Keystone Wallet menjadi penyedia dompet hardware terbaru yang melaporkan masalah keamanan setelah akses tidak sah ke situs resminya mengekspos informasi pelanggan. Perusahaan mendeteksi akses tidak sah pada 20 Oktober dan beberapa hari kemudian mengonfirmasi bahwa pihak ketiga tidak sah memperoleh informasi pengiriman pelanggan.
Data Pelanggan Keystone Terpapar
Keystone mengungkapkan pada akhir pekan bahwa pihaknya mendeteksi akses tidak sah ke situs resminya pada 20 Oktober. Setelah meninjau aktivitas API di Shopify, tim perusahaan mengonfirmasi beberapa hari kemudian bahwa pihak ketiga tidak sah telah memperoleh informasi pengiriman pelanggan.
Data yang terpapar mencakup nama, detail kontak, alamat pengiriman, dan informasi pesanan seperti produk yang dibeli serta harga yang dibayarkan. Keystone menegaskan informasi kartu pembayaran, data bank, kata sandi dompet, frasa pemulihan, dan kunci pribadi tidak terdampak.
Produsen dompet hardware itu telah memblokir akses tidak sah, menambal kerentanan, meluncurkan investigasi, dan mulai menghubungi klien terdampak. Keystone juga menjanjikan laporan lebih rinci dalam beberapa hari berikutnya.
Risiko Phishing dan Rekayasa Sosial
Meski demikian, informasi yang bocor menimbulkan masalah keamanan lain. Pengetahuan bahwa seseorang membeli dompet hardware, disertai nama, detail kontak, dan alamat fisik, dapat memungkinkan pelaku kejahatan melancarkan serangan phishing atau rekayasa sosial yang sangat bertarget.
Keystone memperingatkan bahwa penipu dapat menyamar sebagai perusahaan melalui panggilan telepon, pesan teks, email, atau bahkan surat fisik sambil menawarkan pengembalian dana, perangkat pengganti, atau perbaikan yang diklaim.
Tekanan Keamanan Meningkat di Industri Dompet Hardware
Ledger menyatakan awal bulan ini bahwa aktor jahat memodifikasi perangkat asli yang didistribusikan melalui beberapa peritel Asia Tenggara dengan memasang perangkat keras tersembunyi yang mampu membaca frasa pemulihan 24 kata selama penyiapan awal dan mengirimkannya melalui koneksi LTE. Perusahaan menegaskan Secure Element, sistem operasi, dan server internalnya tidak dikompromikan, serta menyebut skema itu sebagai serangan saluran distribusi lokal, bukan pelanggaran sistemik terhadap infrastruktur Ledger.
Laporan awal mengaitkan lebih dari US$86 juta dugaan pencurian kripto dengan perangkat terdampak, meskipun Ledger belum mengonfirmasi angka tersebut.
Pada awal musim panas tahun ini, Trezor mengalami pelanggaran di penyedia logistik ShipMonk yang mengekspos nama, email, nomor telepon, alamat pengiriman, dan informasi pesanan pelanggan. Perusahaan awalnya menyebut lebih dari 13.000 pelanggan Amerika Serikat datanya terekspos, tetapi jumlah itu bertambah menjadi lebih dari 80.000 setelah pengungkapan terbaru.
Rangkaian insiden di Keystone, Ledger, dan Trezor menambah kekhawatiran keamanan di industri dompet hardware, terutama karena data pelanggan dan saluran distribusi menjadi titik rentan di luar perangkat itu sendiri.
