Gnosis Pay a révélé le 6 novembre une fuite de données clients après avoir détecté un accès non autorisé à son système historique de cartes grand public. L'entreprise a indiqué que les fonds des clients et sa plateforme entreprise n'avaient pas été touchés, et que des contrôles de paiement renforcés resteront en place jusqu'au 20 décembre. Cette annonce est intervenue quelques semaines après que Gnosis Pay avait déjà informé ses clients de la fermeture prochaine du service de cartes grand public.

Selon la déclaration publique de l'entreprise, l'intrusion a été détectée le 3 novembre et les équipes de sécurité ont commencé le confinement en moins de deux heures — trois jours avant la divulgation publique de la fuite. Les identifiants concernés ont été remplacés et la vulnérabilité exploitée a été corrigée, selon l'entreprise. Gnosis Pay n'a pas identifié l'attaquant.

L'entreprise a annoncé l'incident dans une publication sur X le 6 novembre :

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Quelles informations ont été exposées lors de la fuite

Gnosis Pay a précisé que la fuite s'était produite dans l'infrastructure de son programme de cartes grand public, son activité B2C. La gamme de produits entreprise distincte, utilisée par Gnosis Pay pour alimenter les programmes de cartes d'autres sociétés, n'a pas été concernée.

Chaque personne touchée a reçu un e-mail le 6 novembre décrivant les informations compromises de son compte. L'avis public n'a pas indiqué combien de personnes étaient concernées ni quelles catégories d'informations avaient été exposées, et l'entreprise n'a pas communiqué de calendrier pour la publication de détails techniques supplémentaires. Gnosis Pay a déclaré avoir informé ses partenaires commerciaux, l'émetteur de la carte et les autorités compétentes en matière de protection des données. En vertu du Règlement général sur la protection des données de l'Union européenne, les organisations doivent généralement signaler les fuites de données personnelles à l'autorité de contrôle compétente dans les 72 heures suivant leur découverte — une exigence qui structure la gestion des incidents dans le secteur européen des paiements.

Comment Gnosis Pay a renforcé la sécurité des cartes

En réponse à l'incident, l'entreprise a mis en œuvre le protocole 3D Secure, qui exige la vérification de l'identité de l'utilisateur avant qu'une transaction ne soit finalisée. Cette mesure devrait rester en place jusqu'à la fermeture du système historique grand public.

Ces mesures ont suscité des objections de la part de certains consommateurs après la fuite, avec des questions sur la responsabilité et le risque de tentatives de phishing via des e-mails contenant des données divulguées. Gnosis Pay a averti que de tels e-mails peuvent mentionner des données personnelles ou des transactions passées légitimes. Elle a conseillé aux clients de ne pas cliquer sur les liens dans les e-mails, SMS ou autres applications de messagerie, et d'accéder au service uniquement via l'application web officielle ou une application partenaire.

L'entreprise a indiqué ne jamais demander de phrases de récupération, de clés privées, de codes PIN ni de numéros de carte complets par message, et a mis en garde contre les demandes de transfert de fonds ou de nouvelle vérification d'identité via des contacts non sollicités. Ces mises en garde restent pertinentes dans la durée : les données personnelles divulguées lors d'une fuite peuvent resurgir dans des tentatives de phishing bien après l'incident, et les clients continueront d'utiliser l'application web pour les retraits, l'exportation de leur historique et la mise à jour de leurs paiements récurrents tout au long de la fermeture, dont les fenêtres de support s'étendent jusqu'en 2027 et 2028.

Quand le service de cartes grand public fermera-t-il

La fermeture progressive du programme de cartes grand public avait été engagée avant la fuite. Dans un avis formel publié le 21 septembre, Gnosis Pay avait indiqué que les cartes physiques et virtuelles de sa marque cesseraient d'autoriser les transactions après 23h59 UTC le jour même.

L'application web cessera d'offrir des services autres que les retraits. Les utilisateurs conservent la propriété des fonds de leurs comptes Safe en auto-conservation, qui ne dépendent plus de la disponibilité du programme de cartes.

Les utilisateurs peuvent éventuellement rejoindre un programme partenaire pour continuer à utiliser une carte, une étape qui nécessite d'accepter de nouvelles conditions. Dans tous les cas, les cartes existantes de la marque Gnosis Pay cesseront de fonctionner.

L'avis invite les utilisateurs à exporter leur historique de transactions et à mettre à jour leurs informations de paiements récurrents. Le support général des titulaires de cartes prendra fin le 18 juin 2027, tandis que l'assistance pour remboursements et rétrofacturations sera assurée jusqu'au 12 juin 2028.

En quoi la fuite de novembre diffère de l'exploit de juin

Cette divulgation constitue le second incident de sécurité touchant la plateforme de cartes cette année. En juin, le système de portefeuille-cartes avait subi une attaque distincte. Dans un post-mortem publié le 3 juillet, Gnosis Pay avait reconnu qu'une vulnérabilité dans les modules Zodiac avait permis à des pirates de soutirer près de 1,5 million de dollars en cryptomonnaies. La faille provenait d'une validation de signature incorrecte dans le logiciel card-safe. L'entreprise avait déclaré avoir absorbé les pertes et rééquilibré les fonds pour ses clients.

Mis côte à côte, les deux incidents révèlent des types d'exposition différents : celui de juin était un exploit on-chain avec des cryptomonnaies volées, tandis que celui de novembre porte sur des informations clients — déplaçant les questions ouvertes du récupération d'actifs vers la protection des données.