يستحق هذا البلاغ عن الحادثة من Keystone أن يقرأه جميع مستخدمي محافظ الأجهزة بعناية: فالخطر الحقيقي لا يقتصر على ما إذا كانت العبارة الاستذكارية قد اتصلت بالإنترنت، بل يكمن أيضًا في احتمال نسخ مفتاح التحقق الذي «يثبت أصالة الجهاز».
استغل المهاجمون ثغرة في أداة مراقبة بيانات تابعة لجهة خارجية على الموقع الرسمي لـ Keystone لرفع مستوى صلاحياتهم، والحصول على معلومات بعض العملاء، وكذلك مفاتيح WebAuth المستخدمة للتحقق من أصالة الأجهزة. ونظريًا، قد يتمكن المهاجمون من صنع أجهزة مزيفة تجتاز التحقق الرسمي.
أوقفت Keystone إنتاج الأجهزة باستخدام المفاتيح القديمة، وستتلف 18,835 جهازًا في المخزون مزودًا بالمفاتيح القديمة، كما علّقت الطلبات التي لم تُشحن من الموقع الرسمي وحولت البيع إلى نظام الطلب المسبق. يمكن استخدام الأجهزة التي استُلمت واجتازت التحقق قبل 20 أكتوبر بصورة طبيعية؛ أما الأجهزة ذات المفاتيح القديمة التي يتم استلامها بعد 20 أكتوبر، فحتى إذا اجتازت التحقق، ينبغي التواصل مع خدمة العملاء لإجراء فحص إضافي. لن تطلب الشركة من المستخدمين إعادة الأجهزة، ولن تطلب منهم العبارة الاستذكارية.
والخبر الجيد أن العبارات الاستذكارية والمفاتيح الخاصة ومعلومات الدفع لم تتسرب. لكن تم الحصول على الأسماء وبيانات الاتصال وعناوين التسليم وتفاصيل الطلبات، وشمل ذلك 25,964 سجل شراء من Shopify لا تزال تتضمن معلومات شخصية، و12,873 سجلًا لعمليات دفع لم تكتمل. ينبغي للمستخدمين توخي الحذر خصوصًا من محاولات التصيد الموجّهة التي تنتحل صفة خدمة العملاء أو دعم ما بعد البيع أو شركات الشحن.
يمكن لمحافظ الأجهزة أن تبقى غير متصلة بالإنترنت، لكن المواقع الرسمية للعلامات التجارية والبرامج النصية التابعة لجهات خارجية وسلاسل التوريد تظل متصلة بالإنترنت دائمًا. فالأمن لا يبدأ أبدًا عند توصيل الجهاز بالطاقة فحسب.
#Keystone #硬件钱包 #الأمن_السيبراني
استغل المهاجمون ثغرة في أداة مراقبة بيانات تابعة لجهة خارجية على الموقع الرسمي لـ Keystone لرفع مستوى صلاحياتهم، والحصول على معلومات بعض العملاء، وكذلك مفاتيح WebAuth المستخدمة للتحقق من أصالة الأجهزة. ونظريًا، قد يتمكن المهاجمون من صنع أجهزة مزيفة تجتاز التحقق الرسمي.
أوقفت Keystone إنتاج الأجهزة باستخدام المفاتيح القديمة، وستتلف 18,835 جهازًا في المخزون مزودًا بالمفاتيح القديمة، كما علّقت الطلبات التي لم تُشحن من الموقع الرسمي وحولت البيع إلى نظام الطلب المسبق. يمكن استخدام الأجهزة التي استُلمت واجتازت التحقق قبل 20 أكتوبر بصورة طبيعية؛ أما الأجهزة ذات المفاتيح القديمة التي يتم استلامها بعد 20 أكتوبر، فحتى إذا اجتازت التحقق، ينبغي التواصل مع خدمة العملاء لإجراء فحص إضافي. لن تطلب الشركة من المستخدمين إعادة الأجهزة، ولن تطلب منهم العبارة الاستذكارية.
والخبر الجيد أن العبارات الاستذكارية والمفاتيح الخاصة ومعلومات الدفع لم تتسرب. لكن تم الحصول على الأسماء وبيانات الاتصال وعناوين التسليم وتفاصيل الطلبات، وشمل ذلك 25,964 سجل شراء من Shopify لا تزال تتضمن معلومات شخصية، و12,873 سجلًا لعمليات دفع لم تكتمل. ينبغي للمستخدمين توخي الحذر خصوصًا من محاولات التصيد الموجّهة التي تنتحل صفة خدمة العملاء أو دعم ما بعد البيع أو شركات الشحن.
يمكن لمحافظ الأجهزة أن تبقى غير متصلة بالإنترنت، لكن المواقع الرسمية للعلامات التجارية والبرامج النصية التابعة لجهات خارجية وسلاسل التوريد تظل متصلة بالإنترنت دائمًا. فالأمن لا يبدأ أبدًا عند توصيل الجهاز بالطاقة فحسب.
#Keystone #硬件钱包 #الأمن_السيبراني