Keystone admite falha na exclusão em 180 dias enquanto OneKey a supera com 30 dias

Em vigor imediatamente, a retenção de dados de envio foi reduzida em 50% pela Keystone. Ela passou de 180 dias para 90 dias na sexta-feira. 

A empresa admitiu que sua popular função de exclusão automática de 180 dias não estava funcionando e havia deixado dados pessoais nos registros de 25.964 compradores vulneráveis a uma violação. Seu concorrente, OneKey, foi além ao estabelecer um limite de 30 dias para a retenção automática.  

Keystone: "Assumimos a responsabilidade por essa falha" 

A mudança foi feita com efeito imediato. A empresa fez o anúncio em um X post em sexta-feira. A Keystone informou aos compradores que desejam ter seus dados excluídos que entrem em contato com o suporte imediatamente após receberem um pedido.  

A mudança ocorreu após a admissão pela Keystone de que sua função automatizada para excluir dados do usuário após um período de 180 dias parou de funcionar corretamente, sem que nenhum alerta a sinalizasse. 

De acordo com Cryptopolitan, A Keystone identificou 25.964 registros de compradores contendo dados pessoais, como nomes, detalhes de contato, endereços de envio e históricos de compras. Isso foi descoberto após uma revisão de 51.083 registros de compradores. 

Alguns dos registros de compradores que continham dados pessoais remontavam a 2024, muito além do limite de exclusão automática de 180 dias prometido pela empresa. Outros 12.873 registros de checkout não pagos também foram revelados como contendo dados sensíveis. 

A empresa afirmou posteriormente: "Não cumprimos nosso compromisso de apagar os dados dos clientes dentro do prazo e assumimos a responsabilidade por essa falha."

Três documentos, três versões da regra 

A promessa quebrada pela Keystone tinha três versões completamente diferentes. Dependendo da parte do site que você lia, recebia uma promessa diferente. A primeira versão estava em sua página de Promessa de Privacidade e afirmava que "todas as informações de envio são excluídas automaticamente 180 dias após o pedido ser realizado." 

Mas, se você consultasse a política de privacidade da Keystone, que foi alterada pela última vez em maio de 2021, ela dizia: "A Keystone apaga todas as informações de pedido de cada cliente que não realizou um pedido nos últimos 180 dias."

A terceira versão aparece no centro de ajuda da empresa e afirma que “os registros da cidade e do país do cliente não serão excluídos a pedido e que a Shopify realiza a exclusão final.” 

OneKey vai para 30 dias 

A falha da Keystone proporcionou à sua concorrente, OneKey, uma oportunidade de avançar. Yishi Wang, fundador da OneKey, anunciou que a empresa estabeleceria um limite de 30 dias antes que os dados dos usuários fossem apagados de seu banco de dados. 

Isso foi anunciado em 27 de outubro, após o incidente da Keystone da empresa. O fundador reiterou que a medida era apenas uma precaução.

A ideia por trás dessa medida não é nada complexa: quanto mais tempo um fornecedor mantém os registros, maior a probabilidade de que esses dados sejam perdidos em caso de violação de segurança. 

A SafePal também adotou uma medida semelhante após cerca de 40.000 de seus clientes ficarem expostos devido a uma falha no rastreamento de pedidos. A empresa reduziu o período de retenção para 90 dias. 

A atitude de ambas as empresas demonstra que existem falhas que vão além de qualquer único fabricante de carteiras. 

Uma chave roubada exige que 18,835 dispositivos sejam destruídos

A falha na Keystone é parte de um episódio maior. A Keystone detectou acesso não autorizado ao seu site em 20 de outubro, confirmando-o em 23 de outubro. Um intruso havia roubado dados dos compradores e a empresa mais tarde descobriu que o ladrão também roubou a chave WebAuth. A chave é um código gravado em cada dispositivo na fábrica para provar que ele é genuíno.

A Keystone decidiu descartar todas as 18.835 unidades não vendidas que carregam a chave. Isso ocorre porque a chave não pode ser reescrita. A Keystone decidiu pausar os envios do site. Além disso, a empresa optou por adiar os pedidos pendentes até que os dispositivos sejam substituídos. Qualquer dispositivo entregue antes de 20 de outubro está seguro, desde que passe pela autenticação. 

As frases de recuperação, chaves privadas e detalhes de pagamento não foram expostos, disse a empresa. Ela enviou solicitações de exclusão à Shopify em 24 de outubro; uma espera obrigatória de 10 dias significa que os registros atrasados devem estar removidos até 3 de novembro.   

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.