キーストーン、端末の真正性認証キーも流出 在庫1万8835台を廃棄

ハードウェアウォレット（秘密鍵をインターネットから切り離した端末に保管するウォレット）メーカーのキーストーン（Keystone）は、先週のウェブサイト侵害で顧客情報だけでなく、端末が本物かどうかを確認する認証キーまで奪われたと明らかにした。同社は韓国時間10月26日夜に公式Xへ投稿した事故報告で、このキーが入った在庫1万8835台を廃棄し、公式サイトで受けた注文の出荷をすべて止めたとしている。25日に配送情報の流出を初めて認めた翌日、被害の範囲が端末にまで広がった。

工場で書き込まれ、消せない真正性キー

キーストーンによると、攻撃者はウェブサイトが使っていた外部のデータ監視ツールの脆弱性を突いて権限を昇格させ、顧客情報の一部と端末認証キーを入手した。同社はこのキーを、公式サイトの端末認証ページで本物かどうかを確かめるWebAuthの手続きに使っている。

このキーは製造時に端末へ書き込まれ、消去も書き換えもできない。リカバリーフレーズの生成や秘密鍵の導出、取引の署名には使われないと同社は説明した。問題は真正性の判定そのものだ。キーストーンは、キーが漏れれば攻撃者が認証を通過する偽造端末を作れるようになり、そうした端末が顧客に販売・配送されて本物として使われれば、資産の盗難につながりうると明らかにした。

在庫1万8835台は廃棄、出荷は新キー端末の生産完了後に

キーストーンは直ちに生産ラインで旧キーの使用をやめ、今後製造する端末にはすべて新しい認証キーを入れるとした。旧キー入りの在庫1万8835台は販売も配送もせず廃棄する。公式サイトの未出荷注文は出荷を停止し、新キー端末の生産が終わるまで販売は予約注文に切り替える。

既存ユーザーへの案内は、不正アクセスに初めて気づいた10月20日を境に分かれる。それ以前に受け取った端末は認証機能に影響がなく、認証を通れば本物とみなしてそのまま使えるとした。20日以降に受け取った旧キー端末は、認証を通っても偽物の可能性を完全には排除できないとして、認証ページの案内に従ってカスタマーサポートで追加確認を受けてから使うよう呼びかけた。

「180日後に削除」の約束、自動ツールの不具合で守れず

個人情報の被害規模も初めて示された。キーストーンによると、今回の事故に関係するのは公式サイトのShopify（ショッピファイ）ストアで生じた購入記録5万1083件だ。うち2万5119件は保管ポリシーに基づき個人情報がすでに消去されており、残る2万5964件（2024〜2026年）に氏名・連絡先・配送先住所・注文情報が残っていた。アマゾンなど他の販売チャネルの購入情報は影響を受けていない。決済まで進まなかった注文記録1万2873件にも氏名・連絡先・配送情報が含まれていたため、対応の対象に加えた。

同社がウェブサイトで掲げてきた「注文から180日後に配送情報を削除」との約束は守られていなかった。キーストーンは、Shopifyで記録を1件ずつ消すのは非効率なため一括削除用の自動ツールを作ったが、「ツールが安定して動作しなかった」とし、一部の削除作業の失敗を適時に把握できなかったと認めた。同社は24日にShopifyへ期限切れデータの削除を申請し、10日間の待機期間を経て11月3日に削除が完了する予定だとしている。個人情報の保管期間は180日から90日に短縮する。被害を受けた顧客にはメールで個別に通知し、流出の有無を確認できる照会ページも開設する予定だ。EU・英国などの当局にはすでに報告したと明らかにした。