceder a sus wallets de criptomonedas.
Trezor reacciona a la estafa de phishing
Trezor, con sede en la República Checa, comenzó a advertir a los usuarios sobre el correo electrónico de phishing en abril.
"Está circulando un correo electrónico de estafa que advierte de una violación de datos", dijo la compañía en Twitter. "No abran ningún correo electrónico procedente de noreply@trezor.us, es un dominio de phishing".
En su página web sigue apareciendo un banner en el que se advierte a los usuarios que no introduzcan su clave de recuperación en ningún sitio.
Sin mencionar directamente a Trezor, Mailchimp reconoció el fallo de seguridad en un post el 4 de abril.
"Basándonos en nuestra investigación hasta la fecha, encontramos que 319 cuentas de Mailchimp fueron vistas y los datos de la audiencia fueron exportados de 102 de esas cuentas", escribió la compañía en su blog. "Nuestros hallazgos muestran que se trató de un incidente dirigido a usuarios de industrias relacionadas con las criptomonedas y las finanzas".
Los ataques de suplantación de identidad, que se cree que se originaron en los años 90 cuando un grupo de hackers se hizo pasar por empleados de AOL, han plagado las empresas de Web3.
En los últimos dos meses, algunos de los proyectos más grandes—MetaMask, Bored Ape Club y Circle—han tenido que advertir a los usuarios sobre ataques de phishing.
Los estafadores incluso se han hecho pasar por organizaciones de ayuda, con la esperanza de utilizar la invasión rusa de Ucrania para robar las donaciones realizadas con criptomonedas.