A fabricante de carteiras de hardware para criptomoedas Keystone confirmou, em comunicado publicado em sua conta oficial na rede social X em 24 de outubro de 2026, um incidente de segurança que expôs dados de clientes da sua loja online. Segundo a empresa, o acesso não autorizado ao site foi detectado em 20 de outubro de 2026 e, após uma investigação da atividade de API junto à plataforma de e-commerce Shopify, a Keystone confirmou em 23 de outubro que terceiros obtiveram informações de envio de clientes — nomes, dados de contato, endereços de entrega e detalhes dos itens e preços comprados. A empresa afirma que dados bancários, números de cartão de pagamento, senhas de carteira, frases de recuperação (seed phrases) e chaves privadas não foram afetados, já que esses dados nunca passam pelo site ou pela loja online. A Keystone não informou até o momento quantos clientes foram afetados nem por quanto tempo o acesso indevido durou, prometendo um relatório mais detalhado nos próximos dias.
Por que isso importa para uma PME brasileira: o incidente não é sobre uma falha nas próprias carteiras de hardware, mas sim sobre o uso indevido de credenciais de API de um aplicativo de terceiro integrado a uma loja Shopify — exatamente o modelo que milhares de PMEs brasileiras usam para vender online. O caso mostra como um aplicativo ou integração conectado à loja, mesmo sem acesso a pagamentos, pode expor dados de clientes (nome, endereço, telefone, histórico de compras) o suficiente para alimentar golpes de phishing bem direcionados — como falsas mensagens de rastreamento de entrega ou cobranças de taxas alfandegárias.
O que fazer agora: se sua empresa vende por Shopify ou outra plataforma de e-commerce, faça um inventário dos aplicativos e integrações de terceiros conectados à loja (meios de pagamento, logística, marketing, chat) e remova os que não são mais usados. Revise e rotacione periodicamente as chaves de API dessas integrações, e habilite alertas de atividade incomum na plataforma, quando disponíveis. Se sua empresa for cliente da Keystone ou de qualquer serviço citado em um vazamento, desconfie de e-mails ou mensagens não solicitadas sobre "problemas na entrega" ou "confirmação de endereço" nas semanas seguintes ao anúncio — é o tipo de phishing que normalmente se segue a esse tipo de exposição.
Fonte primária: comunicado oficial da Keystone na rede social X, 24/10/2026.
