Veille menaces / Fuite de données
Keystone : un attaquant emporte des données d'acheteurs et la clé qui prouve que ses portefeuilles matériels sont authentiques
Le fabricant de portefeuilles matériels Keystone a détecté le 20 octobre 2026 un accès non autorisé à son site officiel. L'attaquant a emporté 25 964 fiches d'acheteurs de sa boutique Shopify et la clé d'usine WebAuth qui sert à vérifier qu'un appareil est authentique. Keystone détruit 18 835 appareils invendus qui portent cette clé, car celui qui la détient pourrait fabriquer des contrefaçons qui passent la vérification. L'entreprise affirme que les phrases de récupération et les clés privées ne sont pas concernées.
- Secteur
- Applis et appareils grand public
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Keystone
- Comment c'est arrivé
- Selon Bankless, Blockhead et ForkLog, Keystone indique que l'attaquant a exploité une faille dans un outil tiers de surveillance des données, non nommé, présent sur son site pour élever ses privilèges, ce qui lui a donné accès aux fiches d'acheteurs Shopify et à la clé WebAuth utilisée par la page d'authentification des appareils. Decrypt relève que le communiqué ne dit pas quand l'attaquant est entré pour la première fois, ni qui est responsable.[1][2][3][4] Vérifié le 9 nov. 2026
- Ce qui a été volé
- 25 964 fiches d'acheteurs de la boutique Shopify (commandes de 2024 à 2026) : noms, coordonnées, adresses de livraison et informations de commande, plus 12 873 paniers non payés avec noms et adresses de livraison. L'attaquant a aussi emporté la clé d'usine WebAuth, inscrite dans chaque appareil et impossible à effacer. Keystone affirme que les phrases de récupération, les clés privées, les données de paiement bancaire et les numéros de pièces d'identité n'ont pas été exposés.[1][2][3][4] Vérifié le 9 nov. 2026
- Qui est touché
- Les clients ayant commandé sur la boutique en ligne officielle de Keystone entre 2024 et 2026 ; Amazon et les autres canaux de vente ne sont pas touchés. Keystone indique que les appareils livrés avant le 20 octobre ne sont pas concernés et que, pour un appareil portant l'ancienne clé reçu après cette date, l'entreprise ne peut pas totalement exclure qu'il s'agisse d'une contrefaçon.[1][2][3] Vérifié le 9 nov. 2026
- Acteur
- Non attribué
Chronologie
- Keystone détecte un accès non autorisé à son site officiel. [2][3]
- Keystone confirme qu'un tiers a obtenu des informations de livraison de clients. [3]
- Keystone révèle la fuite et présente ses excuses. Elle demande à Shopify d'effacer les données d'acheteurs conservées au-delà de sa durée de conservation de 180 jours, car certaines de ses propres tâches d'effacement avaient échoué. [2][3][4]
- Dans une mise à jour plus complète, Keystone indique que l'attaquant a aussi emporté la clé d'authentification des appareils WebAuth. L'entreprise va détruire 18 835 appareils invendus qui la portent, suspend l'envoi des commandes web non expédiées, passe ses ventes en ligne en précommande et réduit la conservation à 90 jours. Elle dit avoir prévenu les autorités dans l'UE, au Royaume-Uni et ailleurs. [1][2][3][4]
- Date à laquelle Keystone attendait que Shopify ait fini d'effacer les données d'acheteurs conservées trop longtemps. [2][3][4]