An wen ging denn die Mail?

"Die Zugangsdaten hatten die bis heute nicht ermittelten Täter mit
einer gefälschten Mail erschwindelt. Darin forderten sie die
Empfänger auf, ein angebliches Sicherheitsupdate vorzunehmen und die
sensiblen Daten einzugeben"

Das klingt für mich so, als ginge die Mail an die Firma. Ist
derjenige, der auf Phishing-Mails herein fällt und dann auch noch
einfach per Mail oder aus anderer unsicherer Quelle stammende
Updates installiert, nicht wegen Fahrlässigkeit selbst schuld?

Mal ganz abgesehen von der Frage, dass man, wenn man weiß, wohin die
Zertifikate verkauft wurden, sie eigentlich dort zurück holen können
müsste. Oder weiß man trotz Zielland nicht, wohin sie genau gingen?
Oder haben gestohlene/geraubte immaterielle Güter einen anderen
Status als materielle?

Der Artikel lässt viele Fragen offen.