Keystone Nexus жаңартуын кибершабуылдан кейін шығарды

Keystone Nexus қосымшасының кейбір қызметтеріне рұқсатсыз араласу туралы хабарлады. Кибершабуыл салдарынан кейбір пайдаланушылар уақытша кейбір функцияларды пайдалана алмады. Компания мамандар сервер қауіпсіздігін күшейткенін және тергеу криптовалюта активтеріне немесе пайдаланушылардың жеке ақпаратына рұқсатсыз қол жеткізу белгілерін анықтамағанын мәлімдеді. Мәселені шешу үшін Keystone қосымшаны 1.3.7 нұсқасына жаңартуды ұсынды. Жүктеу кезінде құрылғы иелері әзірлеушінің атын тексеруі керек: ресми қолданба Yanssie HK Limited арқылы жариялануы тиіс. Басқа әзірлеуші ақпараты бар бағдарламалар Keystone өнімдері емес.

Бұл компания хабарлаған шамамен екі апта ішіндегі үшінші қауіпсіздік оқиғасы. Бұған дейін Keystone Shopify платформасындағы интернет-дүкенінің бұзылғанын растады. Рұқсатсыз қол жеткізу 20 қазанда анықталды, ал 23 қазанда шабуылдаушы клиенттердің жеткізу ақпаратын жүктеді. Жарияланған деректерге есімдер, байланыс мәліметтері, мекенжайлар, тапсырыс ақпараты және сатып алынған құрылғылар кірді. Ағып кету 2024 пен 2026 жылдар аралығында сатып алған 25,964 клиентке әсер етті. Сонымен қатар, компания 12,873 аяқталмаған тапсырыстарды есепке алды. Keystone мәліметтері бойынша, төлем деректері, банк мәліметтері, қалпына келтіру фразалары және жеке кілттер жарияланбаған.

Кейінірек сол шабуылдаушы Keystone құрылғыларын аутентификациялау үшін қолданылатын WebAuth кілтіне қол жеткізгені анықталды. Бұл кілт өндіріс кезінде аппараттық құралға енгізіледі және ауыстырылмайды. Оның бұзылуы аутентификациядан өте алатын жалған құрылғыларды өндіру қаупін тудырды. Нәтижесінде компания сатылмаған 18,835 әмиянды жою туралы шешім қабылдады. Keystone 20 қазанға дейін жеткізілген және тексеруден өткен құрылғылардың түпнұсқа екенін мәлімдеді. Алайда, осы күннен кейін ескі кілтпен алынған әмияндар үшін компания жалғандық мүмкіндігін толық жоққа шығара алмады және иелеріне оларды пайдаланбас бұрын қолдау қызметіне хабарласуды ұсынды. Жариялау кезінде жалған құрылғылар немесе ұрлық туралы хабарламалар түскен жоқ.

Қосымша мәселе клиент деректерінің автоматты түрде жойылмауы болды. Keystone тапсырыс аяқталғаннан кейін 180 күн ішінде жеткізу мекенжайларын жоятынын мәлімдеді, бірақ ағып кету екі жылдан астам уақыт бұрынғы сатып алу ақпаратын қамтыды. Қателік анықталғаннан кейін компания деректерді сақтау мерзімін 90 күнге дейін қысқартты және Shopify-ден ескі жазбаларды жоюды сұрады. Бұл процедура 3 қарашаға дейін аяқталады деп жоспарланған. Бәсекелес компания OneKey осындай деректерді сақтау мерзімін 30 күнмен шектеді.

Оқиғалар саладағы басқа компанияларға да әсер етті. Тамыз айында Trezor-дың логистикалық серіктесі ShipMonk-тағы ағып кету шамамен 81,000 клиентке әсер етті, ал SafePal-дың тапсырыстарды қадағалау жүйесіндегі қате шамамен 39,798 пайдаланушының деректерін ашты. Ledger жағдайында зерттеушілер қайта сатылған құрылғылардан жасырын чиптерді анықтады; зерттеушілердің айтуынша, оларға байланысты шығындар $86 миллионнан асты.