تعهد ييشي وانغ، مؤسس OneKey، بحذف بيانات العملاء خلال 30 يومًا، عقب إقرار شركة Keystone المنافسة المصنّعة لمحافظ الأجهزة بفشل نظامها الذي يَعِد بالحذف خلال 180 يومًا، وذلك بعد اختراق كشف سجلات ما يقرب من 26 ألف مشترٍ.

أشار مركز مساعدة Keystone إلى أن Shopify تتولى الحذف النهائي لسجلات المستخدمين. ويكشف هذا الإفصاح عن خلل أمني في متاجر Shopify وشركات الخدمات اللوجستية، خارج نطاق سيطرة مصنّعي المحافظ مثل OneKey وKeystone، رغم تعهد OneKey بالحذف خلال 30 يومًا.

لماذا تقلّص OneKey فترة الاحتفاظ ببياناتها

أكد ييشي وانغ من OneKey يوم الثلاثاء أن الشركة المصنعة لمحافظ الأجهزة تجري تدقيقًا لنظامها الأمني الخاص، بعد أن كشفت الاختراقات الأخيرة وهجمات سلاسل التوريد عن ثغرات أمنية في القطاع الذي تعمل فيه.

وشدد وانغ على أن هذه الخطوة احترازية، وكتب أن «OneKey لم تتعرض لأي حادث أمني». بل إن قرار تحديد الاحتفاظ بالبيانات بـ30 يومًا هو استجابة مباشرة لما حدث من إخفاقات في أماكن أخرى.

يكمن سبب تقليص فترة الاحتفاظ بالبيانات في أن كمية بيانات العملاء المعرّضة للكشف في حالات الاختراق تزداد كلما طالت مدة احتفاظ المورّد بها.

ما الذي تسبب في اختراق Keystone؟

كشفت Keystone أن النظام الذي يحذف بيانات العملاء تلقائيًا عند انتهاء فترة الاحتفاظ بها البالغة 180 يومًا توقف عن العمل من دون إطلاق أي إنذارات. وقالت الشركة: «أخفقنا في الوفاء بالتزامنا بحذف بيانات العملاء في الوقت المحدد، ونتحمل مسؤولية هذا الإخفاق».

وجدت Keystone أن 25,964 سجلًا لا تزال تتضمن بيانات شخصية، منها الأسماء وعناوين الشحن وبيانات الاتصال وسجلّات المشتريات، وذلك خلال مراجعة 51,083 سجلًا لمشترين عبر Shopify. ويبدو أن البيانات التي يعود تاريخها إلى عام 2024 ظلت محفوظة، متجاوزةً بكثير حد الـ180 يومًا الذي أشارت إليه الشركة بعد أن علم عملاء Ledger في يناير 2026 بتسرّب لدى شريكها في التجارة الإلكترونية Global-e.

وعثر المحققون على تفاصيل حساسة في 12,873 سجلًا إضافيًا لعمليات دفع غير مكتملة.

واستجابةً لذلك، خفّضت Keystone الآن فترة الاحتفاظ بالبيانات إلى 90 يومًا.

وكشفت Keystone أيضًا في 26 أكتوبر أن المهاجمين سرقوا كذلك مفتاح WebAuth الذي تستخدمه أجهزتها لإثبات أصالتها. وعُزي الاختراق إلى ثغرة في أداة مراقبة تابعة لجهة خارجية، أتاحت للمتسللين رفع مستوى صلاحيات وصولهم. ورصدت Keystone النشاط للمرة الأولى في 20 أكتوبر.

نظرًا إلى أن المفتاح يُثبّت في كل جهاز أثناء التصنيع ولا يمكن استبداله، تعتزم Keystone إتلاف جميع الوحدات الـ18,835 الموجودة في المخزون والمزوّدة به. وستُزوّد المحافظ الجديدة بمفتاح بديل.

أوقفت الشركة شحن الطلبات المعلّقة عبر موقعها الإلكتروني، وانتقلت إلى نظام الطلبات المسبقة.

لا تكون وعود الحذف أفضل من الشركاء الذين يحتفظون بالبيانات

ومن الجدير بالذكر أن مصنّعي محافظ الأجهزة ليسوا الجهة الوحيدة التي تحتفظ ببيانات العملاء. فمنصات التجارة الإلكترونية وشركاء الشحن يتعاملون أيضًا مع أسماء العملاء وعناوينهم وسجلّات طلباتهم، وهذا المستوى هو موضع معظم الاختراقات الأخيرة.

وصل تسرّب بيانات Trezor إلى 81,000 عميل، بعدما أخفق شريك الشحن ShipMonk في حذف السجلات رغم تأكيداته الكتابية المتكررة. وكشفت SafePal بيانات نحو 39,798 عميلًا بسبب ثغرة في تتبع الطلبات، وخفّضت منذ ذلك الحين فترة الاحتفاظ ببياناتها إلى 90 يومًا. وأكدت Ledger أن أجهزة أعيد بيعها من CryptoBilis كانت تخفي شرائح تلتقط عبارات الاسترداد. وقدّرت Cryptopolitan، نقلًا عن باحثين في السلسلة، الخسائر بأكثر من 86 مليون دولار.

إذا كنت تقرأ هذا، فأنت متقدّم بالفعل. واصل التقدّم مع نشرتنا الإخبارية.