Keystone数据泄露事件考验其180天删除承诺

硬件钱包制造商Keystone披露了一起涉及其基于Shopify构建的在线商店的客户数据泄露事件。此次泄露暴露了客户的姓名、联系方式、收货地址及订单信息，但支付详情和钱包凭证未受影响。Keystone表示，公司于10月20日检测到对其网站的未经授权访问，并于10月23日在审查Shopify API活动后确认，第三方获取了客户的收货信息。该公司尚未披露有多少客户受到影响、攻击者如何获得访问权限以及受影响的记录追溯至何时。

现在更难回答的问题是：Keystone声称本应不再存在的数据是否真的被删除了？多名客户声称他们在收到泄露通知时，最近一次下单已超过180天，这可能与Keystone公开承诺的“收货信息将在该期限后自动删除”相冲突。

攻击者获取了哪些信息？

Keystone表示，泄露的信息包括客户姓名、联系方式、收货地址以及订单详情（包括购买的产品及其价格）。据该公司称，银行卡信息和银行详细信息并未暴露。对钱包安全更重要的是，Keystone表示恢复短语、私钥和钱包密码均未受损。这一区别意味着，目前该事件并不表明Keystone的硬件钱包或其加密保护机制遭到入侵。相反，直接威胁来自攻击者利用真实的客户信息，使钓鱼、冒充或社会工程学尝试更具说服力。

Keystone特别警告客户注意那些提供退款、更换设备或所谓订单及地址修复方案的电话、电子邮件、短信或实体邮件。诈骗犯如果已经知道客户购买了哪种硬件钱包以及配送地址，就能掌握更多建立可信度的信息。硬件钱包客户此前也曾面临类似问题。今年早些时候，Ledger通过电商合作伙伴Global-e披露了客户信息泄露事件，随后的钓鱼活动证明了即使私钥本身从未泄露，泄露的身份和地址信息仍可能对攻击者有用。

投资者启示

此次泄露并未暴露钱包密钥，但客户的地址和购买历史可能将普通数据泄露转化为有针对性的社会工程学和物理安全风险。

Keystone是否在180天后删除了收货数据？

Keystone多次将其有限的数据保留政策作为隐私定位的一部分。其《隐私承诺》指出，收货信息将在下单后180天自动删除。其隐私政策使用了略有不同的措辞，称对于在过去180天内未再次下单的客户，订单信息将被擦除。Keystone的支持材料还指出，城市和国家的记录可能会保留，最终删除由Shopify处理。这种差异很重要，因为几名客户现在声称在发生泄露时，较旧的信息仍然可用。一名用户表示，两年前的订单受到影响，另一名用户表示距离他们最近一次购买已过去214天。另有客户指控，一名冒充警察的来电者拥有与2024年Keystone订单匹配的详细信息。该说法尚未得到独立验证，现有证据也未证明该来电者是通过此次泄露获取信息的。Keystone尚未公开确认这些较旧的记录是否存在于受泄露影响的数据集中，也未解释尽管有删除承诺，这些信息为何仍能保留。

为什么数据保留对硬件钱包买家至关重要？

Keystone的问题与Trezor及其履行提供商ShipMonk之间的近期争议相似。9月，Trezor表示又有67,000名美国客户因ShipMonk泄露事件而暴露，其中包括购买时间长达数年的客户。Trezor表示，ShipMonk此前曾书面保证相关信息已被删除。这一事件证明，隐私承诺的有效性仅取决于实施它的系统和外部提供商。Keystone目前的披露引发了类似的问题。其在线商店依赖Shopify，且其自身支持文档指出Shopify负责最终删除流程。这并不能确定是Shopify未能删除数据，还是Keystone保留了其他副本，亦或是受影响的记录超出了公司声明的删除政策范围。在Keystone发布其承诺的调查报告之前，归责为时尚早。

投资者启示

未解决的不只是攻击者如何进入商店的问题，还有Keystone能否证明其宣传的数据保留控制措施实际上按客户被告知的方式运行。

Keystone的调查需要澄清什么？

公司的详细报告需要确定受影响客户的数量、最古老的受泄露订单、未经授权访问的持续时间和技术途径，以及哪些系统持有泄露信息。它还需要将泄露事件与Keystone的180天隐私承诺协调一致。如果受影响的订单远早于六个月，公司将需要解释为何其信息仍可访问，以及其删除过程是否与其公开描述不同。后果不仅限于不受欢迎的电子邮件。硬件钱包用户已经受到越来越个性化的攻击。据报道，攻击者曾利用Trezor的真实电子邮件基础设施分发虚假安全警告，而早期的活动则使用了包含逼真公司品牌和客户信息的实体信件。Keystone目前已确认泄露影响了客户和订单数据，而非恢复短语或私钥。悬而未决的是，泄露的记录是否也揭示了公司特别推广以防范此类事件的隐私控制的失败。