Hãng ví lạnh Keystone ngày 26/10 thông báo kẻ tấn công xâm nhập website của hãng hôm 20/10 đã lấy luôn khóa dùng để xác thực thiết bị chính hãng, chứ không chỉ dữ liệu khách hàng như công bố ban đầu. Keystone sẽ hủy 18.835 thiết bị trong kho có chứa khóa này. Hãng cũng xác nhận 25.964 hồ sơ người mua từ năm 2024 đến 2026 có thể đã bị đánh cắp.
Khóa bị lấy có thể giúp kẻ xấu sản xuất ví giả vẫn vượt qua bước kiểm tra tính chính hãng của Keystone. Những thiết bị này có thể bị bán hoặc gửi đến khách hàng, và người dùng sẽ tưởng là hàng thật.
Khóa xác thực bị lấy, Keystone hủy 18.835 thiết bị trong kho
Keystone cho biết kẻ tấn công khai thác lỗ hổng trong một công cụ giám sát của bên thứ ba mà website sử dụng. Nhờ đó, hắn nâng được quyền truy cập, rồi lấy một số thông tin khách hàng và khóa xác thực thiết bị. “Khóa xác thực” ở đây là một dữ liệu bí mật để hãng và người dùng kiểm tra một chiếc ví có đúng do hãng sản xuất hay không.
Hãng đã tạm dừng giao các lô sản xuất dùng khóa này. Việc giao hàng sẽ tiếp tục khi hãng bắt đầu sản xuất thiết bị với khóa xác thực mới.
Về phạm vi ảnh hưởng, Keystone nêu như sau:
- Thiết bị sản xuất và giao trước ngày 20/10 được coi là an toàn, việc xác thực vẫn đáng tin cậy.
- Với thiết bị giao sau ngày 20/10, hãng không thể bảo đảm tính chính hãng và đề nghị khách hàng liên hệ bộ phận hỗ trợ để được xác minh thêm.
25.964 hồ sơ người mua có thể bị lấy do công cụ xóa dữ liệu tự động lỗi
Cửa hàng Shopify trên website của Keystone đã tạo ra tổng cộng 51.083 hồ sơ người mua. Theo chính sách lưu trữ 180 ngày, 25.119 hồ sơ đã được xóa. Số còn lại không được xóa vì công cụ tự động xử lý việc xóa hàng loạt hoạt động không ổn định, và hãng không phát hiện kịp các lần xóa thất bại.
| Hạng mục | Số lượng |
|---|---|
| Tổng hồ sơ người mua trên Shopify | 51.083 |
| Đã xóa theo chính sách 180 ngày | 25.119 |
| Còn lưu (2024–2026), có thể bị lấy | 25.964 |
| Bản ghi thanh toán chưa hoàn tất, có thể bị truy cập | 12.873 |
Keystone đã liên hệ Shopify để yêu cầu xóa dữ liệu cá nhân trong các bản ghi thanh toán lưu quá 30 ngày. Nguồn tin không nêu cụ thể loại thông tin cá nhân nào nằm trong các hồ sơ này và cũng không cho biết có thiết bị giả nào thực sự đã được bán ra hay chưa.
Người dùng Việt Nam nếu mua ví Keystone cần xác định ngày thiết bị được giao. Nếu giao trước 20/10, Keystone coi là an toàn. Nếu giao sau mốc này, hãy liên hệ bộ phận hỗ trợ của hãng để được xác minh.
Trong lúc chờ xác minh, cân nhắc chưa nạp thêm tài sản vào ví giao sau 20/10. Nếu đã nạp, hãy hỏi hãng trước khi quyết định chuyển sang ví đã được xác minh.
Nếu bạn từng mua trực tiếp trên website Keystone, hãy coi email, số điện thoại và địa chỉ đã dùng khi mua là có thể bị lộ. Cảnh giác với thư, tin nhắn tự xưng là Keystone hoặc đại lý. Không nhập cụm từ khôi phục (recovery phrase) vào bất kỳ website, biểu mẫu hay ứng dụng nào, vì chỉ kẻ lừa đảo mới đòi thông tin này.
