TaskUs en Coinbase onder vuur na onthulling datalek van $400 miljoen

Een gigantisch datalek heeft Coinbase opgeschrikt, waarbij gevoelige klantgegevens van meer dan 69.000 gebruikers op straat zijn beland. Niet door een geavanceerde hack van buitenaf, maar via een medewerker van een uitbesteed klantenserviceteam in India. De gestolen data werd vervolgens voor honderden dollars per stuk verkocht aan cybercriminelen die zich voordeden als Coinbase medewerkers.

Interne fraude bij klantenservicepartner

Uit rechtbankdocumenten blijkt dat Ashita Mishra, werkzaam bij TaskUs in het Indiase Indore, vanaf september 2024 begon met het verzamelen van vertrouwelijke klantinformatie. Mishra werkte voor een team dat namens Coinbase klantenservice verleende. Ze maakte foto’s van klantgegevens, waaronder bankinformatie en Amerikaanse social security nummers, en verkocht deze voor $200 per stuk aan hackers.

Volgens de aanklacht wist Mishra soms wel 200 foto’s per dag te maken. Op haar telefoon werd uiteindelijk data aangetroffen van meer dan 10.000 klanten. Ze handelde niet alleen: managers en teamleiders binnen TaskUs zouden medeplichtig zijn geweest aan een grotere interne samenzwering waarbij klantgegevens systematisch werden doorgesluisd naar cybercriminelen.

Coinbase en TaskUs onder vuur

De daders gebruikten de gestolen informatie om klanten te misleiden. Ze deden zich voor als Coinbase medewerkers en haalden slachtoffers over om hun crypto af te staan. De schade voor Coinbase loopt op tot $400 miljoen. Het bedrijf heeft naar eigen zeggen direct actie ondernomen, het contract met betrokken TaskUs teams beëindigd en extra beveiligingsmaatregelen doorgevoerd.

TaskUs wordt nu aangeklaagd door het advocatenkantoor Greenbaum Olbrantz, dat spreekt van een “patroon van verdoezeling”. Het outsourcings bedrijf zou 226 medewerkers hebben ontslagen om het lek te dichten, maar kon volgens de aanklacht niet achterhalen wie allemaal betrokken waren. Ook het interne HR team dat het onderzoek leidde, werd later ineens ontslagen.

Crypto oplichting via interne fraude vormt daarmee opnieuw een serieus risico voor bedrijven én gebruikers. Coinbase zelf probeert de juridische claims te bundelen en onder arbitrage te brengen, een tactiek die vaak negatieve publiciteit en schadeclaims beperkt. TaskUs probeert op zijn beurt de rechtszaak te laten seponeren én uit de grotere groepsaanklacht te houden.

Meer details over deze zaak zijn te lezen in het uitgebreide artikel van Fortune.