キーストーン顧客、180日後の削除約束に反し注文情報が漏えいしたと主張

キーストーン（Keystone）の複数の顧客は、ハードウェアウォレットメーカーが約束した180日間の削除期間を超えた過去の注文情報が情報漏えいで流出したと主張した。キーストーンは、同社のShopifyを基盤とするオンラインストアから、身元不明の第三者が顧客情報を取得したと説明した。流出したデータには、氏名、連絡先情報、配送先住所、購入品目や価格を含む注文の詳細が含まれていたという。

キーストーンは、10月20日に公式ウェブサイトへの不正アクセスを検知したと述べた。同社は、ShopifyのAPIの利用状況を調べ、10月23日に情報漏えいを確認したという。キーストーンは顧客情報を保護できなかったことを謝罪した。決済カード情報、銀行口座情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワードは流出していないと説明した。

キーストーンは、アクセスを遮断し、脆弱性を修正し、調査を開始するとともに、影響を受けた顧客へのメール連絡を始めたと述べた。影響を受けた顧客の人数や、攻撃者が侵入した方法は明らかにしていない。攻撃者を特定したか、または攻撃者と連絡を取ったかについても説明していない。情報漏えいの範囲を尋ねた利用者に対し、キーストーンは調査が続いていると伝えた。詳細な報告書は数日中に公表するとした。

キーストーンは、詐欺師が電話、テキストメッセージ、メール、郵便を通じて同社になりすまし、返金や交換用端末の提供、注文情報や住所の訂正を持ちかける可能性があると警告した。注文していない端末にリカバリーフレーズを入力しないよう顧客に助言した。また、同社からの連絡を装ったメッセージ内のリンクを開かないよう呼びかけた。

キーストーンは、自動的なデータ削除を製品購入の理由として宣伝していた。1月5日、同社は、電子商取引パートナーのGlobal-eで同様の情報漏えいが発生したとの通知がLedgerの顧客に届いたのと同じ時期に、注文から180日後に配送データを永久に削除すると約束した。キーストーンは3月と8月にも、配送データを180日後に削除するとの約束を繰り返した。同社の「プライバシーの約束」ページには、注文から180日後にすべての配送情報を自動削除すると記されている。しかし、2021年5月に最終更新された同社のプライバシーポリシーには、過去180日間に注文していない顧客について、すべての注文情報を消去すると記載されている。キーストーンのヘルプセンターのページによると、削除を依頼した後も市区町村と国の記録は残る。同ページは、最終的な削除はShopifyが行うとしている。

ある顧客は土曜日、2年以上前に行った購入に関する情報漏えい通知メールを受け取ったと述べた。別の顧客は、直近の注文から214日後に情報漏えいが起きたと述べた。3人目の顧客は、キーストーンが公表する前の金曜日夜に、情報漏えいの可能性への懸念を示した。この顧客によると、モントリオール警察の電話番号を偽装した発信者がソーシャルエンジニアリングを試み、Amazon、eBay、キーストーンに心当たりがあるか尋ねた。発信者は、180日間の削除約束の対象期間を過ぎた2024年のキーストーンでの注文と完全に一致する情報を知っていたという。キーストーンは土曜日早朝、この顧客が説明した電話について緊急調査を始めたと返信した。

顧客の主張は独自に確認できていない。キーストーンは、180日間の方針を順守したかどうかについて公に質問に答えていない。顧客には追加情報の提供を求めた。キーストーンにもコメントを求めた。

他のハードウェアウォレット企業も今年、顧客データの情報漏えいを公表している。Trezorは8月、配送パートナーのShipMonkでの情報漏えいにより、1万4000人近い顧客の個人情報が流出したと述べた。Trezorはその後、米国の顧客約6万7000人も影響を受け、ShipMonkはデータを保持していたにもかかわらず削除したとの書面での保証を提供していたと説明した。Trezorの最初の公表から数日後、SafePalは注文追跡システムの脆弱性により、4万人近い顧客の個人情報が流出したと発表した。今月初め、Ledgerは、再販業者CryptoBilisが販売した端末に、初期設定中にリカバリーフレーズを盗み取るためのハードウェアインプラントが仕込まれていたと確認した。オンチェーンの調査担当者は、損失額が8600万ドルを超えると推定した。