Keystone、配送データの保存期間を90日に短縮 競合各社は削減を相次ぎ表明

即時発効により、Keystoneは配送データの保持期間を50%削減した。金曜日より、180日間から90日間に短縮された。 

同社は、人気のある180日間の自動削除機能が正常に動作しておらず、25,964件の購入者レコードの個人データが侵害にさらされていたことを認めた。また、競合他社であるOneKeyはさらに一歩進んで、自動保持期間を30日間に制限した。  

Keystone：「私たちはこの失敗に対する責任を受け入れます」 

この変更は即時発効で行われた。同社は、「」においてこの発表を行った。 X 投稿 にて 金曜日。Keystoneは、データを削除したい購入者は、注文を受領後すぐにサポートに連絡するよう伝えた。  

この変更は、Keystoneが180日の経過後にユーザーデータを削除する自動化機能が正常に動作しなくなり、それを示すアラートが一切出されなかったことを認めた後のことだった。 

によると CryptopolitanKeystoneは、氏名、連絡先情報、配送先住所、購入履歴などの個人データを含む25,964件の購入者レコードを発見しました。これは51,083件の購入者レコードのレビュー後に判明したものです。 

個人データを含んでいた購入者レコードの一部は2024年まで遡り、同社が約束していた180日間の自動削除制限を大幅に超えていました。また、別の12,873件の未払いチェックアウトレコードにも機密データが含まれていることが明らかになりました。 

同社はさらに、「顧客データの適切な消去という当社のコミットメントを果たせなかったことを認め、この失敗に対する責任を受け入れます」と述べています。

3つの文書、3つの異なるルールバージョン 

Keystoneが破った約束には、完全に異なる3つのバージョンがありました。ウェブサイトのどの部分を読むかによって、異なる約束が提示されていました。最初のバージョンは「プライバシープロミス」ページに掲載されており、「すべての配送情報は注文から180日後に自動的に削除されます」と記載されています。 

しかし、2021年5月に最後に改訂されたKeystoneのプライバシーポリシーには、「過去180日以内に注文を行っていない顧客のすべての注文情報は削除されます」と記載されています。

第3版は会社のヘルプセンターに掲載されており、「顧客の都市と国の記録は削除リクエストに応じて削除されず、最終的な削除はShopifyが行う」と記載されています。 

OneKeyは30日以内に消去されます 

Keystoneの過失により、競合他社であるOneKeyが先制する機会を得ました。OneKeyの創業者であるYishi Wang氏は、同社がユーザーデータをデータベースから完全に消去する前に30日の期限を設けると発表しました。 

これは10月27にKeystoneの直後に発表されました 問題発生後、10月⟦N1⟧日に発表されました。 創業者はこの措置が単なる予防策であることを再確認しました。

この措置の背景にある考え方は複雑なものではありません。ベンダーが記録を保持する期間が長ければ長いほど、その記録が侵害時に漏洩する可能性が高くなります。 

SafePalも約40,000人の顧客が注文追跡の欠陥により情報露出にさらされた後、同様の措置を行いました。同社は保持期間を90日に短縮しました。 

両社の動きは、 単一のウォレットメーカーを超えた. 

盗まれたキーにより18,835台のデバイスが破壊される

キーストーンの侵害は、より大きなインシデントの一部です。キーストーンは10月20日にサイトへの不正アクセスを検知し、10月23日にこれを確認しました。侵入者は購入者のデータを盗み出し、後にはWebAuthキーも窃取されていたことが判明しました。このキーは、各デバイスが正規品であることを証明するために工場段階で焼込みされるコードです。

キーストーンはこのキーを書き換えられないため、キーを備えた未売りの18,835台全ユニットの廃棄を決めました。また、ウェブサイトからの出荷を一時的に停止するとともに、デバイスの交換時期まで予約注文を保留する方針を示しました。10月20日以前に納品されたデバイスについては、認証を通過すれば安全です。 

同社によると、リカバリーフレーズ、秘密鍵、および決済情報は漏洩していません。同社は 削除リクエストを提出し 10月24日にShopifyに対して行いました。必須の10日間の待機期間により、期限超過レコードは11月3日までに消去される見込みです。