Una brecha en el sitio web de Keystone expuso datos de compradores y la clave de autenticación de los dispositivos

Keystone detectó un acceso no autorizado a su sitio web oficial el 20 de octubre de 2026. En su actualización del 26 de octubre, la empresa dijo que el atacante aprovechó una vulnerabilidad en una herramienta de monitorización de datos de un tercero presente en el sitio para escalar privilegios. 25 964 registros de compradores de 2024–2026 aún contenían datos personales —nombres, datos de contacto, direcciones de envío y detalles de pedidos—, y también se contabilizan 12 873 registros de pagos no completados. Keystone reconoció que no había cumplido del todo su compromiso de borrar los datos de envío en un plazo de 180 días; ahora conserva esos datos durante 90 días como máximo.

El atacante también obtuvo la clave que el sitio web de Keystone utiliza para comprobar que un dispositivo es auténtico. La clave se graba en cada dispositivo en fábrica y no puede cambiarse, por lo que Keystone desechará los 18 835 dispositivos en stock que la llevan y dará una clave nueva a los dispositivos de nueva fabricación. Según Keystone, las frases de recuperación, las claves privadas y los datos de pago no quedaron expuestos, y no se pide a los propietarios que muevan sus fondos a raíz de este incidente.

Recomendaciones de Keystone:

• Un dispositivo entregado antes del 20 de octubre de 2026 que supera la comprobación de autenticidad es auténtico.
• Si recibiste un dispositivo después del 20 de octubre con la clave antigua, contacta con el soporte de Keystone para una verificación adicional antes de usarlo: Keystone no puede descartar por completo una falsificación aunque la comprobación se supere.
• Keystone no pedirá a nadie que devuelva un dispositivo. Trata los mensajes de «retirada», reembolso, migración o verificación de billetera como estafas.