Usuarios dicen que sus cuentas registraron compras que ellos no hicieron; el ataque afectó a 250 mil y se propagó a través de "mejoras de software", dice empresa de seguridad