키스톤 인증키까지 탈취, 가짜 지갑도 정품 인증 통과할 위험

키스톤은 공격자가 타사 웹사이트 모니터링 도구의 취약점을 악용해 고객 정보와 기기 진위 확인에 쓰이는 키를 탈취했다고 밝혔다. 이에 따라 당초 데이터 유출로 공개됐던 사건의 범위가 확대됐다. 회사는 해당 키로 인해 위조 지갑이 진위 검사를 통과하고 정품 기기로 고객에게 전달될 수 있으며, 사용자가 자산 도난에 노출될 가능성이 있다고 경고했다. 키스톤은 유출된 키가 포함된 재고 기기 18,835대를 폐기할 계획이며, 해당 키를 사용하는 모든 기기의 출하를 중단했다. 교체 키를 적용한 생산이 시작되면 출하가 재개될 것으로 예상된다. 키스톤은 10월 20일 이전에 제조 및 배송된 기기는 안전할 것으로 보이지만, 그 이후 배송된 기기의 진위는 보장할 수 없다며 해당 고객에게 고객지원팀으로 연락할 것을 권고했다. 쇼피파이 스토어의 구매자 기록 51,083건 중 2024년부터 2026년까지의 기록 25,964건이 도난당했으며, 25,119건은 회사의 180일 보관 정책에 따라 삭제된 상태였다. 키스톤은 자동 삭제 도구의 오류로 오래된 기록이 보관됐다고 설명했다. 공격자는 구매가 완료되지 않은 쇼피파이 결제 기록 12,873건도 탈취했다. 키스톤은 30일 넘게 보관된 결제 기록의 개인정보를 삭제해 달라고 쇼피파이에 요청했다.