A falta de ver el alcance de esto parece que:
- Sólo se podía ver información personal de los usuarios afectados, email, dirección y teléfono.
- No se podían hacer compras.
- No se podía ver ni cambiar información sensible como datos bancarios o contraseñas.
Les va a caer un buen puro, sobre todo por exponer el email, dirección y teléfono, ya que según la legislación Europea son datos de carácter personal, pero no son datos sensibles.