Keystone a réduit de 50 % la durée de conservation de ses données d'expédition, la faisant passer de 180 à 90 jours avec effet immédiat. Le fabricant de portefeuilles matériels a annoncé ce changement dans un post sur X vendredi et a demandé aux acheteurs souhaitant voir leurs données effacées de contacter le support immédiatement après réception de leur commande.

Cette réduction fait suite à l'admission par Keystone que sa fonction de suppression automatique à 180 jours, largement mise en avant, avait cessé de fonctionner, laissant les données personnelles de 25 964 dossiers d'acheteurs exposées à une possible fuite. Son concurrent OneKey est allé plus loin en plafonnant la conservation automatique à 30 jours. Cet épisode met également en lumière une caractéristique structurelle du secteur des portefeuilles matériels : les appareils sont des biens physiques, les vendeurs doivent donc collecter et conserver les noms, coordonnées et adresses de livraison de chaque commande — une catégorie de données personnelles que les produits purement logiciels n'ont jamais besoin de conserver.

Keystone : « Nous acceptons la responsabilité de cet échec »

Ce changement est intervenu après que Keystone a reconnu que la fonction automatisée de suppression des données utilisateurs après une fenêtre de 180 jours avait cessé de fonctionner correctement, et qu'aucune alerte n'avait signalé la panne.

Selon Cryptopolitan, Keystone a identifié 25 964 dossiers d'acheteurs contenant des données personnelles telles que des noms, coordonnées, adresses d'expédition et historiques d'achat. La découverte est issue d'un examen de 51 083 dossiers d'acheteurs. Certains dossiers contenant des données personnelles remontaient jusqu'à 2024, bien au-delà de la limite de suppression automatique à 180 jours promise par l'entreprise. 12 873 enregistrements de paiement non finalisés contenaient également des données sensibles.

« Nous n'avons pas honoré notre engagement d'effacer les données clients à temps, et nous acceptons la responsabilité de cet échec », a déclaré l'entreprise.

Trois documents, trois versions de la règle

L'engagement rompu par Keystone existait en trois versions entièrement différentes, selon la partie du site que le client consultait. La première figurait sur la page Privacy Promise de l'entreprise, qui indique que « toutes les informations d'expédition sont automatiquement supprimées 180 jours après la passation de votre commande ».

La politique de confidentialité de Keystone, modifiée pour la dernière fois en mai 2021, indiquait en revanche : « Keystone efface toutes les informations de commande de chaque client n'ayant pas passé de commande au cours des 180 derniers jours ».

Une troisième version apparaît dans le centre d'aide de l'entreprise, qui précise que les enregistrements de la ville et du pays du client ne seront pas supprimés sur demande et que Shopify effectue la suppression finale. En pratique, les conditions de suppression promises au client variaient selon le déclencheur, le délai, la portée et l'exécutant de l'effacement, selon la page consultée.

OneKey passe à 30 jours

Le manquement de Keystone a offert à son rival OneKey une occasion de prendre de l'avance. Yishi Wang, le fondateur de OneKey, a annoncé le 27 octobre — dans la foulée des problèmes de Keystone — que l'entreprise fixerait une limite de 30 jours avant l'effacement des données utilisateurs de sa base. Wang a réaffirmé que cette mesure était une simple précaution.

Le raisonnement derrière cette décision n'est pas compliqué : plus un vendeur conserve des enregistrements longtemps, plus ces enregistrements risquent d'être compromis lors d'une fuite.

SafePal a pris une mesure similaire après qu'environ 40 000 de ses clients ont été exposés via une faille de suivi de commande, réduisant sa conservation à 90 jours. Prises ensemble, les mesures des deux entreprises montrent que les faiblesses s'étendent au-delà d'un seul fabricant de portefeuilles.

Une clé volée force la destruction de 18 835 appareils

Cet échec de conservation des données n'est qu'une partie d'un épisode plus vaste. Keystone a détecté un accès non autorisé à son site le 20 octobre et l'a confirmé le 23 octobre. Un intrus avait volé des données d'acheteurs, et l'entreprise a ensuite découvert que le voleur s'était également emparé de la clé WebAuth — un code gravé dans chaque appareil en usine pour prouver son authenticité.

La clé ne pouvant être réécrite, Keystone a décidé de détruire les 18 835 unités invendues qui la contiennent. L'entreprise a suspendu les expéditions via son site et est passée aux précommandes dans l'attente d'appareils de remplacement. Tout appareil livré avant le 20 octobre est sûr, à condition qu'il passe l'authentification.

Les phrases de récupération, les clés privées et les informations de paiement n'ont pas été exposées, a précisé l'entreprise. Keystone a déposé des demandes de suppression auprès de Shopify le 24 octobre ; un délai obligatoire de 10 jours signifie que les dossiers en retard devraient avoir disparu d'ici le 3 novembre. Cette échéance, ainsi que la reprise des expéditions directes suspendues de Keystone, constitue le prochain point de contrôle pour les acheteurs surveillant l'achèvement du nettoyage comme prévu.