Keystone reveló un incidente de seguridad de datos de clientes luego de detectar un acceso no autorizado el 20 de octubre y confirmarlo el 23 de octubre, según el informe proporcionado. La información presuntamente expuesta incluye nombres, datos de contacto, direcciones de envío y detalles de pedidos; en cambio, no se habrían visto comprometidos los datos de tarjetas de pago, la información bancaria, las frases de recuperación, las claves privadas ni las contraseñas de las billeteras.

Qué datos dice Keystone que se expusieron

El informe disponible presenta el caso como una filtración de datos de clientes, no de material criptográfico. Los campos presuntamente expuestos fueron nombres, datos de contacto, direcciones de envío y detalles de pedidos. En el mismo comunicado, Keystone señaló que no se comprometieron los datos de tarjetas de pago, la información bancaria, las frases de recuperación, las claves privadas ni las contraseñas de las billeteras.

Esta distinción responde primero a la pregunta más importante para los lectores: el incidente no fue descrito como una exposición de los secretos que controlan directamente una billetera. Aun así, la combinación de datos reportada es sensible, pues puede vincular una identidad real y una dirección física con la compra de una billetera de hardware.

El mismo informe señala que Keystone bloqueó el acceso, corrigió la vulnerabilidad, abrió una investigación y notificó a los clientes por correo electrónico. No reveló cuántas personas resultaron afectadas.

Por qué las notificaciones a compradores antiguos plantean dudas sobre la retención

La evidencia actual no permite determinar por qué se incluyó presuntamente a algunos clientes antiguos. El informe proporcionado indica que compradores que adquirieron un dispositivo más de dos años antes recibieron avisos sobre la filtración, mientras que un fragmento de resultados de búsqueda del centro de ayuda de Keystone señala que la empresa había reducido el período de retención de datos de envío a 180 días y que los eliminaría después.

Esto basta para plantear una duda concreta aún no resuelta, pero no para demostrar que Keystone incumplió su propia política. No se revisó la página completa del centro de ayuda, por lo que siguen sin estar claros su fecha, alcance y las categorías de datos a las que aplica. Tampoco está claro si las notificaciones reportadas a compradores antiguos involucraron los mismos registros a los que se refiere el texto sobre los 180 días.

En términos prácticos, la discrepancia es específica: los lectores pueden preguntarse legítimamente cómo registros vinculados a compras mucho más antiguas seguían formando parte del grupo notificado. Lo que todavía no puede afirmarse es si ello refleja una infracción de la política, una categoría distinta de registros conservados o algún cambio posterior que no aparece en el fragmento.

Qué implica la filtración para los clientes afectados de Keystone

El incidente sigue siendo relevante aun sin una exposición reportada de claves privadas, porque los datos divulgados vinculan identidad, ubicación y compras de billeteras de hardware. Esto puede hacer más creíbles los correos de phishing, mensajes falsos de soporte, estafas relacionadas con entregas y otros intentos de suplantación.

Por tanto, el perfil de riesgo inmediato es diferente al de una toma directa de control de la billetera. El informe proporcionado respalda tratar primero este caso como un problema de datos personales e ingeniería social, mientras se espera mayor claridad sobre los grupos de clientes afectados y sobre si Keystone ofrecerá una explicación más completa del incidente.

La próxima actualización relevante sería un aviso de incidente o comunicado para clientes de Keystone, claro y accesible, que defina la cohorte afectada, confirme el alcance completo de los campos expuestos y aclare la cuestión de la retención relacionada con registros de compras antiguas.