Keystone、顧客の氏名・住所の流出を確認 リカバリーフレーズは無事

ハードウェアウォレット（秘密鍵をインターネットから切り離した端末で保管するウォレット）メーカーのKeystoneは韓国時間10月25日未明、公式Xアカウントで、公式サイトに第三者が不正アクセスし顧客の配送情報を取得したと明らかにした。氏名・連絡先・配送先住所・注文内容が流出した一方、ウォレットのリカバリーフレーズや秘密鍵、決済カード情報は流出していないとしている。Keystoneは顧客に謝罪し、影響を受けた顧客にメールで通知しているという。

Shopifyの記録を照合して確認

Keystoneによると、不正アクセスを最初に検知したのは20日だった。同社はオンラインストアを運営するShopifyのAPI（プログラム同士がデータをやり取りする仕組み）の活動記録を照合し、23日に第三者が顧客の配送情報を取得したと結論づけた。検知から確認までに3日かかったことになる。

Keystoneは正式発表に先立ち、Xユーザーの報告に返信していた。韓国時間24日午後2時8分、Xで報告への謝意を示し「緊急調査」を始めたと答え、約13時間後の25日午前2時59分に流出を正式に認めた。同社はアクセスを遮断して脆弱性を修正し、調査を進めているという。影響を受けた顧客数は公表しておらず、詳しい報告書を近く公表するとしている。

流出したもの、守られたもの

Keystoneが明らかにした流出項目は、氏名、連絡先、配送先住所、注文内容（購入品目と価格）だ。一方、決済カード・銀行情報、リカバリーフレーズ（シードフレーズ）、秘密鍵、ウォレットのパスワードは流出していないとしている。

Keystoneは、この情報を入手した詐欺師が電話・SMS・メール・郵便でKeystoneを装い、返金や端末交換、注文や配送先住所に関する問題の解決を口実に連絡してくる恐れがあるとして、「いずれも当社からのものではない」と注意を促した。

実際になりすましの連絡を受けたという顧客も現れた。The Blockによると、Xユーザーの「PEPE_Whale69」は、カナダ・モントリオール警察の番号を装った電話を受け、相手がAmazon・eBay・Keystoneという名前に心当たりがあるかを尋ね、2024年のKeystoneの注文と一致する情報を把握していたと述べた。このユーザーは、Keystoneより先にXで流出の可能性を指摘した人物でもある。

「180日後に削除」の約束は守られたか

Keystoneはこれまで配送情報の保護を強みとして打ち出してきた。公式サイトの「プライバシーに関する約束（Privacy Promises）」ページには「すべての配送情報は注文から180日後に自動的に削除される」と記載され、配送完了直後の即時削除も依頼できると案内している。今年1月5日にはXで注文から180日後に配送データを完全に削除すると投稿し、3月8日には他のハードウェアウォレットと違い配送情報を遅くとも180日以内に削除すると強調した。

ただ、運営会社Yanssie HK Limited名義で2021年5月15日に最終更新されたプライバシーポリシーの基準はやや異なる。同ポリシーは、注文情報をShopifyの方針に沿って保管し、「直近180日以内に注文していない顧客」の注文情報をすべて消去するとしている。

The Blockによると、ある顧客はXで2年以上前に購入したのに流出通知のメールを受け取ったと述べ、別の顧客は最後の注文から214日が経っていたと書き込んだ。The Blockはこれらの主張を確認できなかったとしており、Keystoneも180日削除の原則が実際に守られていたかについてはまだ説明していない。Keystoneは香港に所在地を置く企業で、MetaMask・OKX Web3 Wallet・Zcashなどを戦略パートナーとして紹介している。