Keystone skrócił okres przechowywania danych wysyłkowych o 50%, zmieniając go ze skutkiem natychmiastowym ze 180 na 90 dni. Producent portfeli sprzętowych ogłosił zmianę w poście na X w piątek i poinformował kupujących, którzy chcą usunąć swoje dane, aby natychmiast po otrzymaniu zamówienia skontaktowali się z pomocą techniczną.

Skrócenie okresu nastąpiło po przyznaniu się Keystone, że szeroko reklamowana funkcja automatycznego usuwania danych po 180 dniach przestała działać, co naraziło na potencjalny wyciek dane osobowe w 25 964 rekordach kupujących. Konkurent OneKey poszedł o krok dalej, ograniczając automatyczne przechowywanie do 30 dni. Incydent uwidocznił również strukturalną cechę branży portfeli sprzętowych: urządzenia są towarami fizycznymi, więc dostawcy muszą zbierać i przechowywać imiona i nazwiska, dane kontaktowe oraz adresy dostawy dla każdego zamówienia — kategorię danych osobowych, których produkty czysto programowe nigdy nie muszą przechowywać.

Keystone: „Przejmujemy odpowiedzialność za tę awarię”

Zmiana nastąpiła po tym, jak Keystone przyznał, że zautomatyzowana funkcja usuwania danych użytkowników po 180-dniowym okresie przestała działać prawidłowo, a żadna alert nie zasygnalizował awarii.

Według Cryptopolitan Keystone zidentyfikował 25 964 rekordów kupujących zawierających dane osobowe, takie jak imiona i nazwiska, dane kontaktowe, adresy wysyłkowe i historia zakupów. Odkrycia dokonano podczas przeglądu 51 083 rekordów kupujących. Niektóre rekordy zawierające dane osobowe sięgały 2024 roku, znacznie wykraczając poza 180-dniowy limit automatycznego usuwania obiecany przez firmę. Kolejne 12 873 rekordów niedokończonych płatności również zawierało dane wrażliwe.

„Nie dotrzymaliśmy zobowiązania do terminowego usunięcia danych klientów i przejmujemy odpowiedzialność za tę awarię” — oświadczyła firma.

Trzy dokumenty, trzy wersje zasad

Złamana przez Keystone obietnica istniała w trzech zupełnie różnych wersjach, w zależności od tego, którą część strony internetowej czytał klient. Pierwsza pojawiła się na stronie Privacy Promise firmy i stanowi, że „wszystkie informacje wysyłkowe są automatycznie usuwane 180 dni po złożeniu zamówienia”.

Polityka prywatności Keystone, ostatnio zmieniona w maju 2021 roku, brzmi natomiast: „Keystone usuwa wszystkie informacje o zamówieniach każdego klienta, który nie złożył zamówienia w ciągu ostatnich 180 dni”.

Trzecia wersja pojawia się w centrum pomocy firmy, gdzie czytamy, że rekordy zawierające miasto i kraj klienta nie zostaną usunięte na żądanie, a ostateczne usunięcie przeprowadza Shopify. W praktyce warunki usunięcia danych obiecane klientowi różniły się w zależności od wyzwalacza, terminu, zakresu oraz tego, kto dokonywał usunięcia — w zależności od tego, którą stronę czytał.

OneKey przechodzi na 30 dni

Zaniedbanie Keystone dało jego rywalowi OneKey okazję do wybicia się na prowadzenie. Założyciel OneKey, Yishi Wang, ogłosił 27 października — w następstwie problemów Keystone — że firma ustanowi 30-dniowy limit, po którym dane użytkowników zostaną usunięte z jej bazy danych. Wang podkreślił, że ten krok był wyłącznie środkiem ostrożności.

Uzasadnienie tego ruchu nie jest skomplikowane: im dłużej dostawca przechowuje rekordy, tym większe prawdopodobieństwo, że wyciekną one w wyniku naruszenia danych.

SafePal podjął podobną decyzję po tym, jak około 40 000 jego klientów zostało narażonych poprzez lukę w śledzeniu zamówień, skracając przechowywanie do 90 dni. Podjęte przez obie firmy kroki pokazują, że słabości wykraczają poza jednego producenta portfeli.

Skradziony klucz wymusza zniszczenie 18 835 urządzeń

Awaria przechowywania danych to jedna część większego incydentu. Keystone wykrył nieuprawniony dostęp do swojej strony 20 października i potwierdził go 23 października. Intruz ukradł dane kupujących, a firma później odkryła, że złodziej zabrał także klucz WebAuth — kod wypalony w każdym urządzeniu w fabryce w celu potwierdzenia jego autentyczności.

Ponieważ klucza nie można przepisać, Keystone zdecydował się zniszczyć wszystkie 18 835 niesprzedanych urządzeń, które go zawierają. Firma wstrzymała wysyłki przez swoją stronę internetową i przeszła na przedsprzedaż w oczekiwaniu na wymienne urządzenia. Każde urządzenie dostarczone przed 20 października jest bezpieczne, o ile przejdzie uwierzytelnianie.

Frazy odzyskiwania, klucze prywatne i dane płatnicze nie zostały ujawnione — oświadczyła firma. Keystone złożył wnioski o usunięcie danych do Shopify 24 października; obowiązkowy 10-dniowy okres oczekiwania oznacza, że przeterminowane rekordy powinny zniknąć do 3 listopada. Ten termin, wraz ze wznowieniem wstrzymanych bezpośrednich wysyłek Keystone, jest najbliższym punktem kontrolnym dla kupujących śledzących, czy porządki przebiegają zgodnie z harmonogramem.