Keystone сократила срок хранения данных о доставке на 50% — с 180 до 90 дней с немедленным вступлением в силу. Производитель аппаратных кошельков объявил об изменении в посте X в пятницу и сообщил покупателям, желающим удалить свои данные, о необходимости обратиться в поддержку сразу после получения заказа.

Сокращение последовало за признанием Keystone в том, что широко разрекламированная функция 180-дневного автоудаления перестала работать, оставив персональные данные в 25 964 записях покупателей уязвимыми к возможной утечке. Конкурент OneKey пошел еще дальше, ограничив автоматическое хранение 30 днями. Инцидент также подчеркивает структурную особенность бизнеса аппаратных кошельков: устройства — это физические товары, поэтому поставщики вынуждены собирать и хранить имена, контактные данные и адреса доставки для каждого заказа — категорию персональных данных, которую программные продукты никогда не требуют хранить.

Keystone: «Мы принимаем ответственность за этот сбой»

Изменение произошло после того, как Keystone признала, что автоматическая функция удаления пользовательских данных после 180-дневного периода перестала работать должным образом, и ни одно оповещение не сигнализировало о сбое.

По данным Cryptopolitan, Keystone выявила 25 964 записи покупателей, содержащих персональные данные, такие как имена, контактные данные, адреса доставки и историю покупок. Обнаружение стало результатом проверки 51 083 записей покупателей. Некоторые из записей с персональными данными датировались 2024 годом, что значительно превышало обещанный компанией 180-дневный лимит автоудаления. Еще 12 873 записи неоплаченных оформлений заказов также содержали конфиденциальные данные.

«Мы не выполнили свое обязательство своевременно удалить данные клиентов и принимаем ответственность за этот сбой», — заявила компания.

Три документа, три версии правила

Нарушенное Keystone обещание существовало в трех совершенно разных версиях в зависимости от того, какой раздел сайта читал клиент. Первая версия появилась на странице Privacy Promise компании, где говорится, что «вся информация о доставке автоматически удаляется через 180 дней после оформления заказа».

Политика конфиденциальности Keystone, последний раз измененная в мае 2021 года, гласит иное: «Keystone удаляет всю информацию о заказах каждого клиента, не оформлявшего заказ в течение последних 180 дней».

Третья версия представлена в справочном центре компании, где сказано, что записи о городе и стране клиента не будут удалены по запросу и что окончательное удаление выполняет Shopify. На практике условия удаления, обещанные клиенту, различались в зависимости от триггера, сроков, объема и того, кто выполнял удаление, в зависимости от прочитанной страницы.

OneKey переходит на 30 дней

Сбой Keystone дал ее конкуренту OneKey возможность вырваться вперед. Основатель OneKey Иши Ван объявил 27 октября — после проблем Keystone — что компания установит 30-дневный лимит до удаления пользовательских данных из своей базы данных. Ван подчеркнул, что этот шаг является простой мерой предосторожности.

Логика решения несложна: чем дольше поставщик хранит записи, тем выше вероятность их утечки при взломе.

SafePal предприняла аналогичный шаг после того, как около 40 000 ее клиентов оказались под угрозой из-за уязвимости в отслеживании заказов, сократив срок хранения до 90 дней. Вместе эти шаги показывают, что уязвимости выходят за рамки какого-либо одного производителя кошельков.

Украденный ключ вынуждает уничтожить 18 835 устройств

Сбой хранения данных — лишь часть более масштабного инцидента. Keystone заметила несанкционированный доступ к своему сайту 20 октября и подтвердила его 23 октября. Злоумышленник похитил данные покупателей, а позже компания обнаружила, что вор также похитил ключ WebAuth — код, вшитый в каждое устройство на заводе для подтверждения его подлинности.

Поскольку ключ нельзя перезаписать, Keystone решила уничтожить все 18 835 непроданных устройств с этим ключом. Компания приостановила поставки через свой сайт и перешла на предзаказы в ожидании замены устройств. Любое устройство, доставленное до 20 октября, безопасно, при условии прохождения аутентификации.

Секретные фразы восстановления, приватные ключи и платежные данные не были скомпрометированы, сообщила компания. Keystone подала запросы на удаление в Shopify 24 октября; обязательное 10-дневное ожидание означает, что просроченные записи должны быть удалены к 3 ноября. Этот дедлайн, как и возобновление приостановленных прямых поставок Keystone, является ближайшей контрольной точкой для покупателей, отслеживающих, завершится ли очистка данных по графику.