Взлом Keystone задел старые заказы, которые обещали удалить

Клиенты производителя аппаратных кошельков Keystone говорят, что взлом на этой неделе раскрыл данные, которые компания обещала стереть. Keystone давно рекламирует правило, по которому данные доставки удаляются через 180 дней после заказа, но несколько покупателей с куда более старыми заказами оказались среди пострадавших, пишет The Block. Компания пока не ответила, соблюдалось ли это правило.

Что подтвердил Keystone

Как мы писали сегодня утром, Keystone обнаружил несанкционированный доступ к своему сайту 20 октября. 23 октября, проверив активность API в Shopify, на котором работает его интернет-магазин, компания подтвердила, что посторонние получили данные клиентов. В субботнем посте в X она уточнила:

• Украдено: имена, контакты, адреса доставки и детали заказов, включая купленные товары и цены.
• Не украдено (по словам Keystone): данные карт и банковских счетов, сид-фразы, приватные ключи и пароли кошельков.
• Пока неизвестно: сколько клиентов пострадало, как злоумышленник проник в систему и установлена ли его личность. Подробный отчёт обещают «в ближайшие дни».

Обещание про 180 дней

Keystone использовал политику хранения данных как рекламный довод. 5 января, когда клиенты Ledger узнали об утечке у его e-commerce партнёра Global-e, Keystone написал, что данные доставки «навсегда удаляются» через 180 дней после заказа. В марте компания заявила, что другие производители кошельков «хранят ваши данные вечно». То же правило есть и на её странице Privacy Promise.

Юридическая формулировка мягче. Политика конфиденциальности Keystone, в последний раз обновлённая в мае 2021 года, гласит, что компания стирает данные заказов клиентов, которые ничего не заказывали в последние 180 дней, — то есть старые заказы постоянного покупателя формально можно хранить. А статья в справочном центре добавляет, что город и страна клиента не удаляются никогда, а окончательное удаление выполняет Shopify.

Что говорят клиенты

• Один покупатель написал в X, что делал заказ «больше двух лет назад», но всё равно получил уведомление о взломе.
• Другой — что между его последним заказом и взломом прошло 214 дней.
• Третий рассказал, что в пятницу вечером, ещё до заявления Keystone, ему позвонили с поддельного номера полиции Монреаля, спросили, «говорит ли ему что-то» Keystone, и знали детали его заказа 2024 года.

The Block отмечает, что не смог проверить эти заявления.

Часть более широкой тенденции

Keystone — не первый производитель кошельков, у которого в этом году утекли данные клиентов. В августе Trezor сообщил, что из-за взлома логистического партнёра ShipMonk утекли данные почти 14 000 клиентов, а позже добавил ещё около 67 000 в США; через несколько дней SafePal заявил, что из-за уязвимости в системе отслеживания заказов раскрыты данные почти 40 000 клиентов. А в начале месяца Ledger подтвердил, что реселлер продавал устройства с имплантами, перехватывающими сид-фразы. Аппаратный кошелёк по-прежнему защищает ключи, но эти истории показывают: ваше имя и адрес могут оказаться очень далеко от производителя.

Что делать сейчас

Считайте возможным мошенничеством любое письмо или звонок, где упоминается ваш заказ. Никогда никуда не вводите сид-фразу, игнорируйте предложения вернуть деньги или «заменить» устройство и не настраивайте устройство, пришедшее без заказа. Типичные сценарии собраны в нашем чек-листе против криптомошенников.