Ledger โดนฟ้องกลุ่ม ปมปกปิดข้อมูลรั่วปี 2023 ซ้ำรอยเคสข้อมูลลูกค้ารั่ว 270,000 รายเมื่อปี 2020

Douglas Kim ยื่นฟ้องคดีกลุ่ม (Class Action คดีที่ตัวแทนฟ้องแทนกลุ่มผู้เสียหายจำนวนมากที่มีลักษณะความเสียหายคล้ายกัน) ต่อ Ledger SAS บริษัทผู้ผลิต Hardware Wallet (กระเป๋าฮาร์ดแวร์สำหรับเก็บคริปโตแบบออฟไลน์ ปลอดภัยกว่ากระเป๋าออนไลน์ทั่วไป) รายใหญ่ ที่ศาลแขวงสหรัฐฯ เขตใต้ของนิวยอร์ก เมื่อวันที่ 27 สิงหาคมที่ผ่านมา หมายเลขคดี 1:26-cv-07307-VM กล่าวหาว่า Ledger ปกปิดเหตุการณ์ข้อมูลลูกค้ารั่วไหลเมื่อเดือนธันวาคม 2566 ไม่ยอมแจ้งเตือนลูกค้าตามเวลาที่เหมาะสม

ข้อกล่าวหาหลัก: รู้แล้วไม่แจ้ง ปล่อยแฮกเกอร์ปลอมตัวหลอกลูกค้า

คำฟ้องระบุว่าเหตุการณ์ด้านความปลอดภัยในเดือนธันวาคม 2566 ทำให้ข้อมูลส่วนบุคคลของลูกค้า (PII หรือ Personally Identifiable Information) รั่วไหล ทั้งชื่อ อีเมล หมายเลขโทรศัพท์ และข้อมูลอื่นๆ โดย Ledger ล้มเหลวในการแจ้งเตือนลูกค้าอย่างทันท่วงทีและครบถ้วน หลังจากนั้นแฮกเกอร์นำข้อมูลติดต่อที่ได้ไปใช้แอบอ้างเป็น Ledger หลอกล่อให้ลูกค้าอนุมัติธุรกรรมคริปโตปลอม จนสูญเสียทรัพย์สินดิจิทัลไป และข้อมูลทั้งหมดสุดท้ายก็ไปปรากฏอยู่บน Dark Web และตลาดมืดออนไลน์

คำฟ้องยังระบุด้วยว่า มีบุคคลที่ไม่ได้รับอนุญาตเจาะระบบควบคุมการกระจายซอฟต์แวร์ (Software-Distribution Controls) ของ Ledger จนสามารถหลอกล่อให้ลูกค้าอนุมัติธุรกรรมคริปโตปลอมได้ ซึ่งลักษณะการโจมตีนี้สอดคล้องกับเหตุการณ์ที่เคยเป็นข่าวใหญ่ในวงการเมื่อเดือนธันวาคม 2566 ที่ไลบรารี Connect Kit ของ Ledger ถูกโจมตีแบบ Supply Chain (การโจมตีผ่านช่องทางการกระจายซอฟต์แวร์แทนการเจาะระบบโดยตรง) จนมีผู้ใช้สูญเงินไปหลายแสนดอลลาร์ในขณะนั้น

แพทเทิร์นที่คำฟ้องชี้: จากปี 2020 ถึงปี 2023

คำฟ้องกล่าวหาว่า Ledger มีพฤติกรรม "ที่น่ากังวลเป็นรูปแบบซ้ำๆ" โดยเชื่อมโยงเหตุการณ์ 4 ช่วง ได้แก่ การรั่วไหลของข้อมูลลูกค้าราว 270,000 รายเมื่อปี 2563 การรั่วไหลครั้งใหม่ในปี 2566 การปกปิดไม่แจ้งเตือนลูกค้า และความเสียหายจากการหลอกลวงทางสังคม (Social Engineering เทคนิคหลอกลวงที่อาศัยความไว้วางใจของเหยื่อมากกว่าการเจาะระบบทางเทคนิค) ซึ่งคำฟ้องระบุว่าหากมีการแจ้งเตือนตั้งแต่ต้น ความเสียหายเหล่านี้อาจป้องกันได้

