Keystone admite que la eliminación en 180 días falló mientras OneKey le roba clientes con un plazo de 30 días

A partir de ahora, Keystone ha reducido en un 50 % la retención de datos de envío. Pasó de 180 días a 90 días el viernes. 

La compañía admitió que su popular función de eliminación automática de 180 días no estaba funcionando y había dejado abiertos los datos personales de 25.964 registros de compradores ante una brecha de seguridad. Su competidor, OneKey, dio un paso más al establecer un límite de 30 días para la retención automática.  

Keystone: "Asumimos la responsabilidad por este fallo" 

El cambio se aplicó de inmediato. La compañía hizo el anuncio en un X post a que Estados Unidos caiga en viernes. Keystone indicó a los compradores que deseen eliminar sus datos que contacten inmediatamente con soporte después de recibir un pedido.  

Este cambio se produjo tras la admisión por parte de Keystone de que su función automatizada para eliminar los datos de los usuarios después de un período de 180 días dejó de funcionar correctamente y ningún aviso lo detectó. 

Según Cryptopolitan, Keystone detectó 25.964 registros de compradores que contenían datos personales como nombres, detalles de contacto, direcciones de envío e historiales de compras. Esto se descubrió tras revisar 51.083 registros de compradores. 

Algunos de los registros de compradores que contenían datos personales remontaban hasta 2024, mucho más allá del límite de eliminación automática de 180 días prometido por la empresa. Además, se reveló que otros 12.873 registros de pagos pendientes contenían datos sensibles. 

La empresa declaró posteriormente: «No cumplimos con nuestro compromiso de eliminar los datos de los clientes a tiempo, y asumimos la responsabilidad por este fallo».

Tres documentos, tres versiones de la norma 

La promesa incumplida por Keystone tenía tres versiones completamente distintas. Dependiendo de la sección del sitio web que leyeras, recibías una promesa diferente. La primera versión aparecía en su página de Promesa de Privacidad, donde se indicaba que «toda la información de envío se elimina automáticamente 180 días después de realizar el pedido». 

Sin embargo, si consultabas la política de privacidad de Keystone, cuya última modificación data de mayo de 2021, esta establecía: «Keystone elimina toda la información de pedidos de cada cliente que no haya realizado un pedido en los últimos 180 días».

La tercera versión aparece en el centro de ayuda de la empresa, y dice que "los registros de la ciudad y el país del cliente no se eliminarán a petición y que Shopify realiza la eliminación final". 

OneKey va a 30 días 

El lapsus de Keystone brindó a su rival, OneKey, la oportunidad de avanzar. Yishi Wang, fundador de OneKey, anunció que la compañía establecería un límite de 30 días antes de que los datos de los usuarios sean eliminados de su base de datos. 

Esto se anunció el 1 de octubre 27 en las aftermath de Keystone’s de problemas. El fundador reiteró que esta medida era simplemente una precaución.

La idea detrás de esta medida no es nada del otro mundo; cuanto más tiempo conserve un proveedor los registros, más probable será que estos se pierdan en una violación de seguridad. 

SafePal también realizó una medida similar después de que unos 40.000 de sus clientes quedaran expuestos debido a un fallo en el seguimiento de pedidos. La compañía redujo el período de retención a 90 días. 

La acción de ambas compañías demuestra que existen debilidades que van más allá de cualquier fabricante individual de carteras. 

Una clave robada obliga a destruir 18,835 dispositivos

El incidente en Keystone es solo una parte de un caso más amplio. Keystone detectó accesos no autorizados a su sitio el 20 de octubre, confirmando la intrusión el 23 de octubre. Un intruso había robado datos de los compradores y la empresa descubrió posteriormente que el ladrón también se había apoderado de la clave WebAuth. Esta clave es un código grabado en cada dispositivo en la fábrica para demostrar que es auténtico.

Keystone ha decidido desechar las 18.835 unidades sin vender que llevan la clave. Esto se debe a que la clave no puede ser reescrita. La compañía ha decidido pausar los envíos desde su sitio web. Además, ha optado por aceptar pedidos pendientes hasta que se reemplacen los dispositivos. Cualquier dispositivo entregado antes del 20 de octubre está seguro, siempre que supere la autenticación. 

Las frases de recuperación, las claves privadas y los detalles de pago no fueron expuestos, según informó la empresa. El presentó solicitudes de eliminación ante Shopify el 24 de octubre; un período obligatorio de espera de 10 días significa que los registros vencidos deberían haberse eliminado para el 3 de noviembre.   

No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.