رخنه امنیتی Keystone: افشای اطلاعات مشتریان و نابودی ۱۸ هزار کیف پول سخت‌افزاری
شرکت Keystone، سازنده کیف پول‌های سخت‌افزاری، تأیید کرد که هکرها با سرقت یک کلید احراز هویت دستگاه، اطلاعات شخصی ۲۵,۹۶۴ مشتری را به سرقت برده‌اند. این اتفاق شرکت را مجبور به نابودی ۱۸,۸۳۵ دستگاه و تعلیق ارسال سفارش‌ها کرده است.
بر اساس اعلامیه امنیتی شرکت Keystone در ۲۶ اکتبر، مهاجمان در تاریخ ۲۰ اکتبر با بهره‌برداری از یک آسیب‌پذیری در ابزار نظارت داده شخص ثالث، به وب‌سایت رسمی این شرکت دسترسی غیرمجاز پیدا کردند. این حمله به آن‌ها اجازه داد تا سوابق مشتریان و کلید مورد استفاده برای تأیید اصالت دستگاه‌های Keystone را به دست آورند.
این شرکت اعلام کرد که عبارات بازیابی، کلیدهای خصوصی، اطلاعات کاربری کیف پول، اطلاعات بانکی و شماره‌های شناسایی دولتی به خطر نیفتاده‌اند. با این حال، کلید احراز هویت سرقت‌شده می‌تواند به مهاجمان اجازه دهد دستگاه‌های تقلبی تولید کنند که بتوانند بررسی‌های رسمی اصالت Keystone را با موفقیت پشت سر بگذارند.
Keystone استفاده از کلید به سرقت رفته را در فرآیند تولید متوقف کرده و آن را با یک کلید جدید جایگزین خواهد کرد. موجودی فعلی انبار که حاوی کلید قدیمی است نابود خواهد شد و سفارش‌های در حال انتظار تا زمان آماده شدن دستگاه‌های جایگزین، معلق باقی می‌مانند.
پیامدهای رخنه کلید احراز هویت کیستون
این اعتبارنامه سرقت‌شده که با نام کلید WebAuth شناخته می‌شود، در طول فرآیند تولید در کیف پول‌های سخت‌افزاری Keystone تعبیه می‌شود و زمانی که مشتریان دستگاه‌های خود را از طریق وب‌سایت احراز هویت شرکت بررسی می‌کنند، مورد استفاده قرار می‌گیرد.
Keystone توضیح داد که این کلید پس از نصب قابل حذف یا بازنویسی نیست. اگرچه این کلید در تولید عبارات بازیابی، استخراج کلیدهای خصوصی یا امضای تراکنش‌ها نقشی ندارد، اما افشای آن مشکلی جدی در فرآیند تأیید دستگاه شرکت ایجاد می‌کند.
مهاجمانی که این کلید را در اختیار دارند، به طور بالقوه می‌توانند کیف پول‌های تقلبی تولید کنند که قادر به گذراندن بررسی‌های احراز هویتی باشند که مشتریان معمولاً برای تأیید قانونی بودن دستگاه‌های خود از آن استفاده می‌کنند.
به عنوان یک اقدام احتیاطی، Keystone تمام ۱۸,۸۳۵ دستگاه موجود در انبار خود را که حاوی کلید به سرقت رفته هستند، نابود خواهد کرد. تولید به استفاده از یک کلید احراز هویت جایگزین تغییر یافته و شرکت ارسال سفارش‌های ثبت‌شده از طریق وب‌سایت خود را به حالت تعلیق درآورده است.
فروش تا زمان از سرگیری تولید و ارسال، از طریق مدل پیش‌خرید ادامه خواهد یافت.
Keystone اعلام کرد دستگاه‌هایی که قبل از ۲۰ اکتبر تحویل داده شده‌اند، در صورت گذراندن مراحل احراز هویت، برای استفاده ایمن هستند. با این حال، به مشتریانی که دستگاه‌های خود را پس از این تاریخ دریافت کرده‌اند و دستگاهشان حاوی کلید قدیمی است، توصیه شده قبل از استفاده برای تأیید اضافی با پشتیبانی تماس بگیرند.
این شرکت گزینه درخواست بازگرداندن کیف پول‌ها توسط مشتریان را رد کرده و هشدار داده است که هر کسی که به بهانه فراخوان رسمی، درخواست بازگرداندن دستگاه‌ها را داشته باشد، باید به عنوان یک کلاهبردار در نظر گرفته شود.
افشای اطلاعات شخصی حدود ۲۶ هزار خریدار
تحقیقات Keystone نشان داد که ۵۱,۰۸۳ رکورد خرید مرتبط با فروشگاه رسمی Shopify این شرکت وجود داشته است، اگرچه اطلاعات شخصی مربوط به ۲۵,۱۱۹ از این رکوردها قبل از حمله پاک شده بود.
۲۵,۹۶۴ رکورد باقی‌مانده حاوی نام مشتریان، اطلاعات تماس، آدرس‌های پستی و جزئیات سفارش خریدهای انجام‌شده بین سال‌های ۲۰۲۴ تا ۲۰۲۶ بوده است.
محققان همچنین ۱۲,۸۷۳ رکورد پرداخت ناقص را شناسایی کردند که حاوی اطلاعات شخصی ارسال‌شده توسط مشتریانی بود که هرگز پرداخت را تکمیل نکرده بودند.
Keystone اعلام کرد که رویه‌های نگهداری داده‌های این شرکت در این افشا نقش داشته است، زیرا یک ابزار حذف خودکار نتوانسته بود برخی از سوابق مشتریان را در دوره ۱۸۰ روزه تعیین‌شده توسط شرکت حذف کند.
این شرکت اذعان کرد که نتوانسته بود درخواست‌های حذف ناموفق را به موقع شناسایی کند و این امر باعث شده اطلاعات برای مدتی طولانی‌تر از حد مجاز ذخیره شوند.
پس از این تحقیقات، Keystone دوره نگهداری داده‌های مشتریان خود را به ۹۰ روز کاهش داد و در ۲۴ اکتبر درخواست‌های حذف رکوردهای خرید منقضی‌شده را به Shopify ارسال کرد.
اقدامات امنیتی و اطلاع‌رسانی به مشتریان
Keystone اعلام کرد که در ۲۰ اکتبر دسترسی غیرمجاز را مسدود و عملکردهای حساس وب‌سایت را غیرفعال کرده و سپس آسیب‌پذیری را برطرف و تحقیقات قانونی را آغاز کرده است.
مشتریان آسیب‌دیده اعلان‌های ایمیلی جداگانه دریافت خواهند کرد و یک صفحه جستجوی برنامه‌ریزی‌شده به کاربران امکان می‌دهد بررسی کنند که آیا اطلاعاتشان افشا شده است یا خیر.
این شرکت به کاربران در مورد پیام‌هایی که پیشنهاد انتقال کیف پول، تأیید دارایی یا کمک به تحقیقات را می‌دهند، هشدار داده و تأکید کرده است که این حادثه نیازی به انتقال ارزهای دیجیتال توسط صاحبان فعلی ندارد.
Keystone متعهد شده است که کنترل‌های دسترسی به داده‌ها، مدیریت کلید احراز هویت و رویه‌های حذف خود را به عنوان بخشی از یک ممیزی امنیتی بازبینی کند. گزارش‌های لازم به نهادهای نظارتی و انتظامی در اتحادیه اروپا، بریتانیا و سایر حوزه‌های قضایی ارسال شده است.
