Nhà sáng lập OneKey, Yishi Wang, cam kết xóa dữ liệu khách hàng trong vòng 30 ngày, sau khi đối thủ sản xuất ví phần cứng Keystone thừa nhận hệ thống xóa dữ liệu trong 180 ngày của hãng đã thất bại sau một vụ rò rỉ làm lộ gần 26.000 hồ sơ người mua.

Trung tâm hỗ trợ của Keystone cho biết Shopify chịu trách nhiệm xóa hồ sơ người dùng vĩnh viễn. Tiết lộ này cho thấy lỗ hổng bảo mật nằm ở cấp độ các cửa hàng Shopify và các công ty logistics, vượt ngoài tầm kiểm soát của các nhà sản xuất ví như OneKey và Keystone, bất chấp cam kết xóa dữ liệu trong 30 ngày của OneKey.

Vì sao OneKey rút ngắn thời gian lưu giữ dữ liệu

Hôm thứ Ba, Yishi Wang của OneKey xác nhận rằng nhà sản xuất ví phần cứng này đang kiểm tra hệ thống bảo mật của chính mình sau khi các vụ xâm nhập và tấn công chuỗi cung ứng gần đây phơi bày những lỗ hổng bảo mật trong lĩnh vực mà công ty hoạt động.

Wang nhấn mạnh rằng đây là biện pháp phòng ngừa, đồng thời viết rằng “OneKey KHÔNG gặp sự cố bảo mật nào”. Thay vào đó, quyết định giới hạn thời gian lưu giữ dữ liệu ở mức 30 ngày là phản ứng trực tiếp trước những sai sót xảy ra ở nơi khác.

Lý do rút ngắn thời gian lưu giữ dữ liệu là: nhà cung cấp giữ dữ liệu khách hàng càng lâu thì lượng dữ liệu khách hàng có nguy cơ bị lộ trong các vụ xâm nhập càng lớn.

Điều gì đã gây ra vụ xâm nhập Keystone?

Keystone tiết lộ rằng hệ thống tự động xóa dữ liệu khách hàng khi kết thúc thời hạn lưu giữ 180 ngày đã ngừng hoạt động mà không phát ra bất kỳ cảnh báo nào. Công ty cho biết: “Chúng tôi đã không thực hiện đúng cam kết xóa dữ liệu khách hàng đúng hạn và xin nhận trách nhiệm về sai sót này.”

Trong quá trình rà soát 51.083 hồ sơ người mua trên Shopify, Keystone phát hiện 25.964 hồ sơ vẫn chứa dữ liệu cá nhân, gồm tên, địa chỉ giao hàng, thông tin liên hệ và lịch sử mua hàng. Có vẻ như dữ liệu từ năm 2024 vẫn được lưu giữ, quá xa thời hạn 180 ngày mà công ty từng nêu bật sau khi khách hàng Ledger biết tin dữ liệu bị rò rỉ từ đối tác thương mại điện tử Global-e vào tháng 1 năm 2026.

Các điều tra viên phát hiện thông tin nhạy cảm trong 12.873 hồ sơ thanh toán chưa hoàn tất khác.

Để ứng phó, Keystone hiện đã rút ngắn thời gian lưu giữ dữ liệu xuống còn 90 ngày.

Ngày 26 tháng 10, Keystone cũng tiết lộ rằng những kẻ tấn công đã lấy được khóa WebAuth mà thiết bị của hãng sử dụng để chứng minh tính xác thực. Công ty truy ra vụ đột nhập bắt nguồn từ một lỗ hổng trong công cụ giám sát của bên thứ ba, cho phép kẻ xâm nhập nâng cao quyền truy cập. Keystone lần đầu phát hiện hoạt động này vào ngày 20 tháng 10.

Vì khóa được tích hợp vào từng thiết bị trong quá trình sản xuất và không thể ghi đè, Keystone dự định tiêu hủy toàn bộ 18.835 thiết bị trong kho có chứa khóa này. Các ví mới sẽ được trang bị khóa thay thế.

Công ty đã tạm dừng giao các đơn hàng còn tồn đọng trên trang web và chuyển sang hình thức đặt hàng trước.

Lời hứa xóa dữ liệu chỉ đáng tin cậy khi các đối tác đang lưu giữ dữ liệu thực hiện đúng cam kết

Đáng chú ý, các nhà sản xuất ví phần cứng không phải là bên duy nhất lưu giữ dữ liệu khách hàng. Các nền tảng thương mại điện tử và đối tác vận chuyển cũng xử lý tên, địa chỉ và lịch sử đơn hàng của khách hàng; đây chính là khâu xảy ra phần lớn các vụ xâm nhập gần đây.

Vụ rò rỉ dữ liệu của Trezor ảnh hưởng đến 81.000 khách hàng sau khi đối tác vận chuyển ShipMonk không xóa hồ sơ, bất chấp nhiều lần cam kết bằng văn bản. SafePal làm lộ dữ liệu của khoảng 39.798 khách hàng do một lỗ hổng trong tính năng theo dõi đơn hàng và sau đó đã rút thời gian lưu giữ dữ liệu xuống còn 90 ngày. Ledger xác nhận rằng các thiết bị được bán lại từ CryptoBilis có chứa chip ghi lại cụm từ khôi phục. Dẫn nguồn các nhà nghiên cứu trên chuỗi, Cryptopolitan ước tính thiệt hại vượt quá 86 triệu USD.

Nếu bạn đang đọc bài này, bạn đã đi trước một bước. Hãy tiếp tục cập nhật bằng cách đăng ký nhận bản tin của chúng tôi.