Gnosis Pay a rendu obligatoire la vérification 3D Secure pour tous les paiements par carte en ligne après avoir détecté un accès non autorisé à son ancien système de cartes grand public. Le fournisseur de paiements crypto a identifié l'intrusion le 3 novembre 2026 et a rendu l'incident public le 6 novembre, confirmant que certaines informations clients avaient été exposées. Il n'a signalé aucune perte de fonds clients.

Les vérifications supplémentaires resteront en place jusqu'au 20 décembre, date à laquelle Gnosis Pay prévoit de retirer l'ancien système grand public. La société a indiqué que sa plateforme de cartes entreprise distincte, qui alimente les programmes de cartes en marque blanche pour les partenaires, n'avait pas été affectée par l'incident de sécurité.

La vérification supplémentaire reste en vigueur jusqu'à l'arrêt en décembre

Gnosis Pay a déclaré que son équipe de sécurité avait commencé à endiguer l'incident dans les deux heures suivant sa détection. La société a remplacé les identifiants concernés et corrigé la vulnérabilité sous-jacente. Elle a également renforcé la surveillance des cartes et des portefeuilles contre la fraude et les tentatives d'accès aux fonds des clients.

Le 3D Secure obligatoire ajoute une étape de vérification d'identité aux achats par carte en ligne, exigeant que le titulaire de la carte confirme la transaction auprès de l'émetteur de sa carte avant qu'elle puisse être finalisée. Ce mécanisme est une norme d'authentification largement utilisée pour les paiements par carte, destinée à rendre les données de carte volées insuffisantes à elles seules pour finaliser un achat en ligne. Ces mesures de protection s'appliquent pendant la durée de vie restante de l'activité grand public historique. Gnosis Pay avait déjà annoncé son intention de abandonner ses interfaces grand public et de orienter les utilisateurs vers des applications partenaires. La société a indiqué que sa plateforme entreprise n'était pas affectée, une distinction qui limite l'exposition confirmée à l'ancien système grand public plutôt qu'à l'ensemble des intégrations de Gnosis Pay.

La société notifie les clients et les autorités de protection des données

Gnosis Pay a déclaré avoir envoyé un e-mail à chaque client concerné le 6 novembre. Ces messages détaillaient les informations consultées sur les comptes individuels. La déclaration publique n'a pas précisé le nombre d'utilisateurs affectés ni toutes les catégories de données exposées. Elle n'a pas non plus identifié l'intrus ni expliqué comment l'accès non autorisé avait été obtenu.

La société a notifié ses partenaires et a entamé des échanges avec les autorités de protection des données concernées ainsi qu'avec son émetteur de cartes. Elle examine l'incident et organise une surveillance spécialisée contre une éventuelle utilisation frauduleuse des informations exposées.

Gnosis Pay a averti les clients de se méfier des messages inattendus contenant des données personnelles ou des références à des achats réels par carte. Elle a précisé que le support légitime ne demanderait jamais de phrases seed, de clés privées, de codes PIN ni de numéros de carte complets. Cette mise en garde reflète un schéma courant dans la fraude aux paiements, où les références à des achats réels et aux données personnelles rendent les messages frauduleux plus difficiles à distinguer des messages légitimes.

Les obligations relatives aux données persistent après le retrait des cartes grand public

L'arrêt en décembre ne signifie pas que Gnosis Pay effacera immédiatement toutes les données clients. Selon ses consignes publiées sur les données, les données d'identité et de transaction sont conservées pendant cinq ans après la fermeture du compte, tandis que la correspondance avec le support est conservée pendant six ans.

Les clients peuvent exporter leur historique de transactions par carte via l'application web grand public jusqu'au 20 décembre. Après cette date, ils devront demander leurs relevés directement auprès de la société. Gnosis Pay a souligné que les explorateurs de blockchain ne peuvent pas afficher les noms des commerçants ni les détails des transactions au niveau de la carte, ce qui signifie que les clients ne peuvent pas remplacer un export d'historique de carte par des enregistrements on-chain.

Cette divulgation concerne uniquement des informations clients et est distincte de l'exploitation de contrat intelligent de juin qui affectait les portefeuilles Gnosis Pay. Gnosis avait précédemment confirmé dans son post-mortem avoir restauré les fonds perdus lors de cet incident.

Source : Blockonomi