Злам Keystone зачепив старі замовлення, які мали видалити

Клієнти виробника апаратних гаманців Keystone кажуть, що злам цього тижня розкрив дані, які компанія обіцяла стерти. Keystone давно рекламує правило, за яким дані доставки видаляються через 180 днів після замовлення, але кілька покупців із набагато старішими замовленнями опинилися серед постраждалих, пише The Block. Компанія поки не відповіла, чи дотримувалася цього правила.

Що підтвердив Keystone

Як ми писали сьогодні зранку, Keystone виявив несанкціонований доступ до свого сайту 20 жовтня. 23 жовтня, перевіривши активність API у Shopify, на якому працює його інтернет-магазин, компанія підтвердила, що сторонні отримали дані клієнтів. У суботньому дописі в X вона уточнила:

• Викрадено: імена, контакти, адреси доставки та деталі замовлень, зокрема куплені товари й ціни.
• Не викрадено (за словами Keystone): дані карток і банківських рахунків, сід-фрази, приватні ключі та паролі гаманців.
• Досі невідомо: скільки клієнтів постраждало, як зловмисник проник у систему і чи встановлено його особу. Детальний звіт обіцяють «найближчими днями».

Обіцянка про 180 днів

Keystone використовував політику зберігання даних як рекламний аргумент. 5 січня, коли клієнти Ledger дізналися про витік у його e-commerce партнера Global-e, Keystone написав, що дані доставки «назавжди видаляються» через 180 днів після замовлення. У березні компанія заявила, що інші виробники гаманців «зберігають ваші дані вічно». Те саме правило є й на її сторінці Privacy Promise.

Юридичне формулювання м'якше. Політика конфіденційності Keystone, востаннє оновлена в травні 2021 року, каже, що компанія стирає дані замовлень клієнтів, які не замовляли нічого протягом останніх 180 днів — тож давні замовлення постійного покупця формально можна зберігати. А стаття в довідковому центрі додає, що місто й країна клієнта не видаляються ніколи, а остаточне видалення виконує Shopify.

Що кажуть клієнти

• Один покупець написав у X, що робив замовлення «понад два роки тому», але все одно отримав повідомлення про злам.
• Інший — що між його останнім замовленням і зламом минуло 214 днів.
• Третій розповів, що в п'ятницю ввечері, ще до заяви Keystone, йому подзвонили з підробленого номера поліції Монреаля, запитали, чи «говорить йому щось» Keystone, і знали деталі його замовлення 2024 року.

The Block зазначає, що не зміг перевірити ці заяви.

Частина ширшої тенденції

Keystone — не перший виробник гаманців, у якого цього року витекли дані клієнтів. У серпні Trezor повідомив, що через злам логістичного партнера ShipMonk злили дані майже 14 000 клієнтів, а згодом додав ще близько 67 000 у США; за кілька днів SafePal заявив, що через ваду в системі відстеження замовлень розкрито дані майже 40 000 клієнтів. А на початку місяця Ledger підтвердив, що реселер продавав пристрої з імплантами, які перехоплюють сід-фрази. Апаратний гаманець і далі захищає ключі, але ці історії показують: ваше ім'я та адреса можуть опинитися дуже далеко від виробника.

Що робити зараз

Вважайте потенційним шахрайством будь-який лист чи дзвінок, де згадують ваше замовлення. Ніколи нікуди не вводьте сід-фразу, ігноруйте пропозиції повернення коштів чи «заміни» пристрою і не налаштовуйте пристрій, який прийшов без замовлення. Типові сценарії зібрано в нашому чеклисті проти криптошахраїв.