Keystone riduce la conservazione dei dati di spedizione a 90 giorni, mentre i rivali promettono meno

A partire da oggi, Keystone ha ridotto del 50% il periodo di conservazione dei dati di spedizione: è passato da 180 a 90 giorni venerdì scorso. 

L'azienda ha ammesso che la sua popolare funzione di eliminazione automatica a 180 giorni non funzionava correttamente, lasciando i dati personali di 25.964 acquirenti esposti a una violazione. Il concorrente OneKey ha fatto un passo ulteriore imponendo un limite di 30 giorni alla conservazione automatica dei dati.  

Keystone: "Accettiamo la responsabilità per questo malfunzionamento" 

La modifica è stata applicata con effetto immediato. L'azienda ha annunciato la novità in un X post su venerdì. Keystone ha informato gli acquirenti che desiderano cancellare i propri dati di contattare immediatamente l'assistenza subito dopo aver ricevuto un ordine.  

Il cambiamento è avvenuto dopo che Keystone ha ammesso che la funzione automatizzata per l'eliminazione dei dati utente dopo 180 giorni aveva smesso di funzionare correttamente e nessun alert ne aveva segnalato il malfunzionamento. 

Secondo Cryptopolitan, Keystone ha rilevato 25.964 record di acquirenti contenenti dati personali come nomi, dettagli di contatto, indirizzi di spedizione e cronologie degli acquisti. La scoperta è avvenuta dopo un'analisi di 51.083 record di acquirenti. 

Alcuni dei record di acquirenti che contenevano dati personali risalivano addirittura al 2024, ben oltre i limiti di cancellazione automatica di 180 giorni promessi dall'azienda. Sono stati inoltre rivelati altri 12.873 record di checkout non pagati contenenti dati sensibili. 

L'azienda ha poi dichiarato: "Non abbiamo adempiuto al nostro impegno di cancellare i dati dei clienti nei tempi previsti e accettiamo la responsabilità di questo fallimento."

Tre documenti, tre versioni della regola 

La promessa infranta da Keystone presentava tre versioni completamente diverse. A seconda della sezione del sito web consultata, veniva fornita una promessa diversa. La prima versione si trovava nella pagina Privacy Promise e affermava che "tutte le informazioni di spedizione vengono eliminate automaticamente 180 giorni dopo l'effettuazione dell'ordine." 

Tuttavia, se si consultava l'informativa sulla privacy di Keystone, modificata per l'ultima volta nel maggio 2021, si leggeva: "Keystone elimina tutte le informazioni sull'ordine di ciascun cliente che non ha effettuato ordini negli ultimi 180 giorni."

La terza versione appare nel centro di assistenza dell'azienda e afferma che "i record della città e del paese del cliente non saranno eliminati su richiesta e che Shopify esegue la cancellazione finale." 

OneKey va a 30 giorni 

Il periodo di inattività di Keystone ha fornito alla sua concorrente, OneKey, l'opportunità di fare avanti. Yishi Wang, fondatore di OneKey, ha annunciato che l'azienda avrebbe stabilito un limite di 30 giorni prima che i dati degli utenti vengano cancellati dal suo database. 

Questo è stato annunciato il 1° ottobre 27 nelle scia delle problematiche di Keystone . Il fondatore ha ribadito che questa mossa era semplicemente una precauzione.

L'idea alla base di questa mossa non è complicata: più a lungo un fornitore conserva i record, maggiore è la probabilità che tali record vengano persi in caso di violazione. 

Anche SafePal ha adottato una misura simile dopo che circa 40.000 dei suoi clienti sono stati esposti a causa di un difetto nel tracciamento degli ordini. L'azienda ha ridotto il periodo di conservazione a 90 giorni. 

Le mosse di entrambe le aziende mostrano che ci sono debolezze che vanno oltre qualsiasi singolo produttore di portafogli. 

Una chiave rubata costringe 18,835 dispositivi ad essere distrutti

Il fallimento a Keystone è solo una parte di un episodio più ampio. Keystone ha rilevato un accesso non autorizzato al proprio sito il 20 ottobre, confermandolo il 23 ottobre. Un intruso aveva rubato i dati degli acquirenti e l'azienda in seguito ha scoperto che il ladro aveva sottratto anche la chiave WebAuth. La chiave è un codice bruciato su ogni dispositivo in fabbrica per dimostrare che è genuino.

Keystone ha deciso di smaltire tutte le 18.835 unità invendute dotate della chiave. Questo perché la chiave non può essere riscritta. Keystone ha deciso di sospendere le spedizioni tramite il sito web. Inoltre, l'azienda ha optato per gli ordini anticipati in attesa della sostituzione dei dispositivi. Qualsiasi dispositivo consegnato prima del 20 ottobre è sicuro, purché superi l'autenticazione. 

Le frasi di recupero, le chiavi private e i dettagli di pagamento non sono stati esposti, ha dichiarato l'azienda. Ha presentato richieste di cancellazione a Shopify il 24 ottobre; un periodo di attesa obbligatorio di 10 giorni significa che i record scaduti dovrebbero essere eliminati entro il 3 novembre.