Keystoneは配送データの保持期間を50%削減し、180日から90日に即時変更した。このハードウェアウォレットメーカーは金曜日のXの投稿で変更を発表し、データの削除を希望する購入者には、注文を受け取った後すぐにサポートに連絡するよう伝えた。

この削減は、大々的に宣伝されていた180日の自動削除機能が動作を停止し、25,964件の購入者記録の個人情報が漏洩のリスクにさらされていたとKeystoneが認めたことによるものだ。競合のOneKeyはさらに一歩進み、自動保持期間の上限を30日とした。この一件は、ハードウェアウォレット事業の構造的特徴も浮き彫りにした。端末は物理的な商品であるため、ベンダーはすべての注文について氏名、連絡先、配送先住所を収集・保管しなければならず、ソフトウェアのみの製品では決して保持する必要のないカテゴリーの個人情報となる。

Keystone:「この失敗については責任を負う」

変更のきっかけとなったのは、180日の期間後にユーザーデータを削除する自動機能が正常に動作しなくなり、その失敗を警告するアラートも発報されていなかったとKeystoneが認めたことだ。

Cryptopolitanによると、Keystoneは氏名、連絡先、配送先住所、購入履歴などの個人情報を含む25,964件の購入者記録を特定した。これは51,083件の購入者記録の見直しから判明したものである。個人情報を含む記録の一部は2024年にまで遡っており、同社が約束した180日の自動削除期限を大幅に超過していた。また、12,873件の未払いチェックアウト記録からも機密性の高いデータが見つかった。

同社は「顧客データを期限内に消去するというコミットメントを果たせず、この失敗については責任を負う」と述べた。

三つの文書、三つの異なるルール

Keystoneが破った約束は、ウェブサイトのどの部分を読むかによって、まったく異なる三つのバージョンで存在していた。最初のバージョンは同社の「プライバシー・プロミス」ページに記載されており、「すべての配送情報はご注文から180日後に自動的に削除されます」とされている。

一方、2021年5月に最終改定されたKeystoneのプライバシーポリシーには、「Keystoneは、過去180日以内に注文を行っていない各顧客の注文情報をすべて消去する」と記載されている。

三つ目のバージョンは同社のヘルプセンターにあり、顧客の都市と国の記録は要請があっても削除されず、最終的な削除はShopifyが実行すると記されている。実際には、顧客に約束された削除条件は、どのページを読むかによって、トリガー、タイミング、範囲、削除の実行者が異なっていた。

OneKeyは30日へ

Keystoneの手抜かりは、競合のOneKeyに先へ進む機会を与えた。OneKeyの創業者であるYishi Wangは10月27日、Keystoneの問題を受け、同社がユーザーデータをデータベースから消去するまでの期限を30日と設定すると発表した。Wangは、この措置はあくまで予防策であると強調した。

この判断の理由は複雑ではない。ベンダーが記録を保持する期間が長いほど、その記録が情報漏洩で失われる可能性が高まるというものだ。

SafePalも、注文追跡の不備により約40,000人の顧客が露出した事案を受け、保持期間を90日に短縮する同様の措置を取った。両社の動きを総合すると、こうした脆弱性は特定のウォレットメーカーにとどまらないものであることが分かる。

盗まれたキーにより18,835台の端末が廃棄へ

今回の保持期間の失敗は、より大きな一連の事件の一部だ。Keystoneは10月20日にサイトへの不正アクセスに気づき、10月23日にそれを確認した。侵入者は購入者データを盗んでおり、その後、犯人がWebAuthキーも盗んでいたことが判明した。このキーは各端末が本物であることを証明するために工場出荷時に書き込まれるコードである。

キーは書き換えが不可能なため、Keystoneはそのキーを搭載した未販売の18,835台すべてを廃棄することを決めた。同社はウェブサイト経由の出荷を停止し、交換用端末が用意されるまでの間、予約注文に移行した。10月20日より前に配送された端末は、認証に合格すれば安全である。

同社によると、リカバリーフレーズ、秘密鍵、支払い情報は露出していないという。Keystoneは10月24日にShopifyへ削除依頼を提出しており、義務的な10日の待機期間により、期限超過の記録は11月3日までに消去される見込みだ。この期限と、停止中のKeystone直販出荷の再開が、清掃が予定通り完了するかを注視する購入者にとっての最も近いチェックポイントとなる。