Le fabricant de portefeuilles matériels Keystone a révélé qu’un attaquant ayant compromis son site web la semaine dernière a également volé une clé utilisée pour vérifier l’authenticité de ses appareils, élargissant ainsi la portée d’un incident initialement présenté comme une fuite de données clients. Dans une déclaration publiée lundi, Keystone a averti que cette clé d’authentification volée pourrait permettre aux attaquants de produire des portefeuilles contrefaits qui passeraient les vérifications d’authenticité.
Conséquences de la violation de sécurité
Keystone a précisé que ces appareils contrefaits pourraient ensuite être vendus ou expédiés à des clients, lesquels pourraient les utiliser sans se douter qu’ils ne sont pas authentiques, ce qui pourrait mener à des vols d’actifs. Cet incident s’inscrit dans une série d’attaques visant les fabricants de portefeuilles matériels cette année. Plus tôt dans le mois, Ledger a demandé à ses revendeurs en Asie du Sud-Est et à Hong Kong de suspendre leurs ventes, après des rapports indiquant que des appareils vendus dans la région contenaient des implants non autorisés capables de capturer des phrases de récupération.
Des mesures de sécurité en réponse à l’attaque
Keystone a annoncé qu’après le vol de la clé d’authentification, il prévoit de détruire 18 835 appareils de son inventaire qui contiennent cette clé compromise et a suspendu l’expédition de tous les appareils utilisant cette clé. La société a indiqué que les expéditions reprendront une fois qu’elle aura commencé à produire des appareils avec une nouvelle clé d’authentification. Selon Keystone, les appareils fabriqués et livrés avant l’incident du 20 octobre devraient être considérés comme sûrs, et leurs vérifications d’authenticité demeurent fiables.
Étendue de la fuite de données clients
Keystone a également révélé que l’ampleur de la violation de données clients était significative, avec 51 083 dossiers d’acheteurs générés par sa boutique Shopify. Parmi ceux-ci, 25 119 avaient été supprimés selon sa politique de conservation des données de 180 jours. Cependant, 25 964 dossiers, datant de 2024 à 2026, pourraient avoir été volés par l’attaquant. Keystone a expliqué que les anciens fichiers n’ont pas été supprimés à cause d’un échec de son outil automatisé utilisé pour la suppression en masse des données. En outre, l’assaillant aurait également pu accéder à 12 873 enregistrements de paiements non finalisés conservés par Shopify.
Rappel d’autres violations dans le secteur
Cette situation rappelle une violation de données survenue en juin 2020 chez Ledger, qui avait exposé plus d’un million d’adresses e-mail, ainsi que des noms de clients, numéros de téléphone et adresses physiques. Les informations divulguées avaient alimenté des tentatives de phishing visant les utilisateurs concernés. D’autres fabricants de portefeuilles matériels ont également subi des violations impliquant des informations clients et des services tiers cette année.