Le fabricant de portefeuilles de cryptomonnaies Keystone va détruire 18 835 appareils neufs. Un attaquant entré par son site web a volé la clé qui permet de prouver qu’un appareil est authentique, et récupéré au passage des fiches clients que l’entreprise croyait avoir effacées. Une histoire qui parle à toute PME qui vend en ligne.
Ce qui s’est passé
Le 20 octobre 2026, Keystone repère un accès non autorisé à son site web et le coupe le jour même. Le 24, l’entreprise annonce que des informations de livraison de clients ont été dérobées. Le 26, elle précise l’ampleur des dégâts : 25 964 fiches d’acheteurs (commandes de 2024 à 2026 : noms, coordonnées, adresses, détails de commande), et surtout la clé secrète utilisée par ses appareils pour prouver qu’ils sont authentiques (The Hacker News, 27 octobre 2026). Pas de données bancaires ni de pièces d’identité, selon Keystone.
Comment l’attaque a fonctionné
Une porte dérobée par un outil tiers. Selon Keystone, l’attaquant a exploité une faille dans un outil de suivi de données branché sur le site, puis obtenu des droits plus élevés. Cela lui a ouvert les données de la boutique en ligne et la clé.
Une clé qui ne se change pas. Cette clé sert uniquement au contrôle d’authenticité proposé aux acheteurs. Avec elle, on peut fabriquer un faux appareil qui passe ce contrôle, puis voler les cryptomonnaies de l’acheteur trompé. Elle est gravée dans chaque appareil à la fabrication et ne peut pas être remplacée : Keystone n’a donc d’autre choix que de détruire son stock et d’utiliser une nouvelle clé.
Des données qui n’auraient plus dû exister. Keystone s’était engagée à effacer les adresses de livraison 180 jours après chaque commande. L’outil interne chargé de ces suppressions échouait par moments, et personne ne s’en est aperçu à temps. L’entreprise réduit désormais la conservation à 90 jours.
Ce qu’on ne sait pas encore
- Le nom de l’outil tiers et la nature exacte de la faille.
- Où la clé était stockée, et pourquoi elle était accessible depuis l’environnement du site web.
- Depuis quand l’attaquant était présent : seule la date de détection est connue.
Ce que ça change pour une PME
- Faites l’inventaire des outils branchés sur votre site. Statistiques, pixels publicitaires, chat, suivi : demandez à votre prestataire la liste, ce que chacun peut lire, et retirez ce qui ne sert plus. Chaque outil est une porte possible.
- Éloignez vos secrets du site web. Clés, mots de passe d’administration, accès aux API : rien de critique ne doit être lisible depuis le serveur ou la boutique en ligne.
- Vérifiez que vos suppressions ont vraiment lieu. Une durée de conservation écrite dans la politique de confidentialité ne protège personne si la purge échoue en silence. Demandez une preuve, et une alerte en cas d’échec. Une donnée que vous n’avez plus ne peut pas fuiter.
- Préparez le message aux clients. Après une fuite, les escrocs se font passer pour vous. Dites à vos clients ce que vous ne leur demanderez jamais. La fiche « Violation ou fuite de données personnelles, que faire ? » de Cybermalveillance.gouv.fr peut vous aider à rédiger ces conseils.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste de tous les outils tiers installés sur notre site, avec ce que chacun peut voir et qui l’a ajouté ?
- Où sont rangés nos secrets les plus importants, et pourrait-on les atteindre en piratant notre site web ?
- Les durées de conservation promises à nos clients sont-elles réellement appliquées, et qui est prévenu si une suppression échoue ?
- Si notre boutique en ligne était piratée, saurions-nous dire depuis quand, et quelles données ont été consultées ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Sites web et données clients · Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 28 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.