"Ledger ได้แสดงให้เห็นถึงรูปแบบพฤติกรรมที่น่ากังวล ทั้งความประมาทเลินเล่อ ความสะเพร่า และความไม่รับผิดชอบ ในด้านมาตรการรักษาความปลอดภัย รวมถึงการเพิกเฉยอย่างไร้ความรับผิดชอบต่อพันธกรณีในการปกป้องความเป็นส่วนตัวของข้อมูลส่วนบุคคลของลูกค้า"

— ข้อความจากคำฟ้องคดีกลุ่มต่อ Ledger SAS

ข้อมูลบริษัท Ledger ที่ปรากฏในคำฟ้อง

คำฟ้องระบุข้อมูลพื้นฐานของ Ledger ว่าเป็นผู้ผลิต Hardware Wallet ชั้นนำระดับนานาชาติ เริ่มดำเนินธุรกิจในอุตสาหกรรมคริปโตและบล็อกเชนตั้งแต่ปี 2557 จำหน่ายอุปกรณ์ไปแล้วกว่า 7 ล้านชิ้น มีลูกค้าใน 180 ประเทศทั่วโลก ผ่านตัวแทนจำหน่ายกว่า 100 ราย และมีพนักงานรวม 700 คน กระจายอยู่ใน 8 สำนักงาน รวมถึงนิวยอร์ก ปารีส เวียร์ซง ลอนดอน พอร์ตแลนด์ และสิงคโปร์ คำฟ้องเน้นย้ำว่าแม้ Ledger จะโฆษณาตัวเองว่าเป็นผู้นำด้านความปลอดภัยของการเก็บรักษาคริปโตและความเป็นส่วนตัวของลูกค้า แต่กลับปล่อยให้แฮกเกอร์เข้าถึงและใช้ประโยชน์จากข้อมูลส่วนบุคคลของลูกค้าได้จริง

ข้อกล่าวหาทางกฎหมายที่ยื่นฟ้อง

คำฟ้องอ้างอิงข้อกฎหมายหลายมาตรา ได้แก่ กฎหมายธุรกิจทั่วไปของรัฐนิวยอร์ก (NY General Business Law) มาตรา 349 และ 350 ซึ่งเกี่ยวกับการกระทำที่หลอกลวงและการโฆษณาเป็นเท็จ นอกจากนี้ยังรวมข้อกล่าวหาเรื่องความประมาทเลินเล่อ (Negligence) การบิดเบือนข้อเท็จจริงโดยประมาท (Negligent Misrepresentation) การผิดคำมั่นสัญญาที่ควรบังคับได้ (Promissory Estoppel) และการละเมิดหลักสุจริตและความเป็นธรรมในสัญญา (Breach of the Covenant of Good Faith and Fair Dealing)

💬 ความเห็นบรรณาธิการ Bitcoinaddict: ต้องย้ำว่านี่เป็นเพียงคำฟ้อง ยังไม่ใช่คำพิพากษาของศาล ข้อกล่าวหาทั้งหมดยังไม่ได้รับการพิสูจน์ อย่างไรก็ตาม คดีนี้สะท้อนประเด็นสำคัญที่ผู้ใช้ Hardware Wallet ทุกคนควรตระหนัก นั่นคือแม้อุปกรณ์จะปลอดภัยทางเทคนิคแค่ไหน แต่หากข้อมูลติดต่อของลูกค้ารั่วไหลออกไป ก็เปิดช่องให้มิจฉาชีพใช้เทคนิค Social Engineering หลอกลวงแทนการเจาะระบบโดยตรงได้อยู่ดี ผู้ใช้ Ledger หรือ Hardware Wallet ยี่ห้อใดก็ตามจึงควรระวังการติดต่อที่อ้างว่ามาจากบริษัทผู้ผลิตเสมอ โดยเฉพาะข้อความหรืออีเมลที่ขอให้กรอก Seed Phrase หรืออนุมัติธุรกรรมใดๆ เพราะบริษัทที่แท้จริงจะไม่มีทางขอข้อมูลเหล่านี้ผ่านช่องทางติดต่อโดยตรง

📎 อ้างอิงต้นฉบับ: เอกสารคำฟ้องศาลแขวงสหรัฐฯ เขตใต้ของนิวยอร์ก, ทวีตของทนายความ Ariel Givner (@GivnerAriel)

— รายงานโดยทีมข่าว Bitcoinaddict.com