Gnosis Pay reveló una filtración de datos de clientes el 6 de noviembre después de detectar un acceso no autorizado a su sistema heredado de tarjetas de consumo. La compañía indicó que los fondos de los clientes y su plataforma empresarial no se vieron afectados, y que los controles de pago reforzados se mantendrán hasta el 20 de diciembre. El anuncio se produjo semanas después de que Gnosis Pay ya hubiera informado a los clientes que el servicio de tarjetas de consumo cerraría.

Según el comunicado público de la compañía, la intrusión fue detectada el 3 de noviembre y el personal de seguridad comenzó el confinamiento dentro de las dos horas siguientes — tres días antes de que la filtración fuera divulgada públicamente. Las credenciales afectadas fueron reemplazadas y la vulnerabilidad explotada fue corregida, según indicó la empresa. Gnosis Pay no ha identificado al atacante.

La compañía anunció el incidente en una publicación en X el 6 de noviembre:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Qué información fue expuesta en la filtración

Gnosis Pay señaló que la filtración ocurrió en la infraestructura detrás de su programa de tarjetas de consumo de marca, la línea de negocios B2C de la compañía. La línea de productos empresariales separada, que Gnosis Pay utiliza para operar programas de tarjetas para otras empresas, no estuvo implicada.

Cada persona afectada recibió un correo electrónico el 6 de noviembre describiendo la información comprometida de su cuenta. El aviso público no reveló cuántas personas fueron afectadas ni qué categorías de información fueron expuestas, y la empresa no proporcionó un cronograma para la publicación de detalles técnicos adicionales. Gnosis Pay dijo que notificó a sus socios comerciales, al emisor de la tarjeta y a las autoridades de protección de datos correspondientes. Según el Reglamento General de Protección de Datos de la Unión Europea, las organizaciones generalmente deben reportar las filtraciones de datos personales a la autoridad de supervisión competente dentro de las 72 horas posteriores a su conocimiento — un requisito que moldea la respuesta a filtraciones en el sector de pagos de Europa.

Cómo reforzó Gnosis Pay la seguridad de las tarjetas

En respuesta al incidente, la empresa implementó el protocolo 3D Secure, que requiere la verificación de la identidad del usuario antes de completar una transacción. Se espera que esta política permanezca vigente hasta que el sistema heredado de consumo sea cerrado.

Las medidas generaron objeciones por parte de algunos consumidores después de la filtración, con usuarios planteando preguntas sobre la responsabilidad y la posibilidad de ataques de phishing mediante correos electrónicos que contienen datos filtrados. Gnosis Pay advirtió que dichos correos pueden hacer referencia a datos personales o a transacciones legítimas realizadas anteriormente. Recomendó a los clientes no hacer clic en enlaces de correos electrónicos, mensajes de texto u otras aplicaciones de mensajería, y acceder al servicio únicamente a través de la aplicación web oficial o de una aplicación de un socio.

La compañía indicó que nunca solicita frases semilla, claves privadas, PIN ni números completos de tarjeta a través de mensajes, y advirtió a los usuarios sobre solicitudes de mover fondos o repetir la verificación de identidad mediante contactos no solicitados. Estas advertencias tienen una vigencia prolongada: los datos personales filtrados en una brecha pueden reaparecer en intentos de phishing mucho tiempo después del incidente, y los clientes seguirán utilizando la aplicación web para retiros, exportaciones de historial y actualizaciones de pagos recurrentes durante todo el proceso de cierre, cuyos plazos de soporte se extienden hasta 2027 y 2028.

Cuándo cerrará el servicio de tarjetas de consumo

El cierre del programa de tarjetas de consumo estaba en marcha antes de que ocurriera la filtración. En un aviso formal publicado el 21 de septiembre, Gnosis Pay indicó que las tarjetas físicas y virtuales de marca dejarían de autorizar transacciones después de las 23:59 UTC de ese mismo día.

La aplicación web dejará de ofrecer servicios distintos a los retiros. Los usuarios conservan la propiedad de los fondos en sus cuentas Safe de autocustodia, que ya no dependen de la disponibilidad del programa de tarjetas.

Los usuarios pueden optar por unirse a un programa de socio para seguir usando una tarjeta, un paso que requiere aceptar nuevos términos. En cualquier caso, las tarjetas actuales de marca Gnosis Pay dejarán de funcionar.

El aviso insta a los usuarios a exportar sus historiales de transacciones y actualizar la información de sus pagos recurrentes. El soporte general para titulares de tarjetas finalizará el 18 de junio de 2027, mientras que la asistencia para reembolsos y contracargos se extenderá hasta el 12 de junio de 2028.

En qué se diferencia la filtración de noviembre del exploit de junio

La divulgación marca el segundo incidente de seguridad que afecta a la plataforma de tarjetas este año. En junio, el sistema de tarjetas-billetera sufrió un ataque separado. En un análisis post-mortem del 3 de julio, Gnosis Pay reconoció que una vulnerabilidad en los módulos Zodiac permitió a los hackers extraer casi 1,5 millones de dólares en criptomonedas. La falla se originó en una validación de firmas incorrecta en el software card-safe. La compañía indicó que asumió las pérdidas con serenidad y reequilibró los fondos de los clientes.

Vistos lado a lado, los dos incidentes apuntan a tipos distintos de exposición: el de junio fue un exploit on-chain con criptomonedas robadas en juego, mientras que el de noviembre se centra en información de clientes — desplazando las preguntas abiertas de la recuperación de activos a la protección de datos.