提供された報告によると、キーストーンは10月20日に不正アクセスを検知し、10月23日に確認したことを受け、顧客データに関するセキュリティインシデントを公表した。流出したとされる情報は氏名、連絡先、配送先住所、注文詳細で、クレジットカード情報、銀行情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワードは侵害されていないとしている。

キーストーンが説明する流出情報

入手可能な報告では、これは鍵情報の流出ではなく顧客データの侵害と位置付けられている。流出したとされる項目は、氏名、連絡先、配送先住所、注文詳細である。同じ説明でキーストーンは、クレジットカード情報、銀行情報、リカバリーフレーズ、秘密鍵、ウォレットのパスワードは侵害されていないとした。

この区別は、読者にとって最も重要な点を先に明確にする。すなわち、ウォレットを直接制御する秘密情報が漏えいした事案とは説明されていない。ただし、実在の本人情報や住所とハードウェアウォレットの購入履歴を結び付け得るため、報告されたデータの組み合わせは依然として機微な情報だ。

同報告によれば、キーストーンはアクセスを遮断して脆弱性を修正し、調査を開始するとともに、顧客へメールで通知した。影響を受けた人数は明らかにしていない。

過去の購入者への通知がデータ保持を巡る疑問を生む理由

現時点の証拠だけでは、一部の過去の顧客がなぜ通知対象に含まれたのかは分からない。提供された報告では、2年以上前に端末を購入した顧客にも侵害通知が届いたとされる。一方、キーストーンのヘルプデスクに関する検索結果の抜粋には、同社が配送データの保持期間を180日に短縮し、その後データを消去すると記されている。

これは限定的ながら未解決の疑問を生むには十分だが、キーストーンが自社方針に違反したことを示すには足りない。ヘルプデスクのページ全文は確認されておらず、掲載日、適用範囲、対象となるデータ区分はいずれも不明確である。また、過去の購入者への通知が、180日という記載で言及されたものと同じ記録に関係するかも分かっていない。

実務的に見れば、論点は明確だ。読者は、はるか以前の購入に結び付く記録がなぜなお通知対象の母集団に含まれていたのかを問うことができる。ただし、それがポリシー違反、別の種類の保存記録、あるいは検索結果の抜粋には表れない後日の変更のいずれを反映するのかは、現段階では判断できない。

侵害がキーストーン利用者に意味すること

秘密鍵の流出は報告されていないものの、今回のデータは本人情報、所在地、ハードウェアウォレットの購入履歴を結び付けるため、重大な問題である。フィッシングメール、偽のサポートメッセージ、配送を装う詐欺、その他のなりすましを、より信じやすいものにしかねない。

したがって、当面のリスクはウォレットの直接乗っ取りとは性質が異なる。提供された報告からは、影響を受けた顧客層やキーストーンがより詳細な説明を出すかについての情報を待つ間、まず個人データとソーシャルエンジニアリングの問題として扱うのが妥当といえる。

次に重要となるのは、影響対象の範囲を定義し、項目ごとの完全な影響範囲を確認し、過去の購入記録に関するデータ保持の疑問を明確にする、読みやすいキーストーンのインシデント通知または顧客向け注意喚起だろう。