Secondo il rapporto fornito, Keystone ha reso noto un incidente di sicurezza relativo ai dati dei clienti, dopo aver rilevato un accesso non autorizzato il 20 ottobre e averlo confermato il 23 ottobre. I dati potenzialmente esposti includono nomi, recapiti, indirizzi di spedizione e dettagli degli ordini; non sarebbero invece stati compromessi dati delle carte di pagamento, informazioni bancarie, frasi di recupero, chiavi private e password dei wallet.

Quali dati Keystone afferma siano stati esposti

Le informazioni disponibili descrivono l'episodio come una violazione dei dati dei clienti, non dei materiali crittografici delle chiavi. I campi indicati come esposti sono nomi, recapiti, indirizzi di spedizione e dettagli degli ordini. Nella stessa comunicazione, Keystone ha dichiarato che non sono stati compromessi dati delle carte di pagamento, informazioni bancarie, frasi di recupero, chiavi private e password dei wallet.

Questa distinzione risponde anzitutto alla domanda più importante per gli utenti: l'incidente non è stato descritto come un'esposizione dei segreti che consentono di controllare direttamente un wallet. Resta però una combinazione di dati sensibile, perché può collegare un'identità reale e un indirizzo fisico all'acquisto di un hardware wallet.

Lo stesso rapporto afferma che Keystone ha bloccato l'accesso, corretto la vulnerabilità, avviato un'indagine e informato i clienti via email. Non è stato comunicato il numero delle persone coinvolte.

Perché le notifiche agli acquirenti meno recenti pongono un interrogativo sulla conservazione dei dati

Le evidenze attuali non chiariscono perché siano stati inclusi alcuni clienti di vecchia data. Il rapporto fornito afferma che gli acquirenti che avevano acquistato un dispositivo oltre due anni prima hanno ricevuto notifiche della violazione, mentre un estratto dai risultati di ricerca dell'Helpdesk di Keystone indica che l'azienda aveva ridotto a 180 giorni il periodo di conservazione dei dati di spedizione, per poi cancellarli.

Questo basta a sollevare una specifica questione ancora senza risposta, ma non a dimostrare che Keystone abbia violato la propria policy. La pagina completa dell'Helpdesk non è stata esaminata; data, ambito e categorie di dati cui si applica restano quindi poco chiari. Non è inoltre chiaro se le notifiche segnalate agli acquirenti di vecchia data riguardassero gli stessi archivi descritti nel testo sui 180 giorni.

In termini pratici, il punto è preciso: è legittimo chiedersi come mai registrazioni relative ad acquisti molto più datati facessero ancora parte del gruppo destinatario delle notifiche. Non si può però ancora stabilire se ciò indichi una violazione della policy, la conservazione di una diversa categoria di dati o una modifica successiva non visibile nell'estratto.

Cosa comporta la violazione per i clienti Keystone coinvolti

L'episodio resta rilevante anche in assenza di una segnalata esposizione delle chiavi private, poiché i dati riportati collegano identità, ubicazione e acquisti di hardware wallet. Questo può rendere più plausibili email di phishing, falsi messaggi dell'assistenza, truffe legate alle consegne e altri tentativi di impersonificazione.

Il profilo di rischio immediato è quindi diverso da quello di una presa di controllo diretta del wallet. Il rapporto fornito suggerisce di trattare anzitutto l'episodio come un problema di dati personali e ingegneria sociale, in attesa di maggiori chiarimenti sui gruppi di clienti coinvolti e di un resoconto più completo dell'incidente da parte di Keystone.

Il prossimo aggiornamento realmente significativo sarebbe un avviso sull'incidente o una comunicazione ai clienti di Keystone facilmente consultabile, che definisca la platea interessata, confermi l'intera portata dei dati coinvolti e chiarisca la questione della conservazione delle registrazioni relative agli acquisti meno recenti.