Gnosis Pay, proveedor de tarjetas de débito Visa vinculadas a cripto, reveló el viernes una brecha de seguridad que expuso los datos de tarjetas de pago, direcciones de domicilio y direcciones de wallets de criptomonedas de sus clientes.

Según una publicación oficial en el blog, la empresa detectó un acceso no autorizado a su sistema legacy de tarjetas de consumo el 3 de noviembre y comenzó a contener la brecha en un plazo de dos horas. Gnosis Pay indicó que los fondos de los clientes no se vieron afectados, al igual que su plataforma empresarial separada, que impulsa programas de tarjetas de marca blanca.

Las notificaciones de la brecha revisadas por Cointelegraph mostraron que la información comprometida incluía números completos de tarjetas de pago, fechas de vencimiento, códigos CVV, nombres de clientes, direcciones de domicilio y direcciones de wallets vinculadas a las cuentas afectadas. Los datos expuestos también incluían direcciones de correo electrónico, números de teléfono, nacionalidades y, en algunos casos, detalles bancarios como información de IBAN y BIC.

La importancia de los datos expuestos varía según la categoría. Los números completos de tarjeta, fechas de vencimiento y códigos CVV suelen ser todo lo necesario para realizar pagos en línea sin presencia física de la tarjeta. Las direcciones de wallets, en cambio, son identificadores públicos en las blockchains y por sí solas no otorgan acceso a los fondos, pero en esta brecha se expusieron junto con nombres y direcciones de domicilio de los clientes, vinculando la actividad seudónima en cadena con identidades del mundo real.

Un cliente de Gnosis Pay compartió una notificación de la brecha que detalla los datos personales y financieros expuestos. Fuente: Lefteris Karapetsas en X

Una de las notificaciones también confirmó que la tarjeta del cliente fue cancelada el 3 de noviembre, sin que se detectaran transacciones sospechosas ni movimiento de fondos.

En respuesta, Gnosis Pay dijo que reemplazó las credenciales de seguridad comprometidas, abordó la vulnerabilidad e hizo obligatoria la verificación 3D Secure para los pagos en línea hasta el retiro planificado del sistema legacy el 20 de diciembre. 3D Secure requiere un paso adicional de verificación para los pagos en línea con tarjeta, más allá de los datos estáticos de la tarjeta expuestos en la brecha. La empresa también advirtió a los clientes sobre intentos de phishing que utilizan sus datos personales o de transacciones y dijo que estaba organizando el monitoreo de posibles usos indebidos de los datos robados.

Según datos de OpenRate, una plataforma de terceros que rastrea la actividad de tarjetas cripto, Gnosis Pay tenía alrededor de 2,400 titulares de tarjetas activos diarios y procesó 263,200 dólares en transacciones en las últimas 24 horas, cifras que ofrecen una idea de la escala de la plataforma.

La empresa no reveló cuántos clientes se vieron afectados y no respondió de inmediato a la solicitud de comentarios de Cointelegraph. Con el de cuentas afectadas aún sin especificar, el monitoreo de la empresa ante posibles usos indebidos de los datos robados y el retiro del sistema legacy de tarjetas el 20 de diciembre —momento en el que está previsto que venza la exigencia obligatoria de 3D Secure— son los puntos inmediatos a observar.

Fuente: Cointelegraph