Keystone ha reducido en un 50% su período de retención de datos de envío, pasando de 180 a 90 días con efecto inmediato. El fabricante de carteras de hardware anunció el cambio en una publicación en X el viernes e indicó a los compradores que deseen eliminar sus datos que se comuniquen con soporte inmediatamente después de recibir un pedido.

La reducción se produce tras la admisión de Keystone de que su ampliamente promocionada función de eliminación automática a 180 días había dejado de funcionar, dejando expuestos a una posible violación los datos personales de 25,964 registros de compradores. Su competidor OneKey fue más allá al limitar la retención automática a 30 días. El episodio también destaca una característica estructural del negocio de las carteras de hardware: los dispositivos son bienes físicos, por lo que los proveedores deben recopilar y conservar nombres, datos de contacto y direcciones de entrega de cada pedido —una categoría de datos personales que los productos de solo software nunca necesitan conservar.

Keystone: “Aceptamos la responsabilidad por este fallo”

El cambio se produjo después de que Keystone reconociera que la función automatizada para eliminar los datos de usuario tras un período de 180 días había dejado de funcionar correctamente, y que ninguna alerta señaló el fallo.

Según Cryptopolitan, Keystone identificó 25,964 registros de compradores que contenían datos personales como nombres, datos de contacto, direcciones de envío e historiales de compras. El descubrimiento surgió de una revisión de 51,083 registros de compradores. Algunos de los registros con datos personales se remontaban a 2024, muy por detrás del límite de eliminación automática de 180 días que la empresa había prometido. Otros 12,873 registros de pagos no completados también contenían datos sensibles.

“No cumplimos nuestro compromiso de borrar los datos de los clientes a tiempo, y aceptamos la responsabilidad por este fallo”, declaró la empresa.

Tres documentos, tres versiones de la regla

La promesa que Keystone incumplió existía en tres versiones completamente distintas, dependiendo de la parte del sitio web que leyera el cliente. La primera aparecía en la página de Compromiso de Privacidad de la empresa, que establece que “toda la información de envío se elimina automáticamente 180 días después de realizar el pedido”.

La política de privacidad de Keystone, modificada por última vez en mayo de 2021, dice en cambio: “Keystone borra toda la información de pedidos de cada cliente que no haya realizado un pedido en los últimos 180 días”.

Una tercera versión aparece en el centro de ayuda de la empresa, que indica que los registros de la ciudad y el país del cliente no se eliminarán a solicitud y que Shopify realiza la eliminación final. En la práctica, los términos de eliminación prometidos al cliente variaban según el disparador, el plazo, el alcance y quién realizaba el borrado, dependiendo de la página que consultara.

OneKey va a 30 días

El descuido de Keystone le dio a su rival OneKey la oportunidad de adelantarse. Yishi Wang, fundador de OneKey, anunció el 27 de octubre —a raíz de los problemas de Keystone— que la empresa establecería un límite de 30 días antes de borrar los datos de usuario de su base de datos. Wang reiteró que la medida era simplemente una precaución.

El razonamiento detrás de la medida no es complicado: cuanto más tiempo conserva los registros un proveedor, más probable es que se pierdan en una violación de datos.

SafePal tomó una medida similar después de que unos 40,000 de sus clientes quedaran expuestos por una falla en el seguimiento de pedidos, reduciendo su retención a 90 días. En conjunto, los pasos de ambas empresas muestran que las debilidades se extienden más allá de un solo fabricante de carteras.

Una clave robada obliga a destruir 18,835 dispositivos

El fallo de retención es una parte de un episodio más amplio. Keystone detectó un acceso no autorizado a su sitio el 20 de octubre y lo confirmó el 23 de octubre. Un intruso había robado datos de compradores, y la empresa descubrió después que el ladrón también se llevó la clave WebAuth —un código grabado en cada dispositivo en fábrica para demostrar que es auténtico.

Debido a que la clave no puede reescribirse, Keystone decidió desechar las 18,835 unidades no vendidas que la llevaban. La empresa ha pausado los envíos a través de su sitio web y ha optado por preventas mientras espera dispositivos de reemplazo. Cualquier dispositivo entregado antes del 20 de octubre es seguro, siempre que pase la autenticación.

Las frases de recuperación, las claves privadas y los datos de pago no fueron expuestos, según la empresa. Keystone presentó solicitudes de eliminación a Shopify el 24 de octubre; una espera obligatoria de 10 días significa que los registros vencidos deberían desaparecer antes del 3 de noviembre. Ese plazo, junto con la reanudación de los envíos directos pausados de Keystone, es el próximo punto de control para los compradores que siguen si la limpieza se completa según lo previsto.