Gnosis Pay a confirmé que certaines informations clients ont été exposées après un accès non autorisé à son ancien système de cartes destiné aux particuliers (B2C). Le fournisseur de cartes de paiement en crypto-monnaies a déclaré avoir détecté l'incident le 3 novembre et avoir engagé des mesures de confinement en moins de deux heures.

Selon Wu Blockchain, l'incident concernait l'ancien système de cartes B2C de Gnosis Pay. L'entreprise a indiqué avoir remplacé les identifiants compromis et corrigé la vulnérabilité après avoir identifié l'accès non autorisé. Les clients dont les informations ont été affectées ont également été informés.

Gnosis Pay a souligné que l'incident de sécurité n'a pas affecté les fonds des clients ni sa plateforme de cartes en marque blanche pour les entreprises, l'offre permettant à d'autres sociétés d'émettre des cartes sous leur propre marque. Cette communication établit une distinction claire entre l'ancien système compromis et l'offre entreprise de la société, qui, selon elle, est restée intacte. Elle illustre également une problématique de sécurité propre aux fournisseurs de cartes de paiement en crypto-monnaies : même lorsque les fonds des clients restent intacts, les systèmes de cartes contiennent des informations personnelles susceptibles d'être exposées par un accès non autorisé.

Gnosis Pay renforce les mesures de sécurité de ses cartes

En réponse à cette exposition de données, Gnosis Pay a mis en place des mesures de sécurité supplémentaires couvrant l'activité des cartes et des portefeuilles. La société a renforcé la surveillance dans ces deux domaines dans le cadre de sa réponse post-incident.

Elle a également rendu obligatoire la vérification 3D Secure pour tous les paiements en ligne par carte. 3D Secure est une norme d'authentification du secteur des cartes conçue pour ajouter une étape de vérification aux transactions en ligne, et cette exigence s'applique désormais à chaque paiement en ligne effectué avec les cartes Gnosis Pay. Cette mesure fait partie des dispositifs de sécurité annoncés après la détection de l'accès non autorisé.

La société a déclaré que sa réponse comprenait le remplacement des identifiants compromis, la correction de la vulnérabilité identifiée et l'information des clients dont les données ont été affectées. Le confinement a débuté dans les deux heures suivant la détection de l'incident le 3 novembre.

L'ancien système de cartes bientôt retiré

Le système de cartes B2C affecté est une plateforme ancienne quenosis Pay prévoyait déjà de retirer. La société a programmé son retrait pour le 20 décembre, fixant ainsi un calendrier précis pour la suppression du système.

La communication n'indique pas que les fonds des clients aient été compromis ni que la plateforme de cartes en marque blanche pour les entreprises ait été accessible. L'impact déclaré par Gnosis Pay reste limité à l'exposition de certaines informations clients via un accès non autorisé à l'ancien système B2C.

Pour les clients concernés, Gnosis Pay a confirmé les notifications et présenté les mesures de protection supplémentaires introduites après l'incident. Celles-ci comprennent une surveillance élargie de l'activité des cartes et des portefeuilles ainsi que la vérification 3D Secure obligatoire pour chaque paiement en ligne par carte. Avec le retrait de l'ancienne plateforme programmé pour le 20 décembre, cette date constitue désormais l'échéance définie pour le système impliqué dans l'incident, tandis que la surveillance élargie et les exigences d'authentification restent les mesures de protection en place pour les porteurs de cartes Gnosis Payn
Source : Hokanews