Keystone Hardware Wallet : données clients divulguées après piratage de son site web

Keystone Hardware Wallet, fabricant de portefeuilles matériels, indique qu’un tiers a eu accès à des données clients fin octobre via le site officiel. L’entreprise a découvert cet accès non autorisé le 20 octobre et a confirmé quatre jours plus tard, après avoir contrôlé l’activité de l’API via Shopify, que des données d’expédition de clients avaient été dérobées. Keystone présente ses excuses et met en garde les utilisateurs concernés contre d’éventuelles tentatives d’escroquerie à la suite de l’incident.

En bref :

• Des noms, coordonnées, adresses de livraison et détails de commande ont été dérobés lors de cette fuite de données.
• Les mots de passe, données de paiement, phrases de récupération et clés privées ne sont pas concernés.
• Keystone met en garde contre les escrocs qui se font passer pour des employés de l’entreprise.

Quelles données ont exactement fuité ?

Selon Keystone, des noms, coordonnées, adresses de livraison et détails de commande, comme les produits achetés et leurs prix, sont tombés entre les mains de tiers. Les informations financières sensibles ont été épargnées : les données de carte de paiement, les coordonnées bancaires, les phrases de récupération, les clés privées et les mots de passe des portefeuilles n’ont pas été exposés.

La fuite résulte d’une vulnérabilité du site. Après avoir contrôlé l’activité de l’API via la plateforme de commerce en ligne Shopify, Keystone a pu confirmer le 23 octobre que des données clients avaient bien été volées. L’accès a depuis été bloqué et la vulnérabilité corrigée. Les clients concernés sont informés par e-mail.

Mise en garde contre les escrocs qui imitent Keystone

Keystone avertit ses clients que des escrocs peuvent se faire passer pour des employés de l’entreprise, par téléphone, SMS, e-mail ou courrier. Ils proposeraient notamment des remboursements, des appareils de remplacement ou de prétendues solutions à des problèmes de commande et d’adresse. Keystone affirme catégoriquement que de tels messages ne proviennent pas de l’entreprise.

L’entreprise appelle les utilisateurs à ne jamais communiquer leur phrase de récupération ou leurs clés privées, et à ne jamais saisir une phrase de récupération sur un appareil qu’ils n’ont pas commandé eux-mêmes. Keystone ne les demande d’ailleurs jamais. Il est conseillé aux clients de toujours saisir manuellement l’adresse du site et de ne pas cliquer sur les liens contenus dans des messages inattendus.

Keystone annonce la publication prochaine d’un rapport détaillé sur l’incident. Dans l’intervalle, l’entreprise conseille à ses clients de consulter uniquement les canaux officiels et, en cas de doute, de prendre contact via support@keyst.one.