Le fabricant de portefeuilles matériels Keystone a confirmé qu'un tiers avait obtenu des informations d'expédition de clients depuis sa boutique en ligne propulsée par Shopify. L'entreprise a détecté un accès non autorisé à son site officiel le 20 octobre et, trois jours plus tard, a vérifié via l'activité API avec Shopify qu'un attaquant non identifié avait extrait des noms, des coordonnées, des adresses d'expédition et des informations de commande, y compris les articles achetés et leurs prix. Keystone affirme que les cartes de paiement, les coordonnées bancaires, les phrases de récupération, les clés privées et les mots de passe des portefeuilles n'ont pas été exposés.
Pourquoi c'est important
Cette fuite va directement à l'encontre du marketing central de Keystone. L'entreprise a répété à plusieurs reprises que sa politique de suppression des données après 180 jours était un argument de vente, publiant sur X en janvier, le jour même où les clients de Ledger apprenaient une fuite chez le partenaire e-commerce de cette firme, que les données d'expédition sont « définitivement supprimées » 180 jours après une commande. Mais des clients affirment désormais que des données plus anciennes ont tout de même été exposées : un utilisateur a signalé une notification de fuite pour une commande passée il y a plus de deux ans, et un autre raconte qu'une personne pratiquant l'ingénierie sociale, munie des détails d'une commande de 2024, l'a appelé en usurpant le numéro de la police de Montréal, quelques jours avant la divulgation de Keystone. Le centre d'aide de l'entreprise elle-même précise que les enregistrements de ville et de pays ne sont jamais supprimés et que la suppression est gérée par Shopify.
L'incident survient également dans une période brutale pour les fabricants de portefeuilles matériels. Trezor a révélé une fuite chez ShipMonk touchant environ 81 000 clients, SafePal en a exposé près de 40 000 via une faille de suivi des commandes, et Ledger a confirmé que des appareils revendus par des revendeurs avaient été manipulés pour capturer les phrases de récupération, avec des pertes onchain estimées à plus de 86 millions de dollars.
Impact sur le marché
Le risque immédiat est le phishing, pas le vol de clés. Keystone met en garde contre des escrocs qui pourraient se faire passer pour l'entreprise par téléphone, SMS, e-mail ou courrier en proposant des remboursements ou des appareils de remplacement, et exhorte les clients à ne jamais saisir une phrase de récupération sur un appareil qu'ils n'ont pas commandé. L'entreprise n'a pas indiqué combien de clients sont touchés ni comment l'attaquant est entré, et un rapport détaillé est attendu dans les prochains jours.
Questions fréquemment posées
-
Quelles données client ont été exposées dans la fuite chez Keystone ?
Un tiers non identifié a obtenu des noms, des coordonnées, des adresses d'expédition et des détails de commandes, y compris les articles achetés et leurs prix, depuis la boutique en ligne propulsée par Shopify de Keystone. Keystone affirme que les cartes de paiement, les coordonnées bancaires, les phrases de…
-
Keystone a-t-elle enfreint sa politique de suppression des données après 180 jours ?
Plusieurs clients affirment que des données de commandes datant de plus de 180 jours ont été exposées, dont une commande passée il y a plus de deux ans. Le centre d'aide de Keystone précise que les enregistrements de ville et de pays ne sont jamais supprimés et que la suppression est gérée par Shopify. L'entreprise…
-
Comment l'attaquant a-t-il accédé à la boutique de Keystone ?
Keystone a détecté un accès non autorisé à son site le 20 octobre et confirmé le vol de données le 23 octobre après avoir vérifié l'activité API avec Shopify. L'entreprise n'a pas indiqué comment l'attaquant est entré ni s'il a été identifié.
-
Keystone est-elle le seul fabricant de portefeuilles matériels touché par une fuite de données cette année ?
Non. Trezor a révélé une fuite chez son partenaire logistique ShipMonk touchant environ 81 000 clients, SafePal en a exposé près de 40 000 via une faille de suivi des commandes, et Ledger a confirmé des appareils de revendeurs manipulés pour capturer les phrases de récupération, avec des pertes estimées à plus de 86…
-
Comment les clients de Keystone peuvent-ils se protéger des arnaques après la fuite ?
Keystone met en garde contre des escrocs qui pourraient se faire passer pour l'entreprise par téléphone, SMS, e-mail ou courrier en proposant des remboursements, des appareils de remplacement ou des corrections. Les clients ne doivent jamais saisir une phrase de récupération sur un appareil qu'ils n'ont pas commandé…
CryptoSlate
CoinTelegraph
WatcherGuru
WuBlockchain