A segurança das carteiras de hardware não depende apenas da frase de recuperação.
A Keystone divulgou a investigação sobre a invasão do seu site oficial: os atacantes exploraram uma vulnerabilidade numa ferramenta de monitoramento de dados de terceiros usada no site para obter privilégios elevados. Além de acessarem informações de clientes, também obtiveram a chave WebAuth usada para verificar a autenticidade dos dispositivos — o que, em teoria, permitiria fabricar dispositivos falsificados aprovados na verificação oficial.
Medidas adotadas:
1. A chave antiga deixou de ser usada na produção, e todas as 18.835 unidades em estoque que a utilizam serão destruídas;
2. Os pedidos feitos no site oficial que ainda não foram enviados foram suspensos, e as vendas passarão a ser feitas por pré-venda;
3. Os dispositivos recebidos até 20 de outubro e aprovados na verificação podem ser usados normalmente; os dispositivos com a chave antiga recebidos depois dessa data, mesmo que sejam aprovados, devem ser verificados adicionalmente junto ao suporte ao cliente;
4. A empresa não pedirá aos usuários que devolvam os dispositivos.
Quanto aos dados, o incidente envolveu 25.964 registros de compras do Shopify que ainda continham informações pessoais, além de 12.873 registros de checkouts com pagamentos não concluídos. Devido a uma falha na ferramenta de exclusão automática, algumas informações não foram apagadas conforme a política de 180 dias. A Keystone reduziu o período de retenção para 90 dias.
A boa notícia é que frases de recuperação, chaves privadas e informações de pagamento não foram expostas. Ainda assim, os usuários devem ficar atentos a tentativas de phishing direcionadas, que podem usar nomes, endereços e informações de pedidos. Comprar uma carteira de hardware no site oficial não significa necessariamente estar totalmente seguro.
#Keystone #硬件钱包 #Cibersegurança
A Keystone divulgou a investigação sobre a invasão do seu site oficial: os atacantes exploraram uma vulnerabilidade numa ferramenta de monitoramento de dados de terceiros usada no site para obter privilégios elevados. Além de acessarem informações de clientes, também obtiveram a chave WebAuth usada para verificar a autenticidade dos dispositivos — o que, em teoria, permitiria fabricar dispositivos falsificados aprovados na verificação oficial.
Medidas adotadas:
1. A chave antiga deixou de ser usada na produção, e todas as 18.835 unidades em estoque que a utilizam serão destruídas;
2. Os pedidos feitos no site oficial que ainda não foram enviados foram suspensos, e as vendas passarão a ser feitas por pré-venda;
3. Os dispositivos recebidos até 20 de outubro e aprovados na verificação podem ser usados normalmente; os dispositivos com a chave antiga recebidos depois dessa data, mesmo que sejam aprovados, devem ser verificados adicionalmente junto ao suporte ao cliente;
4. A empresa não pedirá aos usuários que devolvam os dispositivos.
Quanto aos dados, o incidente envolveu 25.964 registros de compras do Shopify que ainda continham informações pessoais, além de 12.873 registros de checkouts com pagamentos não concluídos. Devido a uma falha na ferramenta de exclusão automática, algumas informações não foram apagadas conforme a política de 180 dias. A Keystone reduziu o período de retenção para 90 dias.
A boa notícia é que frases de recuperação, chaves privadas e informações de pagamento não foram expostas. Ainda assim, os usuários devem ficar atentos a tentativas de phishing direcionadas, que podem usar nomes, endereços e informações de pedidos. Comprar uma carteira de hardware no site oficial não significa necessariamente estar totalmente seguro.
#Keystone #硬件钱包 #Cibersegurança