Keystone heeft de retentieperiode van verzendgegevens met 50% verlaagd, van 180 dagen naar 90 dagen, met onmiddellijke ingang. De maker van hardware-portemonnees kondigde de wijziging aan in een X-post op vrijdag en verzocht kopers die hun gegevens willen laten verwijderen om direct na ontvangst van een bestelling contact op te nemen met de klantenservice.

De verlaging volgt op de erkenning door Keystone dat de breed gepromootte automatische verwijderfunctie van 180 dagen was gestopt met werken, waardoor persoonlijke gegevens op 25.964 koperrecords waren blootgesteld aan een mogelijk datalek. Concurrent OneKey ging nog een stap verder door de automatische retentie te beperken tot 30 dagen. Het incident benadrukt ook een structurele eigenschap van de hardware-portemonneebranche: apparaten zijn fysieke goederen, dus leveranciers moeten namen, contactgegevens en bezorgadressen voor elke bestelling verzamelen en bewaren — een categorie persoonlijke gegevens die softwareproducten nooit hoeven bij te houden.

Keystone: “Wij aanvaarden de verantwoordelijkheid voor dit falen”

De wijziging volgde op de erkenning door Keystone dat de geautomatiseerde functie voor het verwijderen van gebruikersgegevens na een periode van 180 dagen niet meer goed werkte, en dat geen enkele waarschuwing het probleem signaleerde.

Volgens Cryptopolitan identificeerde Keystone 25.964 koperrecords met persoonlijke gegevens zoals namen, contactgegevens, verzendadressen en aankoopgeschiedenissen. De ontdekking kwam voort uit een controle van 51.083 koperrecords. Sommige records met persoonlijke gegevens gingen terug tot 2024, ruim voorbij de beloofde automatische verwijdertermijn van 180 dagen. Ook werden nog eens 12.873 records van niet-afgeronde betalingen aangetroffen met gevoelige gegevens.

“Wij zijn onze verplichting om klantgegevens tijdig te wissen niet nagekomen, en wij aanvaarden de verantwoordelijkheid voor dit falen”, aldus het bedrijf.

Drie documenten, drie versies van de regel

De belofte die Keystone brak, bestond in drie volledig verschillende versies, afhankelijk van welk deel van de website een klant las. De eerste verscheen op de Privacy Promise-pagina van het bedrijf, waarin staat dat “alle verzendinformatie automatisch wordt verwijderd 180 dagen nadat uw bestelling is geplaatst”.

Het privacybeleid van Keystone, voor het laatst gewijzigd in mei 2021, luidt daarentegen: “Keystone wist alle orderinformatie van elke klant die in de afgelopen 180 dagen geen bestelling heeft geplaatst.”

Een derde versie staat in het helpcentrum van het bedrijf, waarin staat dat gegevens over de stad en het land van de klant niet op verzoek worden verwijderd en dat Shopify de definitieve verwijdering uitvoert. In de praktijk varieerden de verwijderingsvoorwaarden die een klant werd beloofd qua trigger, timing, reikwijdte en wie de verwijdering uitvoerde, afhankelijk van welke pagina werd gelezen.

OneKey gaat naar 30 dagen

De fout van Keystone gaf concurrent OneKey de kans om voorop te lopen. Yishi Wang, de oprichter van OneKey, kondigde op 27 oktober — in de nasleep van de problemen bij Keystone — aan dat het bedrijf een limiet van 30 dagen instelt voordat gebruikersgegevens uit de database worden gewist. Wang benadrukte dat de maatregel louter een voorzorgsmaatregel was.

De redenering erachter is niet ingewikkeld: hoe langer een leverancier gegevens bewaart, hoe groter de kans dat deze gegevens bij een datalek verloren gaan.

SafePal nam een vergelijkbare maatregel nadat ongeveer 40.000 klanten waren blootgesteld via een fout in de ordertracking, en verlaagde de retentie naar 90 dagen. Samen genomen laten de stappen van beide bedrijven zien dat de zwakheden verder reiken dan één enkele portemonneemaker.

Gestolen sleutel dwingt vernietiging af van 18.835 apparaten

De retentiefout is onderdeel van een groter incident. Keystone merkte op 20 oktober ongeautoriseerde toegang tot zijn site op en bevestigde dit op 23 oktober. Een indringer had kopersgegevens gestolen, en het bedrijf ontdekte later dat de dief ook de WebAuth-sleutel had meegenomen — een code die in elke apparaat in de fabriek is ingebakken om de echtheid te bewijzen.

Omdat de sleutel niet herschreven kan worden, besloot Keystone alle 18.835 onverkochte apparaten met deze sleutel te vernietigen. Het bedrijf heeft verzendingen via de website gepauzeerd en is overgestapt op voorbestellingen in afwachting van vervangende apparaten. Elk apparaat dat vóór 20 oktober is geleverd, is veilig, mits het de authenticatie doorstaat.

Herstelzinnen, privésleutels en betaalgegevens zijn niet blootgesteld, aldus het bedrijf. Keystone diende op 24 oktober verwijderverzoeken in bij Shopify; een verplichte wachttijd van 10 dagen betekent dat de achterstallige records op 3 november verwijderd zouden moeten zijn. Die deadline, samen met de herstart van de gepauzeerde directe verzendingen van Keystone, is het dichtstbijzijnde controlemoment voor kopers die volgen of de opschoning volgens planning verloopt.