OneKeyの創業者、Yishi Wang氏は、競合するハードウェアウォレットメーカーのKeystoneが、約2万6,000件の購入者記録が流出した情報漏えいを受け、180日間のデータ削除システムの不備を認めたことを受け、顧客データを30日以内に削除すると約束した。

Keystoneのヘルプセンターによると、ユーザー記録の最終的な削除はShopifyが行う。この説明により、OneKeyやKeystoneなどのウォレットメーカーの管理が及ばない、Shopifyのストアや物流企業のレベルにセキュリティ上の欠陥があることが明らかになった。OneKeyは30日以内の削除を約束しているにもかかわらずだ。

OneKeyがデータ保持期間を短縮する理由

OneKeyのYishi Wang氏は火曜日、最近の侵害やサプライチェーン攻撃によって業界のセキュリティ上の欠陥が明らかになったことを受け、ハードウェアウォレットメーカーである同社が自社のセキュリティシステムを監査していると明らかにした。

Wang氏は、この対応は予防措置だと強調し、「OneKeyではセキュリティインシデントは発生していません」と記した。データの保持期間を30日に制限する決定は、他社で起きた問題を受けた直接的な対応だ。

データの保持期間を短縮する理由は、ベンダーが顧客データを保管する期間が長くなるほど、侵害時に漏えいする可能性のある顧客データの量が増えるためだ。

Keystoneの侵害はなぜ起きたのか？

Keystoneによると、180日間のデータ保持期間が終了すると顧客データを自動削除するシステムが、何の警告も出さずに停止していたという。「顧客データを期限どおりに消去するという約束を果たせませんでした。この不備について責任を認めます」と同社は述べた。

KeystoneがShopifyの購入者記録51,083件を調査したところ、25,964件に氏名、配送先住所、連絡先、購入履歴などの個人データが残っていた。どうやら2024年以降のデータも保持されており、2026年1月にLedgerの顧客がECパートナーのGlobal-eでの情報漏えいを知った後、同社が強調した180日間の上限を大幅に超えていた。

調査担当者は、未払いのチェックアウト記録12,873件からも機微な情報を発見した。

これを受け、Keystoneはデータ保持期間を90日に短縮した。

Keystoneは10月26日、攻撃者が同社のデバイスの正規品証明に使われるWebAuthキーも持ち去ったと明らかにした。侵入の原因は、侵入者のアクセス権限の引き上げを可能にした、サードパーティ製監視ツールの脆弱性だった。同社が不審な活動を初めて確認したのは10月20日だった。

このキーは製造時に各デバイスに書き込まれ、上書きできないため、Keystoneは在庫にあるこのキーを搭載した18,835台すべてを廃棄する予定だ。新しいウォレットには交換用のキーが搭載される。

同社はウェブサイトで受け付けた未発送の注文の出荷を停止し、予約注文に切り替えた。

データ削除の約束は、データを預かるパートナー次第

注目すべき点として、顧客データを保持しているのはハードウェアウォレットメーカーだけではない。ECプラットフォームや配送パートナーも顧客の氏名、住所、注文履歴を扱っており、最近の情報漏えいの多くはこうした層で発生している。

Trezorでは、配送パートナーのShipMonkが書面で何度も約束したにもかかわらず記録を削除しなかったため、81,000人の顧客に情報漏えいが及んだ。SafePalでは注文追跡機能の欠陥により約39,798人の顧客情報が露出し、その後、データ保持期間を90日に短縮した。Ledgerは、CryptoBilisから再販されたデバイスに、リカバリーフレーズを記録するチップが隠されていたことを確認した。Cryptopolitanはオンチェーン調査員の情報を引用し、損失額は8,600万ドルを超えると推定した。

この記事を読んでいるあなたは、すでに一歩先を行っています。ニュースレターを購読して、その先を進みましょう。