LinkedIn câștigă demiterea procesului care solicită daune pentru încălcarea masivă a parolei

Serviciul profesional de rețele sociale LinkedIn a câștigat demiterea unui proces care solicită daune în numele utilizatorilor premium care au avut parolele de conectare expuse ca urmare a unei încălcări a securității serverelor companiei anul trecut.

Încă de la începutul lunii iunie 2012, încălcarea datelor a ieșit la lumină, după ce hackerii au postat 6,5 milioane de hashuri de parole corespunzătoare conturilor LinkedIn pe un forum subteran. Mai mult de 60% din acele parole au fost mai târziu sparte de hackeri.

Prima plângere împotriva LinkedIn a fost depusă la 15 iunie 2012 în Tribunalul Districtual al SUA pentru Districtul Northern California de către un rezident din Illinois și a plătit contul LinkedIn

Plângerea a pretins că LinkedIn a încălcat propriul Acord de Utilizare și Politica de Confidențialitate prin faptul că nu a utilizat protocoalele și tehnologiile standard pentru industria de protecție a clienților săi "

O reclamație modificată a fost depusă pe 26 noiembrie 2012 în numele lui Szpyrka și a unui alt utilizator premium LinkedIn din Virginia numit Khalilah Gilmore-Wright, în calitate de reprezentanți ai claselor pentru toți utilizatorii LinkedIn afectați de încălcare. Procesul de judecată a solicitat "scutirea injustă și alte măsuri echitabile", precum și restituirea și daunele pentru reclamanți și membrii clasei.

Detaliile plângerii

Plângerea a pretins că LinkedIn nu a reușit să protejeze în mod adecvat datele utilizatorilor, parolele care utilizează o funcție hash criptografică slabă fără protecție suplimentară, în ciuda propriului Politici de confidențialitate care afirmă că "informațiile personale pe care le furnizați vor fi securizate în conformitate cu protocoalele și tehnologiile standard ale industriei".

"Problema cu această practică este dublă, "a spus plângerea. "În primul rând, SHA-1 este o funcție de hash învechită, publicată pentru prima oară de Agenția Națională pentru Securitate în 1995. În al doilea rând, stocarea parolelor utilizatorilor în format hashed, fără a salva parola, se desfășoară fără metode convenționale de protecție a datelor și prezintă riscuri semnificative la integritatea datelor sensibile ale utilizatorilor. "

Etichetarea parolei este o formă de criptare unidirecțională. O parolă hash este o reprezentare criptografică unică a unei parole plastice, dar spre deosebire de textul cipher generat cu o funcție de criptare bidirecțională, hash-urile nu sunt menite a fi decriptate. Când utilizatorii se loghează și introduc parola, parola este rușinată în timp ce haosul rezultat este egal cu cel deja stocat în baza de date pentru acel utilizator.

Funcțiile hash mai vechi precum SHA-1 sunt rapide și eficiente, dar sunt, de asemenea, vulnerabile la atacurile de forță brutale. Din acest motiv, este o practică obișnuită să adăugați un șir unic și aleator la fiecare parolă înainte de a-l șterge. Acest lucru este cunoscut sub numele de "salting" și face ca spargerea parolei să fie mult mai dificilă.

Plângerea a susținut că, dacă Szpyrka și Gilmore-Wright știau că LinkedIn utilizau criptarea substandard, nu ar fi plătit pentru conturile premium LinkedIn care costă între 19,95 USD și 99,95 dolari pe lună, în funcție de tipul de abonament.

"Atunci când se înregistrează și cumpără un cont" premium ", reclamanții și membrii clasei s-au bazat pe reprezentarea LinkedIn că utilizează" protocoale și tehnologii standard "pentru a păstra integritatea și securitatea informațiilor personale în care sunt de acord să creeze un cont și să furnizeze companiei lor PII ", a afirmat plângerea

Plângerea a susținut, de asemenea, că taxele lunare plătite de către reclamanți sau o parte din acestea au fost utilizate de LinkedIn să plătească costurile administrative de gestionare a datelor și de securitate și, prin urmare, să respecte promisiunea de a folosi protocoalele și tehnologiile de securitate standard ale industriei

Acțiuni în instanță

Marți, instanța a acordat moțiunea LinkedIn de a respinge plângerea pe baza faptului că acordul de utilizare al companiei și Politica de confidențialitate sunt aceleași pentru conturile gratuite ca și pentru conturile premium.

"Orice promisiune promisă LinkedIn de a plăti titularilor de cont premium în ceea ce privește protocoalele de securitate a fost făcută și membrilor care nu plătesc ", a declarat judecătorul în ordonanța de a respinge procesul. "Astfel, atunci când un membru achiziționează un upgrade premium de cont, afacerea nu este pentru un anumit nivel de securitate, ci de fapt pentru instrumentele și capabilitățile avansate de rețea pentru a facilita utilizarea sporită a serviciilor LinkedIn. FAC [prima reclamație consolidată consolidată] nu să demonstreze suficient că includerea în reclamația reclamanților pentru calitatea de membru premium a fost promisiunea unui anumit nivel de securitate (sau mai mare) care nu făcea parte din statutul de membru liber ".

În plus, judecătorul a spus că reclamanții nici nu pretind că au citit de fapt politica de confidențialitate, care ar fi necesară pentru a susține o reclamație de denunțare în numele LinkedIn.

În argumentele verbale, avocatul reclamantului a afirmat că procesul se bazează în primul rând pe o presupusă încălcare a contractului, o astfel de pretenție, inculpații au fost nevoiți să precizeze daunele rezultate din această presupusă încălcare a contractului. Prejudiciul invocat de reclamanți a avut loc înainte de pretinsa încălcare a contractului, în momentul în care părțile au intrat pentru prima dată în contract, a spus judecătorul. Prin urmare, pierderile economice pe care le pretinde nu pot fi "daunele rezultate" din cauza unei presupuse încălcări a contractului, a afirmat el.

În cazurile în care pretinsul greșit provine din acuzațiile de performanță insuficientă a funcțiilor unui produs, instanțele au decis că reclamanții trebuie susține "ceva mai mult" decât să plătească pentru un produs defect, a spus judecătorul. "Pentru că reclamanții se confruntă cu modul în care LinkedIn a efectuat serviciile de securitate, ei trebuie să pretindă" ceva mai mult "decât prejudiciul economic pur. Acest" ceva mai mult "ar putea fi un rău care a avut loc ca urmare a serviciilor de securitate deficitare și a încălcării securității, cum ar fi, de exemplu, furtul informațiilor lor personale de identificare. "