A Gnosis Pay divulgou em 6 de novembro uma violação de dados de clientes que afetou o sistema legado por trás de seus cartões de pagamento de marca, afirmando que os fundos não foram afetados e que verificações de segurança adicionais permaneceriam em vigor até o fechamento planejado da plataforma em dezembro.
Resumo
- Acesso não autorizado foi detectado em 3 de novembro, com a contenção começando em até duas horas, segundo a Gnosis Pay.
- Os clientes afetados receberam e-mails individuais explicando quais informações foram retiradas de suas contas.
- Verificações obrigatórias de 3D Secure agora se aplicam a todos os pagamentos online com cartão até que o sistema de consumo seja encerrado.
- Usuários questionaram a resposta da empresa e levantaram preocupações sobre phishing após a exposição de informações pessoais.
De acordo com a divulgação da Gnosis Pay, a intrusão afetou seu negócio de consumo, que opera cartões de marca Gnosis Pay. Sua plataforma empresarial, usada para impulsionar programas de cartões white-label para outras empresas, não foi afetada.
A empresa disse que sua equipe de segurança respondeu imediatamente após os sistemas de monitoramento detectarem acesso não autorizado em 3 de novembro. A contenção começou em até duas horas, seguida pela substituição das credenciais de segurança afetadas e por uma correção da vulnerabilidade.
Gnosis Pay adiciona verificações de pagamento após exposição de informações de clientes
Todos os clientes afetados receberam um e-mail em 6 de novembro com detalhes das informações retiradas de sua conta, disse a empresa. Sua declaração pública não informou uma contagem de clientes nem listou as categorias de informações expostas nas contas afetadas.
A Gnosis Pay disse que havia reportado a violação aos seus parceiros e estava se comunicando com as autoridades de proteção de dados aplicáveis e com seu emissor de cartões.
Embora a empresa tenha dito que os fundos não foram afetados, ela reconheceu que proteger informações pessoais era igualmente importante. Está realizando uma revisão completa, aplicando lições em seus sistemas e organizando monitoramento especializado para sinais de que as informações expostas estão sendo usadas indevidamente.
A atividade dos cartões e as carteiras estão recebendo monitoramento mais próximo para fraudes ou tentativas de acessar fundos de clientes. A Gnosis Pay tornou o 3D Secure, uma etapa extra de verificação para compras online, obrigatório para todos os pagamentos online com cartão.
A empresa disse que as salvaguardas permaneceriam até que o sistema de consumo seja desativado em 20 de dezembro.
Usuários contestam a resposta e levantam preocupações sobre phishing
Respostas ao anúncio da empresa questionaram o que aceitar a responsabilidade significaria para os clientes afetados. Vários usuários contestaram se um pedido de desculpas era suficiente, enquanto outros pediram o encerramento imediato do serviço.
Um respondente, publicando como Zoodirektor, perguntou: “O que significa ‘você assume total responsabilidade’?” Outro, publicando como dramanoodle, levantou preocupações sobre mais e-mails fraudulentos e ataques físicos direcionados a detentores de criptomoedas.
As respostas mostram preocupações sobre a exposição de informações pessoais, apesar da garantia da empresa de que os fundos não foram afetados. A própria orientação ao cliente da Gnosis Pay alertava que mensagens suspeitas poderiam conter detalhes pessoais genuínos ou se referir a uma compra real.
Os clientes foram instruídos a evitar links em e-mails, mensagens de texto, ligações ou cartas inesperadas relativas à Gnosis Pay, aplicativos parceiros ou seus cartões. A empresa aconselhou abrir diretamente o aplicativo web oficial ou o aplicativo do parceiro.
Foi dito que nem a Gnosis Pay nem seus parceiros solicitarão frases-semente, chaves privadas, PINs ou números completos de cartão. Eles não pedirão aos clientes que verifiquem novamente sua identidade por e-mail ou mensagem de texto, nem os instruirão a mover fundos por meio de mensagens ou ligações telefônicas.
O encerramento de dezembro foi anunciado antes da violação
A data de encerramento é anterior ao incidente de novembro. Um aviso formal emitido em 21 de setembro definiu o fim dos serviços de cartão da marca para as 23h59 UTC de 20 de dezembro de 2026.
Os cartões físicos e virtuais deixarão de autorizar transações nesse momento. O aplicativo web manterá a funcionalidade de saque, e os clientes continuarão sendo proprietários dos ativos mantidos em suas contas Safe de autocustódia, de acordo com o aviso.
Os clientes que desejarem acesso contínuo ao cartão devem aderir a um programa de parceiro sob novos termos. A migração é opcional, mas os cartões de marca existentes deixarão de funcionar independentemente disso.
O aviso pede aos titulares de cartão que exportem os históricos de transações antes do encerramento e atualizem os pagamentos recorrentes junto aos comerciantes. O suporte geral aos titulares de cartão está programado para terminar em 18 de junho de 2027, enquanto o suporte para reembolsos, disputas e estornos continua até 12 de junho de 2028.
Exploração anterior de US$ 1,5 milhão afetou a infraestrutura do cartão
A divulgação segue uma exploração separada de conta de cartão em junho, anteriormente coberta pela crypto.news, envolvendo cerca de US$ 1,5 milhão em ativos digitais.
Em sua análise post-mortem de julho, a Gnosis Pay atribuiu aquele incidente a uma falha no framework de contrato inteligente Zodiac e afirmou que os clientes afetados foram totalmente reembolsados. A divulgação de novembro diz respeito a informações de clientes; a empresa não declarou que os incidentes tenham uma causa em comum.
Os clientes afetados pela violação mais recente receberam recomendações específicas para suas contas. A Gnosis Pay orientou qualquer pessoa com preocupações a entrar em contato com [email protegido] e afirmou que sua equipe de suporte estava priorizando aqueles diretamente afetados.
