Z przekazanego raportu wynika, że Keystone ujawnił incydent bezpieczeństwa dotyczący danych klientów po tym, jak 20 października odnotowano nieuprawniony dostęp, a 23 października go potwierdzono. Ujawnione miały zostać imiona i nazwiska, dane kontaktowe, adresy dostawy oraz szczegóły zamówień. Firma zapewniła natomiast, że nie doszło do naruszenia danych kart płatniczych, danych bankowych, fraz odzyskiwania, kluczy prywatnych ani haseł do portfeli.

Jakie dane, według Keystone, wyciekły

Dostępny raport przedstawia zdarzenie jako naruszenie danych klientów, a nie wyciek materiału kryptograficznego. Wśród ujawnionych pól wymieniono imiona i nazwiska, dane kontaktowe, adresy dostawy oraz szczegóły zamówień. W tym samym komunikacie Keystone podał, że nie naruszono danych kart płatniczych, informacji bankowych, fraz odzyskiwania, kluczy prywatnych ani haseł do portfeli.

To rozróżnienie odpowiada na najważniejsze pytanie: incydentu nie opisano jako wycieku sekretów bezpośrednio kontrolujących portfel. Mimo to zestaw ujawnionych danych jest wrażliwy, ponieważ może łączyć rzeczywistą tożsamość i adres fizyczny z zakupem portfela sprzętowego.

Ten sam raport podaje, że Keystone zablokował dostęp, usunął lukę, wszczął dochodzenie i powiadomił klientów e-mailem. Nie ujawniono liczby osób dotkniętych incydentem.

Dlaczego powiadomienia dla dawnych nabywców rodzą pytania o retencję danych

Obecny materiał nie wyjaśnia, dlaczego powiadomieniami objęto niektórych dawnych klientów. Z przekazanego raportu wynika, że zawiadomienia o naruszeniu otrzymali nabywcy, którzy kupili urządzenie ponad dwa lata wcześniej. Jednocześnie fragment wyników wyszukiwania w Helpdesk Keystone wskazuje, że firma skróciła okres przechowywania danych wysyłkowych do 180 dni, po których miały być one usuwane.

To wystarcza, by postawić wąskie, nierozstrzygnięte pytanie, ale nie dowodzi, że Keystone naruszył własną politykę. Nie przeanalizowano pełnej strony Helpdesku, dlatego nadal nie są jasne jej data, zakres ani kategorie danych, których dotyczyła. Nie wiadomo też, czy powiadomienia wysłane do dawnych nabywców dotyczyły tych samych zapisów, o których mowa w informacji o 180 dniach.

W praktyce wątpliwość jest konkretna: odbiorcy mogą zasadnie pytać, dlaczego dane powiązane ze znacznie starszymi zakupami nadal znalazły się w puli osób powiadomionych. Na obecnym etapie nie można jednak stwierdzić, czy świadczy to o naruszeniu polityki, przechowywaniu innej kategorii danych czy późniejszej zmianie, której nie widać we fragmencie wyników wyszukiwania.

Co naruszenie oznacza dla klientów Keystone

Sprawa pozostaje istotna mimo braku informacji o wycieku kluczy prywatnych, ponieważ ujawnione dane łączą tożsamość, lokalizację i zakupy portfeli sprzętowych. Może to zwiększyć wiarygodność e-maili phishingowych, fałszywych wiadomości od pomocy technicznej, oszustw związanych z dostawą i innych prób podszywania się.

Bezpośrednie ryzyko różni się więc od ryzyka przejęcia portfela. Przekazany raport uzasadnia traktowanie incydentu przede wszystkim jako problemu ochrony danych osobowych i socjotechniki, przy jednoczesnym oczekiwaniu na jaśniejsze informacje o grupach klientów objętych zdarzeniem oraz na pełniejsze wyjaśnienia Keystone.

Kolejną istotną aktualizacją byłby czytelny komunikat Keystone o incydencie lub poradnik dla klientów, określający grupę poszkodowanych, potwierdzający pełny zakres ujawnionych pól danych i wyjaśniający kwestię retencji zapisów dotyczących starszych zakupów.