El fabricante de carteras hardware Keystone ha confirmado que un tercero obtuvo información de envío de clientes de su tienda online impulsada por Shopify. La empresa detectó un acceso no autorizado a su sitio web oficial el 20 de octubre y, tres días después, verificó mediante actividad de API con Shopify que un atacante no identificado había extraído nombres, datos de contacto, direcciones de envío e información de pedidos, incluidos los artículos comprados y sus precios. Keystone asegura que las tarjetas de pago, los datos bancarios, las frases de recuperación, las claves privadas y las contraseñas de las carteras no quedaron expuestos.
Por qué importa
La filtración contradice directamente el marketing central de Keystone. La compañía presentó repetidamente su política de borrado de datos a los 180 días como un argumento de venta, publicando en X en enero, el mismo día en que los clientes de Ledger supieron de una filtración en el socio de comercio electrónico de esa firma, que los datos de envío se "borran permanentemente" 180 días después de un pedido. Pero ahora los clientes afirman que datos antiguos también quedaron expuestos: un usuario reportó una notificación de brecha por un pedido realizado hace más de dos años, y otro cuenta que un ingeniero social con detalles de un pedido de 2024 lo llamó suplantando el número de la policía de Montreal, días antes de la revelación de Keystone. El propio centro de ayuda de la empresa señala que los registros de ciudad y país nunca se eliminan y que el borrado lo gestiona Shopify.
El incidente se produce además en un momento duro para los fabricantes de carteras hardware. Trezor reveló una brecha en ShipMonk que afectó a unos 81.000 clientes, SafePal expuso casi 40.000 a través de una falla de seguimiento de pedidos, y Ledger confirmó dispositivos vendidos por revendedores manipulados para capturar frases de recuperación, con pérdidas onchain estimadas por encima de 86 millones de dólares.
Impacto en el mercado
El riesgo inmediato es el phishing, no el robo de claves. Keystone advierte que los estafadores pueden hacerse pasar por la empresa por teléfono, mensaje de texto, correo electrónico o correo postal ofreciendo reembolsos o dispositivos de reemplazo, e insta a los clientes a no introducir nunca una frase de recuperación en un dispositivo que no hayan pedido. La compañía no ha dicho cuántos clientes están afectados ni cómo entró el atacante, y se espera un informe detallado en los próximos días.
Preguntas frecuentes
-
¿Qué datos de clientes quedaron expuestos en la filtración de Keystone?
Un tercero no identificado obtuvo nombres, datos de contacto, direcciones de envío y detalles de pedidos, incluidos los artículos comprados y sus precios, de la tienda online de Keystone impulsada por Shopify. Keystone asegura que las tarjetas de pago, los datos bancarios, las frases de recuperación, las claves…
-
¿Incumplió Keystone su política de borrado de datos a los 180 días?
Varios clientes afirman que datos de pedidos con más de 180 días quedaron expuestos, incluido uno realizado hace más de dos años. El centro de ayuda de Keystone señala que los registros de ciudad y país nunca se eliminan y que el borrado lo gestiona Shopify. La compañía no ha respondido públicamente si siguió su…
-
¿Cómo accedió el atacante a la tienda de Keystone?
Keystone detectó un acceso no autorizado a su sitio web el 20 de octubre y confirmó el robo de datos el 23 de octubre tras verificar la actividad de API con Shopify. La empresa no ha dicho cómo entró el atacante ni si este ha sido identificado.
-
¿Es Keystone el único fabricante de carteras hardware afectado por una filtración de datos este año?
No. Trezor reveló una brecha en su socio logístico ShipMonk que afectó a unos 81.000 clientes, SafePal expuso a casi 40.000 clientes a través de una falla de seguimiento de pedidos, y Ledger confirmó dispositivos de revendedores manipulados para capturar frases de recuperación, con pérdidas estimadas por encima de 86…
-
¿Cómo pueden protegerse los clientes de Keystone de estafas tras la filtración?
Keystone advierte que los estafadores pueden hacerse pasar por la empresa por teléfono, mensaje de texto, correo electrónico o correo postal ofreciendo reembolsos, dispositivos de reemplazo o soluciones. Los clientes no deben introducir nunca una frase de recuperación en un dispositivo que no hayan pedido ni seguir…
CryptoSlate
CoinTelegraph
WatcherGuru
WuBlockchain