Keystone 90 günlük saklamayı duyurdu, resmi sayfalarda 180 gün yazıyor

Keystone, resmi mağazasındaki 25.964 sipariş kaydında kişisel bilgilerin kaldığını açıkladı. Şirket saklama süresini 180 günden 90 güne indirdiğini duyurmasına rağmen, 31'inde kontrol edilen iki resmi sayfada hâlâ 180 gün ifadesi yer aldı.

Keystone, 26'sında yayımladığı olay raporunda Shopify($SHOP) sisteminde tutulan sipariş bilgilerini 180 gün sonra silmek için hazırlanan toplu silme aracının güvenilir biçimde çalışmadığını bildirdi. Bazı silme işlemleri başarısız oldu ve sorun zamanında fark edilmedi; bu nedenle saklama süresi aşılmış bilgiler sistemde kaldı. Şirket, silme taahhüdünü yerine getiremediğini kabul etti.

Keystone'un sayımına göre resmi mağazadaki satın alma kayıtlarının toplamı 51.083'tü. Bunların 25.119'unda kişisel bilgiler ihlalden önce silinmiş, geriye yalnızca anonim sipariş kayıtları kalmıştı. Diğer 25.964 kayıtta ise 2024-2026 döneminde alışveriş yapanların adları, iletişim bilgileri, teslimat adresleri ve sipariş bilgileri bulunuyordu. 25.964 sayısı sipariş kayıtlarını ifade ediyor; benzersiz müşteri sayısını veya bilgilere fiilen erişilen ya da dışarı aktarılan kayıtların miktarını göstermiyor. Amazon gibi diğer satış kanallarındaki kayıtlar bu sayıya dahil değil.

Satın alma işlemi tamamlanmamış 12.873 ödeme adımı kaydı, tamamlanan siparişlerden ayrı sayıldı. Keystone, bu kayıtlarda ad, iletişim ve teslimat bilgilerinin bulunabileceğini; bazı bilgilerin eksik veya yanlış olabileceğini belirtti.

Keystone, 26'sında saklama süresini 180 günden 90 güne indirdiğini duyurdu. Ancak 31'inde kontrol edilen gizlilik politikasında, son 180 gün içinde yeni sipariş vermeyen müşterilerin sipariş bilgilerinin silineceği yazıyordu. Gizlilik taahhütleri sayfasında da teslimat bilgilerinin siparişten 180 gün sonra otomatik silineceği belirtiliyordu. 90 günlük sürenin sistemlere gerçekten uygulanıp uygulanmadığı doğrulanmadı.

Şirket, önceki 180 günlük saklama süresinin cihaz ve siparişlerle ilgili müşteri desteği için gerekli olduğunu açıkladı. Keystone, 24'ünde Shopify'dan 90 günü aşan sipariş kişisel verilerinin silinmesini istedi.

Keystone, 20'sinde resmi web sitesinde olağandışı erişim tespit etti. Şirket, 23'ünde Shopify API etkinliğini inceledikten sonra teslimat bilgilerinin açığa çıktığını fark ettiğini bildirdi. İlk olay duyurusu 24'ünde yayımlandı.

Keystone, adların, iletişim bilgilerinin, teslimat adreslerinin ve sipariş bilgilerinin açığa çıktığını belirtti. Şirket, ödeme bilgilerinin, cüzdan kurtarma ifadelerinin, özel anahtarların, parolaların ve devlet tarafından verilen kimlik bilgilerinin ihlalden etkilenmediğini söyledi. Ayrıca kullanıcıları, satın alma bilgileri ve teslimat adreslerini kullanarak yapılan taklit aramalara ve kimlik avı girişimlerine karşı dikkatli olmaları konusunda uyardı.

Sipariş bilgileri ihlalinden ayrı olarak, cihazların gerçekliğini doğrulamak için kullanılan WebAuth anahtarı da çalındı. Keystone'a göre bu anahtar kurtarma ifadesi oluşturmak, özel anahtar türetmek veya işlem imzalamak için kullanılamıyor.

Keystone, söz konusu eski anahtarı içeren stoktaki 18.835 cihazı imha etmeye karar verdi. Cihaz sayısı ile kişisel bilgileri kalmış sipariş kayıtlarının sayısı ayrı ölçümlerdir.

OneKey, 27'sinde şirketin kontrolündeki sistemlerde sipariş kişisel verileri için saklama üst sınırını 30 gün olarak belirleyeceğini duyurdu. Bu süre, kargo şirketlerinin tuttuğu bilgilerin de 30 gün içinde silineceğini garanti etmiyor.

OneKey, Shopify API'sinde geçmiş sipariş kayıtlarının artık görüntülenemediğini, diğer sistemler ve entegrasyonlar için incelemenin sürdüğünü açıkladı. 30 günlük saklama sınırının uygulandığına ve verilerin silindiğine ilişkin bağımsız doğrulama sonucu kamuoyuyla paylaşılmadı.

Keystone, olay sonrası verdiği yanıtta 180 günlük saklama süresinin cihaz ve siparişlerle ilgili müşteri desteği için gerekli olduğunu yineledi. OneKey ise hassas bilgileri uzun süre saklamadan iade, garanti ve cihaz doğrulama işlemlerini yürütecek alternatifler geliştireceğini bildirdi.

Keystone, Shopify'ın 10 günlük bekleme sürecinin ardından saklama süresini aşan bilgilerin silinmesinin 3 Kasım'da tamamlanmasını beklediğini açıkladı.