키스톤, 보관 90일 발표했지만 공식 페이지엔 180일

키스톤(Keystone)은 주문정보 자동 삭제 도구의 실패를 인정했으며, 개인정보가 남아 있던 공식 쇼핑몰 주문 기록이 2만5964건이라고 밝혔다. 회사는 보관 기간을 180일에서 90일로 줄였다고 했지만, 31일 확인한 공식 웹페이지 두 곳에는 180일 문구가 남아 있다.

키스톤은 26일 사고 보고에서 쇼피파이($SHOP)에 저장된 주문정보를 180일 뒤 삭제하기 위해 만든 대량 삭제 도구가 안정적으로 작동하지 않았다고 밝혔다. 일부 삭제 작업이 실패했는데도 제때 발견하지 못해 보관 기한을 넘긴 정보가 남았고, 회사는 삭제 약속을 지키지 못한 책임을 인정했다.

키스톤이 집계한 공식 쇼핑몰 구매 기록은 5만1083건이다. 이 가운데 2만5119건은 침입 전에 개인정보가 삭제돼 주문 기록만 익명으로 남았고, 나머지 2만5964건에는 2024~2026년 구매자의 이름·연락처·배송 주소·주문 정보가 남아 있었다. 2만5964건은 주문 기록 수로, 고유 고객 수나 실제 열람·반출 규모를 뜻하지 않는다. 아마존 등 다른 판매 채널의 기록도 이 집계에서 제외됐다.

미결제 체크아웃 기록 1만2873건은 완료된 주문과 별도로 집계됐다. 키스톤은 이 기록에 이름·연락처·배송정보가 포함됐을 수 있으며 일부 정보는 불완전하거나 부정확할 수 있다고 밝혔다.

키스톤은 26일 보관 기간을 180일에서 90일로 줄였다고 발표했다. 그러나 31일 확인한 개인정보처리방침에는 최근 180일 동안 새 주문을 하지 않은 고객의 주문정보를 삭제한다고 적혀 있었다. 배송정보를 주문 180일 뒤 자동 삭제한다는 문구도 개인정보 약속 페이지에 남아 있다. 실제 시스템에 90일 기준이 적용됐는지는 확인되지 않았다.

키스톤은 기존 180일 보관 기간이 기기와 주문 관련 고객지원에 필요한 기간이었다고 설명했다. 회사는 24일 쇼피파이에 90일을 넘긴 주문 개인정보의 삭제를 요청했다.

키스톤은 20일 공식 웹사이트에서 비정상 접근을 탐지했다. 23일에는 쇼피파이 API 활동을 확인한 뒤 배송정보가 외부에 노출된 사실을 파악했다고 밝혔다. 회사는 24일 첫 사고 공지를 게시했다.

키스톤은 이름·연락처·배송 주소·주문 정보가 노출됐다고 설명했다. 결제정보와 지갑 복구 문구, 개인키, 비밀번호, 정부 발급 신분증 정보는 침해되지 않았다고 밝혔다. 회사는 구매 정보와 배송 주소를 이용한 사칭 연락과 피싱에 주의하라고 안내했다.

주문정보 침해와 별도로 기기 진위 확인에 쓰이는 WebAuth 키도 탈취됐다. 키스톤 설명에 따르면 이 키는 복구 문구 생성이나 개인키 도출, 거래 서명에는 쓰이지 않는다.

키스톤은 해당 기존 키가 들어간 재고 기기 1만8835대를 폐기하기로 했다. 기기 수와 개인정보가 남아 있던 주문 기록 수는 서로 다른 집계로, 본지의 앞선 보도에서도 두 수치를 구분해 다뤘다.

원키(OneKey)는 자사 통제 시스템의 주문 개인정보 보관 상한을 최대 30일로 하겠다고 27일 발표했다. 이 기준은 배송업체가 보관하는 정보까지 30일 안에 삭제된다고 보장하지 않는다.

원키는 쇼피파이 API에서 과거 주문 기록을 더 이상 조회할 수 있다고 밝혔지만, 다른 시스템과 연동 서비스는 재검토 중이라고 했다. 30일 보관 기준과 삭제 이행을 독립적으로 검증한 결과는 공개되지 않았다.

키스톤은 사후 답변에서 180일 보관이 기기·주문 관련 고객지원에 필요한 기간이었다고 설명했다. 원키는 반품·보증·기기 확인을 민감정보를 장기간 보관하지 않는 방식으로 처리할 대안을 만들겠다고 밝혔다.

키스톤은 쇼피파이의 10일 대기 절차를 거쳐 초과 보관 정보 삭제가 11월 3일 완료될 것으로 예상했다.