Keystone reduce la retención de datos de envíos a 90 días mientras sus rivales compiten por prometer menos
- Keystone redujo la retención de sus datos de envío a 90 días tras admitir que su herramienta de eliminación automática de 180 días no funcionaba.
- La brecha de seguridad de Keystone dejó expuestos los registros de 25.964 compradores en un incidente que también le costó a la empresa una clave de autenticación de dispositivos.
- El competidor OneKey ya ha superado a Keystone con un límite de 30 días.
A partir de ahora, Keystone ha reducido en un 50 % la retención de datos de envío. Pasó de 180 días a 90 días el viernes.
La compañía admitió que su popular función de eliminación automática de 180 días no estaba funcionando y había dejado abiertos los datos personales de 25.964 registros de compradores ante una brecha de seguridad. Su competidor, OneKey, dio un paso más al establecer un límite de 30 días para la retención automática.
Keystone: "Asumimos la responsabilidad por este fallo"
El cambio se aplicó de inmediato. La compañía hizo el anuncio en un X post a que Estados Unidos caiga en viernes. Keystone indicó a los compradores que deseen eliminar sus datos que contacten inmediatamente con soporte después de recibir un pedido.
Este cambio se produjo tras la admisión por parte de Keystone de que su función automatizada para eliminar los datos de los usuarios después de un período de 180 días dejó de funcionar correctamente y ningún aviso lo detectó.
Según Cryptopolitan, Keystone detectó 25.964 registros de compradores que contenían datos personales como nombres, detalles de contacto, direcciones de envío e historiales de compras. Esto se descubrió tras revisar 51.083 registros de compradores.
Algunos de los registros de compradores que contenían datos personales remontaban hasta 2024, mucho más allá del límite de eliminación automática de 180 días prometido por la empresa. Además, se reveló que otros 12.873 registros de pagos pendientes contenían datos sensibles.
La empresa declaró posteriormente: «No cumplimos con nuestro compromiso de eliminar los datos de los clientes a tiempo, y asumimos la responsabilidad por este fallo».
Tres documentos, tres versiones de la norma
La promesa incumplida por Keystone tenía tres versiones completamente distintas. Dependiendo de la sección del sitio web que leyeras, recibías una promesa diferente. La primera versión aparecía en su página de Promesa de Privacidad, donde se indicaba que «toda la información de envío se elimina automáticamente 180 días después de realizar el pedido».
Sin embargo, si consultabas la política de privacidad de Keystone, cuya última modificación data de mayo de 2021, esta establecía: «Keystone elimina toda la información de pedidos de cada cliente que no haya realizado un pedido en los últimos 180 días».
La tercera versión aparece en el centro de ayuda de la empresa, y dice que "los registros de la ciudad y el país del cliente no se eliminarán a petición y que Shopify realiza la eliminación final".
OneKey va a 30 días
El lapsus de Keystone brindó a su rival, OneKey, la oportunidad de avanzar. Yishi Wang, fundador de OneKey, anunció que la compañía establecería un límite de 30 días antes de que los datos de los usuarios sean eliminados de su base de datos.
Esto se anunció el 1 de octubre 27 en las aftermath de Keystone’s de problemas. El fundador reiteró que esta medida era simplemente una precaución.
La idea detrás de esta medida no es nada del otro mundo; cuanto más tiempo conserve un proveedor los registros, más probable será que estos se pierdan en una violación de seguridad.
SafePal también realizó una medida similar después de que unos 40.000 de sus clientes quedaran expuestos debido a un fallo en el seguimiento de pedidos. La compañía redujo el período de retención a 90 días.
La acción de ambas compañías demuestra que existen debilidades que van más allá de cualquier fabricante individual de carteras.
Una clave robada obliga a destruir 18,835 dispositivos
El incidente en Keystone es solo una parte de un caso más amplio. Keystone detectó accesos no autorizados a su sitio el 20 de octubre, confirmando la intrusión el 23 de octubre. Un intruso había robado datos de los compradores y la empresa descubrió posteriormente que el ladrón también se había apoderado de la clave WebAuth. Esta clave es un código grabado en cada dispositivo en la fábrica para demostrar que es auténtico.
Keystone ha decidido desechar las 18.835 unidades sin vender que llevan la clave. Esto se debe a que la clave no puede ser reescrita. La compañía ha decidido pausar los envíos desde su sitio web. Además, ha optado por aceptar pedidos pendientes hasta que se reemplacen los dispositivos. Cualquier dispositivo entregado antes del 20 de octubre está seguro, siempre que supere la autenticación.
Las frases de recuperación, las claves privadas y los detalles de pago no fueron expuestos, según informó la empresa. El presentó solicitudes de eliminación ante Shopify el 24 de octubre; un período obligatorio de espera de 10 días significa que los registros vencidos deberían haberse eliminado para el 3 de noviembre.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Por qué Keystone redujo su retención de datos a 90 días?
Su herramienta automatizada de eliminación de 180 días dejó de funcionar sin alertar al personal, lo que provocó que 25.964 de los 51.083 registros de Shopify contuvieran datos personales más allá del límite establecido. Por ello, Keystone acortó el plazo y admitió que no logró borrar los datos a tiempo.
¿Qué reveló la brecha de seguridad de Keystone?
Nombres, datos de contacto, direcciones de envío y detalles de pedidos en 25.964 registros de compradores desde 2024 hasta 2026, además de la clave WebAuth utilizada para verificar dispositivos genuinos. Las frases de recuperación, las claves privadas y la información de pago no se vieron comprometidas.
¿Por qué OneKey limita los datos de los clientes a 30 días?
El fundador de OneKey, Yishi Wang, declaró el 27 de octubre que esta medida es precautoria tras la ola de brechas de seguridad en billeteras de hardware, y señaló que OneKey en sí misma no ha sido hackeada.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
