Keystone hủy bỏ 18.835 ví phần cứng sau sự cố lộ khóa xác thực thiết bị

Hãng sản xuất ví phần cứng Keystone vừa thông báo một sự cố bảo mật nghiêm trọng liên quan đến việc rò rỉ khóa xác thực thiết bị (device verification key). Sự cố này buộc công ty phải tiến hành tiêu hủy 18.835 thiết bị chưa bán ra thị trường, đồng thời triển khai khóa xác thực mới cho các dòng sản phẩm tương lai.

Chi tiết sự cố

Theo báo cáo từ Keystone, tin tặc đã khai thác một vulnerability (lỗ hổng) trong công cụ giám sát dữ liệu của bên thứ ba được tích hợp trên website của hãng. Thông qua kỹ thuật leo thang đặc quyền, kẻ tấn công đã truy cập trái phép vào hệ thống và đánh cắp khóa xác thực thiết bị cùng dữ liệu khách hàng.

Khóa xác thực này đóng vai trò quan trọng trong việc giúp người dùng kiểm tra tính chính hãng của ví thông qua mã QR. Mặc dù khóa này không liên quan đến các thành phần bảo mật cốt lõi như cụm từ khôi phục (recovery phrase), khóa cá nhân (private key) hay việc ký giao dịch, nhưng kẻ xấu có thể sử dụng nó để tạo ra các thiết bị giả mạo có khả năng vượt qua quy trình kiểm tra trực tuyến của Keystone.

Ảnh hưởng đến khách hàng

Ngoài khóa xác thực, dữ liệu của 25.964 khách hàng mua sắm trên website từ năm 2024 đến 2026 cũng bị ảnh hưởng, bao gồm tên, địa chỉ giao hàng và thông tin liên lạc. Keystone khẳng định thông tin thẻ thanh toán, tài khoản ngân hàng và giấy tờ tùy thân không bị rò rỉ. Công ty cũng đang thực hiện biện pháp phòng ngừa đối với 12.873 hồ sơ thanh toán không thành công.

Đáng chú ý, sự cố này phơi bày một lỗi trong quy trình tự động xóa dữ liệu khách hàng của Keystone, khiến thông tin cũ không được xóa bỏ theo cam kết 180 ngày. Hiện tại, hãng đã rút ngắn thời gian lưu trữ dữ liệu xuống còn 90 ngày.

Khuyến cáo cho người dùng

Keystone đã đưa ra các hướng dẫn cụ thể cho người dùng tùy theo thời điểm nhận thiết bị:

Thiết bị nhận trước ngày 20/10: Nếu vượt qua quy trình xác thực, thiết bị được coi là an toàn và có thể sử dụng bình thường.
Thiết bị nhận sau ngày 20/10: Người dùng không nên sử dụng thiết bị và cần liên hệ trực tiếp với bộ phận hỗ trợ của Keystone ([email protected]) để xác minh tính chính hãng.
Cảnh báo lừa đảo: Keystone nhấn mạnh rằng họ sẽ không bao giờ gọi điện, nhắn tin hoặc gửi email yêu cầu người dùng trả lại thiết bị, hoàn tiền hay cung cấp cụm từ khôi phục. Người dùng cần cảnh giác với các chiêu trò phishing giả mạo thông báo thu hồi sản phẩm.

Hiện tại, Keystone đã tạm dừng vận chuyển các đơn hàng từ website cho đến khi các thiết bị sử dụng khóa xác thực mới sẵn sàng. Người dùng mua qua Amazon hoặc các đại lý ủy quyền cũng cần áp dụng hướng dẫn tương tự dựa trên thời điểm nhận hàng.

Nguồn tham khảo: The Hacker News