Gnosis Pay, fornitore di carte di debito Visa collegate alle criptovalute, ha reso noto venerdì un data breach che ha esposto i dati delle carte di pagamento dei clienti, gli indirizzi di residenza e gli indirizzi dei wallet in criptovalute.

Secondo un post ufficiale sul blog, l'azienda ha rilevato un accesso non autorizzato al suo sistema legacy per carte consumer il 3 novembre e ha avviato il contenimento della violazione entro due ore. Gnosis Pay ha dichiarato che i fondi dei clienti non sono stati interessati, così come la sua piattaforma enterprise separata, che alimenta i programmi di carte white-label.

Le notifiche di breach esaminate da Cointelegraph hanno mostrato che le informazioni compromesse includevano numeri completi delle carte di pagamento, date di scadenza, codici CVV, nomi dei clienti, indirizzi di residenza e indirizzi dei wallet collegati agli account coinvolti. I dati esposti includevano anche indirizzi email, numeri di telefono, nazionalità e, in alcuni casi, dettagli bancari come le informazioni IBAN e BIC.

L'importanza dei dati esposti varia a seconda della categoria. Numeri completi delle carte, date di scadenza e codici CVV sono in genere tutto ciò che serve per effettuare pagamenti online senza presenza fisica della carta. Gli indirizzi dei wallet, al contrario, sono identificatori pubblici sulle blockchain e di per sé non consentono l'accesso ai fondi, ma in questa violazione sono stati esposti insieme ai nomi e agli indirizzi di residenza dei clienti, collegando attività on-chain pseudonime a identità nel mondo reale.

Un cliente di Gnosis Pay ha condiviso una notifica di breach che dettaglia i dati personali e finanziari esposti. Fonte: Lefteris Karapetsas su X

Una notifica confermava inoltre che la carta del cliente era stata annullata il 3 novembre, senza che fosser state rilevate transazioni sospette o movimenti di fondi.

In risposta, Gnosis Pay ha dichiarato di aver sostituito le credenziali di sicurezza compromesse, di aver risolto la vulnerabilità e di aver reso obbligatoria la verifica 3D Secure per i pagamenti online fino al ritiro pianificato del sistema legacy, previsto per il 20 dicembre. 3D Secure richiede un ulteriore passaggio di verifica per i pagamenti online con carta, oltre ai dati statici della carta esposti nella violazione. L'azienda ha anche avvisato i clienti circa tentativi di phishing che utilizzano i loro dati personali o di transazione e ha dichiarato di star organizzando un monitoraggio per possibili usi impropri dei dati rubati.

Secondo i dati di OpenRate, piattaforma di terze parti che traccia l'attività delle carte crypto, Gnosis Pay contava circa 2.400 titolari di carte attivi giornalieri e ha elaborato 263.200 dollari in transazioni nelle 24 ore preced — cifre che offrono un'idea della scala della piattaforma.

L'azienda non ha divulgato quanti clienti siano stati coinvolti e non ha risposto immediatamente alla richiesta di commento di Cointelegraph. Con il numero di account coinvolti ancora non specificato, il monitoraggio dell'azienda per usi impropri dei dati rubati e il ritiro del sistema legacy delle carte previsto per il 20 dicembre — momento in cui l'obbligo di 3D Secure è attualmente destinato a scadere — sono gli elementi immediati da tenere d'occhio.

Fonte: Cointelegraph