Keystone сокращает срок хранения данных о доставке до 90 дней на фоне обещаний конкурентов

С сегодняшнего дня компания Keystone сократила срок хранения данных о доставке на 50%. Он был уменьшен с 180 до 90 дней в пятницу. 

Компания признала, что её популярная функция автоматического удаления данных на 180 дней не работала, из-за чего личные данные 25 964 покупателей оказались под угрозой утечки. Её конкурент, OneKey, пошёл дальше, установив лимит автоматического хранения в 30 дней.  

Keystone: «Мы принимаем ответственность за этот сбой» 

Изменения были внесены немедленно. Компания сделала это объявление в X посту на пятницу. Keystone сообщил покупателям, желающим удалить свои данные, что им следует немедленно обратиться в службу поддержки сразу после получения заказа.  

Изменение произошло после признания со стороны Keystone того, что автоматическая функция удаления пользовательских данных через 180 дней перестала работать корректно, и никаких предупреждений об этом не поступало. 

Согласно CryptopolitanKeystone обнаружила 25 964 записи о покупателях, содержащие личные данные, такие как имена, контактные сведения, адреса доставки и историю покупок. Это стало известно после проверки 51 083 записей о покупателях. 

Некоторые из записей с личными данными датировались ещё 2024 годом, что значительно превышало установленные компанией 180-дневные сроки автоматического удаления. Кроме того, было выявлено, что 12 873 записи о незавершённых чеках содержат конфиденциальные данные. 

Компания заявила: «Мы не выполнили наше обязательство своевременно удалить данные клиентов и принимаем ответственность за этот сбой».

Три документа — три версии правила 

Обещание, нарушенное Keystone, имело три совершенно разных формулировки. В зависимости от того, какую часть сайта вы читали, вам предлагалось разное обещание. Первая версия была опубликована на странице «Наше обещание конфиденциальности», где говорилось, что «вся информация о доставке автоматически удаляется через 180 дней после оформления заказа». 

Однако в политике конфиденциальности Keystone, последний раз изменённой в мае 2021 года, указано: «Keystone удаляет всю информацию о заказах каждого клиента, который не совершал заказов в течение последних 180 дней».

Третья версия появляется в центре помощи компании, и она гласит: «записи о городе и стране клиента не будут удалены по запросу, а окончательное удаление осуществляет Shopify». 

OneKey переходит на 30 дней 

Провал Keystone предоставил его конкуренту OneKey возможность опередить. Иши Ван, основатель OneKey, объявил, что компания установит 30-дневный лимит перед тем, как данные пользователей будут стёрты из её базы данных. 

Это было объявлено октября 27 после того, как у Keystone возникли проблемы. Основатель подчеркнул, что это решение — просто мера предосторожности.

Идея этого шага проста: чем дольше поставщик хранит записи, тем выше вероятность их утечки при взломе. 

SafePal также предпринял аналогичный шаг после того, как около 40 000 его клиентов оказались под угрозой из-за уязвимости в системе отслеживания заказов. Компания сократила срок хранения до 90 дней. 

Решение обеих компаний показывает, что существуют слабые места, выходящие за рамки одного производителя кошельков. 

Украденный ключ требует уничтожения 18,835 устройств

Сбой на Keystone — лишь часть более крупной инцидентной истории. 20 октября компания обнаружила несанкционированный доступ к своему сайту, а 23 октября подтвердила факт взлома. Злоумышник похитил данные покупателей, и позже стало известно, что он также украл ключ WebAuth. Этот ключ прошивается в каждое устройство на заводе для подтверждения его подлинности.

Keystone приняла решение утилизировать все 18 835 непроданных единиц продукции, содержащих этот ключ, поскольку ключ невозможно перезаписать. Компания приостановила отправки заказов через сайт и перешла на систему предзаказов до момента замены устройств. Все устройства, доставленные до 20 октября, безопасны, если они успешно проходят аутентификацию. 

По словам компании, фразы восстановления, закрытые ключи и платежные данные не были скомпрометированы. Она подала запросы на удаление в Shopify 24 октября; обязательный 10-дневный срок означает, что просроченные записи должны быть удалены к 3 ноября.