Keystone réduit la rétention des données d’expédition à 90 jours, emboîtant le pas aux concurrents
- Keystone a réduit la conservation de ses données d'expédition à 90 jours après avoir admis que son outil de suppression automatique de 180 jours ne fonctionnait pas.
- La violation de Keystone a exposé les dossiers de 25 964 acheteurs dans un incident qui a également coûté à l'entreprise une clé d'authentification des appareils.
- Le concurrent OneKey a déjà devancé Keystone avec une limite de 30 jours.
En vigueur immédiatement, la conservation des données d'expédition a été réduite de 50 % par Keystone. Elle est passée de 180 jours à 90 jours vendredi.
L'entreprise a admis que sa fonction populaire de suppression automatique de 180 jours ne fonctionnait pas et avait laissé les données personnelles de 25 964 de ses dossiers d'acheteurs exposées à une violation. Son concurrent, OneKey, a fait un pas supplémentaire en imposant une limite de 30 jours sur la rétention automatique.
Keystone : « Nous assumons la responsabilité de cet échec »
La modification a pris effet immédiatement. L'entreprise a annoncé cela dans un X post que vendredi. Keystone a indiqué aux acheteurs souhaitant faire supprimer leurs données de contacter immédiatement le service support dès qu'ils reçoivent une commande.
Ce changement intervient après l'aveu par Keystone que sa fonction automatisée de suppression des données utilisateur après une période de 180 jours ne fonctionnait plus correctement, et qu'aucune alerte ne l'a signalée.
Selon Cryptopolitan, Keystone a identifié 25 964 enregistrements d’acheteurs contenant des données personnelles telles que les noms, coordonnées, adresses de livraison et historiques d’achat. Cette découverte a été faite après un examen de 51 083 enregistrements d’acheteurs.
Certains enregistrements d’acheteurs comportant des données personnelles remontaient jusqu’en 2024, bien au-delà des limites de suppression automatique de 180 jours promises par l’entreprise. D’autres 12 873 enregistrements de paiement non finalisés se sont révélés contenir des données sensibles.
L’entreprise a ensuite déclaré : « Nous n’avons pas honoré notre engagement à supprimer les données clients dans les délais impartis, et nous assumons la responsabilité de cet échec. »
Trois documents, trois versions de la règle
La promesse rompue par Keystone présentait trois versions totalement différentes. Selon la partie du site web consultée, on vous faisait une promesse différente. La première version figurait sur sa page « Engagement en matière de confidentialité », où il est indiqué que « toutes les informations de livraison sont automatiquement supprimées 180 jours après la passation de votre commande ».
Mais si vous consultiez la politique de confidentialité de Keystone, qui a été modifiée pour la dernière fois en mai 2021, elle stipulait : « Keystone supprime toutes les informations de commande de chaque client n’ayant pas passé de commande au cours des 180 derniers jours. »
La troisième version apparaît dans le centre d’aide de l’entreprise, et indique que « les enregistrements de la ville et du pays du client ne seront pas supprimés sur demande et que Shopify effectue la suppression finale ».
OneKey va à 30 jours
Le lapsus de Keystone a offert à son rival, OneKey, une opportunité de prendre de l’avance. Yishi Wang, fondateur de OneKey, a annoncé que l’entreprise fixerait une limite de 30 jours avant que les données des utilisateurs ne soient effacées de sa base de données.
Cela a été annoncé le octobre 27 dans la foulée de la crise de Keystone problèmes. Le fondateur a réitéré que cette mesure n’était qu’une précaution.
L’idée derrière cette démarche n’est pas compliquée : plus un fournisseur conserve des enregistrements longtemps, plus il est probable que ces enregistrements soient compromis lors d’une violation de données.
SafePal a également pris une mesure similaire après qu’environ 40 000 de ses clients se soient retrouvés exposés en raison d’une faille dans le suivi des commandes. L’entreprise a réduit la période de conservation à 90 jours.
Les mesures prises par les deux entreprises montrent qu’il existe des faiblesses qui dépassent tout fabricant de portefeuille individuel.
Une clé volée entraîne la destruction de 18,835 appareils
L'incident survenu chez Keystone s'inscrit dans un contexte plus large. Keystone a détecté un accès non autorisé à son site le 20 octobre, et l'a confirmé le 23 octobre. Un intrus avait volé les données des acheteurs, et l'entreprise a ensuite appris que le voleur avait également dérobé la clé WebAuth. Cette clé est un code gravé dans chaque dispositif en usine pour prouver son authenticité.
Keystone a décidé de mettre au rebut les 18 835 unités invendues portant cette clé. En effet, la clé ne peut pas être réécrite. Keystone a choisi de suspendre les expéditions via son site web. De plus, l'entreprise a opté pour des précommandes en attendant le remplacement des dispositifs. Tout dispositif livré avant le 20 octobre est sûr, à condition qu'il passe l'authentification.
Les phrases de récupération, les clés privées et les détails de paiement n'ont pas été exposés, a indiqué l'entreprise. Elle a déposé des demandes de suppression auprès de Shopify le 24 octobre ; une période d'attente obligatoire de 10 jours signifie que les archives dépassées devraient être supprimées d'ici le 3 novembre.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Pourquoi Keystone a-t-il réduit sa période de conservation des données à 90 jours ?
Son outil automatisé de suppression après 180 jours a cessé de fonctionner sans alerter le personnel, laissant 25 964 des 51 083 enregistrements Shopify contenant des données personnelles au-delà de la limite. Keystone a donc raccourci ce délai et a reconnu avoir échoué à supprimer les données en temps voulu.
Que révèle la faille de sécurité de Keystone ?
Des noms, coordonnées, adresses de livraison et détails de commande pour 25 964 enregistrements d’acheteurs entre 2024 et 2026, ainsi que la clé WebAuth utilisée pour vérifier l’authenticité des appareils. Les phrases de récupération, les clés privées et les informations de paiement n’ont pas été compromises.
Pourquoi OneKey limite-t-elle la conservation des données clients à 30 jours ?
Le fondateur de OneKey, Yishi Wang, a annoncé le 27 octobre que cette mesure est préventive suite à la vague de violations de sécurité touchant les portefeuilles matériels, et il a précisé que OneKey elle-même n’a pas été piratée.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
