Gnosis Pay ujawniło 6 listopada naruszenie danych klientów, które dotyczyło starszego systemu obsługującego jego markowe karty płatnicze, twierdząc, że środki nie zostały naruszone, a dodatkowe kontrole bezpieczeństwa pozostaną w mocy do planowanego na grudzień zamknięcia platformy.
Podsumowanie
- Nieuprawniony dostęp wykryto 3 listopada, a działania ograniczające rozpoczęto w ciągu dwóch godzin, według Gnosis Pay.
- Dotknięci klienci otrzymali indywidualne e-maile wyjaśniające, jakie informacje zostały pobrane z ich kont.
- Obowiązkowe kontrole 3D Secure mają teraz zastosowanie do wszystkich płatności kartą online do czasu zamknięcia systemu konsumenckiego.
- Użytkownicy zakwestionowali reakcję firmy i wyrazili obawy dotyczące phishingu po ujawnieniu danych osobowych.
Według ujawnienia Gnosis Pay, wtargnięcie dotyczyło jego działalności konsumenckiej, która obsługuje karty marki Gnosis Pay. Jego platforma korporacyjna, wykorzystywana do obsługi programów kart white-label dla innych firm, nie została dotknięta.
Firma poinformowała, że jej zespół ds. bezpieczeństwa zareagował natychmiast po tym, jak systemy monitorujące wykryły nieuprawniony dostęp 3 listopada. Działania ograniczające rozpoczęto w ciągu dwóch godzin, a następnie wymieniono dotknięte poświadczenia bezpieczeństwa i naprawiono lukę.
Gnosis Pay dodaje kontrole płatności po ujawnieniu informacji o klientach
Każdy dotknięty klient otrzymał 6 listopada e-mail ze szczegółami informacji pobranych z jego konta, poinformowała firma. W swoim publicznym oświadczeniu nie podała liczby klientów ani nie wymieniła kategorii informacji ujawnionych na dotkniętych kontach.
Gnosis Pay poinformowało, że zgłosiło naruszenie swoim partnerom i komunikuje się z właściwymi organami ochrony danych oraz swoim emitentem kart.
Chociaż firma twierdzi, że środki nie zostały naruszone, przyznała, że ochrona danych osobowych jest równie ważna. Przeprowadza pełny przegląd, stosuje wnioski w swoich systemach i organizuje specjalistyczny monitoring pod kątem oznak niewłaściwego wykorzystania ujawnionych informacji.
Aktywność kart i portfele są objęte bliższym monitoringiem pod kątem oszustw lub prób dostępu do środków klientów. Gnosis Pay uczyniło 3D Secure, dodatkowy etap weryfikacji przy zakupach online, obowiązkowym dla wszystkich płatności kartą online.
Firma poinformowała, że zabezpieczenia pozostaną do czasu wycofania systemu konsumenckiego 20 grudnia.
Użytkownicy kwestionują reakcję i wyrażają obawy dotyczące phishingu
Odpowiedzi na ogłoszenie firmy kwestionowały, co przyjęcie odpowiedzialności będzie oznaczać dla dotkniętych klientów. Kilku użytkowników zakwestionowało, czy przeprosiny wystarczą, podczas gdy inni wzywali do natychmiastowego zamknięcia usługi.
Jeden z respondentów, publikujący jako Zoodirektor, zapytał: „Co oznacza »bierzecie pełną odpowiedzialność«?”. Inny, publikujący jako dramanoodle, wyraził obawy dotyczące kolejnych fałszywych e-maili i ataków fizycznych wymierzonych w posiadaczy kryptowalut.
Odpowiedzi pokazują obawy dotyczące ujawnienia danych osobowych pomimo zapewnienia firmy, że środki nie zostały naruszone. Własne wskazówki dla klientów Gnosis Pay ostrzegały, że podejrzane wiadomości mogą zawierać prawdziwe dane osobowe lub odnosić się do rzeczywistego zakupu.
Klientom powiedziano, aby unikali linków w nieoczekiwanych e-mailach, wiadomościach tekstowych, połączeniach lub listach dotyczących Gnosis Pay, aplikacji partnerskich lub ich kart. Firma zalecała bezpośrednie otwieranie oficjalnej aplikacji internetowej lub aplikacji partnera.
Oświadczono, że ani Gnosis Pay, ani jego partnerzy nie będą prosić o frazy seed, klucze prywatne, kody PIN ani pełne numery kart. Nie będą prosić klientów o ponowne potwierdzenie tożsamości za pośrednictwem e-maila lub wiadomości tekstowych, ani nie będą instruować ich, aby przenosili środki za pośrednictwem wiadomości lub rozmów telefonicznych.
Zamknięcie w grudniu ogłoszono przed naruszeniem
Data wycofania poprzedza listopadowy incydent. Formalne zawiadomienie wydane 21 września wyznaczyło koniec usług kart markowych na godzinę 23:59 UTC 20 grudnia 2026 r.
Karty fizyczne i wirtualne przestaną w tym czasie autoryzować transakcje. Aplikacja internetowa zachowa funkcjonalność wypłat, a klienci nadal będą właścicielami aktywów przechowywanych na ich powierniczych kontach Safe, zgodnie z zawiadomieniem.
Klienci, którzy chcą zachować dalszy dostęp do kart, muszą dołączyć do programu partnerskiego na nowych warunkach. Przeniesienie jest opcjonalne, ale istniejące karty markowe przestaną działać niezależnie od tego.
Zawiadomienie prosi posiadaczy kart o wyeksportowanie historii transakcji przed zamknięciem i zaktualizowanie płatności cyklicznych u sprzedawców. Ogólne wsparcie dla posiadaczy kart ma zakończyć się 18 czerwca 2027 r., natomiast wsparcie dotyczące zwrotów, sporów i chargebacków będzie kontynuowane do 12 czerwca 2028 r.
Wcześniejszy exploit o wartości 1,5 mln dolarów dotknął infrastrukturę kart
Ujawnienie następuje po osobnym czerwcowym exploicie konta kartowego, wcześniej opisanym przez crypto.news, obejmującym około 1,5 mln dolarów w aktywach cyfrowych.
W swoim lipcowym postmortem Gnosis Pay przypisał ten incydent wadzie w frameworku inteligentnych kontraktów Zodiac i stwierdził, że dotknięci klienci otrzymali pełny zwrot. Listopadowe ujawnienie dotyczy informacji o klientach; firma nie stwierdziła, że incydenty mają wspólną przyczynę.
Klienci dotknięci najnowszym naruszeniem otrzymali zalecenia specyficzne dla ich kont. Gnosis Pay skierował wszystkie osoby z obawami na adres [email protected] i poinformował, że jego zespół wsparcia priorytetowo traktuje osoby bezpośrednio dotknięte.
