Gnosis Pay confirmó que parte de la información de clientes quedó expuesta tras un acceso no autorizado a su sistema heredado de tarjetas B2C (empresa a consumidor). El proveedor de tarjetas de pago cripto dijo que detectó el incidente el 3 de noviembre e inició las medidas de contención en un plazo de dos horas.

Según Wu Blockchain, el incidente involucró al sistema de tarjetas B2C más antiguo de Gnosis Pay. La empresa indicó que reemplazó las credenciales comprometidas y atendió la vulnerabilidad después de identificar el acceso no autorizado. También se notificó a los clientes cuya información se vio afectada.

Gnosis Pay subrayó que el incidente de seguridad no afectó los fondos de los clientes ni su plataforma empresarial de tarjetas white-label, la oferta a través de la cual otras empresas pueden emitir tarjetas bajo su propia marca. El anuncio establece una distinción clara entre el sistema heredado comprometido y la oferta empresarial de la empresa, que según informó permaneció intacta. También refleja una consideración de seguridad propia de los proveedores de tarjetas de pago cripto: incluso cuando los fondos de los clientes permanecen intactos, los sistemas de tarjetas almacenan información personal que puede quedar expuesta mediante accesos no autorizados.

Gnosis Pay refuerza sus medidas de seguridad para tarjetas

En respuesta a la exposición, Gnosis Pay introdujo medidas de seguridad adicionales que cubren la actividad de tarjetas y billeteras. La empresa ha incrementado el monitoreo en ambas áreas como parte de su respuesta posterior al incidente.

También hizo obligatoria la verificación 3D Secure para todos los pagos con tarjeta en línea. 3D Secure es un estándar de autenticación de la industria de tarjetas diseñado para agregar un paso de verificación a las transacciones en línea, y este requisito ahora aplica a todos los pagos en línea realizados con tarjetas de Gnosis Pay. La medida forma parte de las salvaguardas anunciadas tras la detección del acceso no autorizado.

La empresa indicó que su respuesta incluyó el reemplazo de las credenciales comprometidas, la corrección de la vulnerabilidad identificada y la notificación a los clientes cuya información se vio afectada. La contención comenzó en un plazo de dos horas desde la detección del incidente el 3 de noviembre.

El sistema de tarjetas heredado será retirado

El sistema de tarjetas B2C afectado es una plataforma heredada que Gnosis Pay ya planeaba retirar. La empresa programó su retiro para el 20 de diciembre, estableciendo un cronograma definido para la eliminación del sistema.

El anuncio no indica que los fondos de los clientes hayan sido comprometidos ni que se haya accedido a la plataforma empresarial de tarjetas white-label. El impacto declarado por Gnosis Pay se limita a la exposición de parte de la información de clientes mediante el no autorizado al sistema heredado B2C.

Para los clientes afectados, Gnosis Pay confirmó la notificación y detalló las salvaguardas adicionales introducidas después del incidente. Estas incluyen un monitoreo ampliado de la actividad de tarjetas y billeteras y la verificación 3D Secure obligatoria para todos los pagos con tarjeta en línea. Con la eliminación de la plataforma heredada programada para el 20 de diciembre, esa fecha funciona como el punto final definido para el sistema involucrado en el incidente, mientras que el monitoreo ampliado y los requisitos de autenticación siguen siendo las salvaguardas vigentes para los titulares de tarjetas de Gnosis Pay

Fuente: Hokanews