Gnosis Pay ha confermato che alcune informazioni dei clienti sono state esposte a seguito di un accesso non autorizzato al suo sistema carte legacy business-to-consumer (B2C). Il fornitore di carte di pagamento in criptovalute ha dichiarato di aver rilevato l'incidente il 3 novembre e di aver avviato le misure di contenimento entro due ore.

Secondo Wu Blockchain, l'incidente ha riguardato il precedente sistema carte B2C di Gnosis Pay. L'azienda ha dichiarato di aver sostituito le credenziali compromesse e di aver corretto la vulnerabilità dopo aver identificato l'accesso non autorizzato. Anche i clienti le cui informazioni sono state esposte sono stati notificati.

Gnosis Pay ha sottolineato che l'incidente di sicurezza non ha compromesso i fondi dei clienti né la sua piattaforma enterprise white-label, l'offerta attraverso cui altre aziende possono emettere carte con il proprio marchio. Il comunicato traccia una netta distinzione tra il sistema legacy compromesso e l'offerta enterprise dell'azienda, che secondo quanto dichiarato è rimasta invariata. Ciò riflette anche una considerazione di sicurezza specifica per i fornitori di carte di pagamento in criptovalute: anche quando i fondi dei clienti restano intatti, i sistemi carta contengono informazioni personali che possono essere esposte tramite accessi non autorizzati.

Gnosis Pay rafforza le misure di sicurezza delle carte

In risposta all'esposizione, Gnosis Pay ha introdotto ulteriori misure di sicurezza riguardanti l'attività di carte e wallet. L'azienda ha aumentato il monitoraggio su entrambi i fronti come parte della risposta all'incidente.

Ha inoltre reso obbligatoria la verifica 3D Secure per tutti i pagamenti online con carta. 3D Secure è uno standard di autenticazione del settore delle carte progettato per aggiungere un passaggio di verifica alle transazioni online, e il requisito ora si applica a ogni pagamento online effettuato con le carte Gnosis Pay. La misura fa parte delle salvaguardie annunciate dopo il rilevamento dell'accesso non autorizzato.

L'azienda ha dichiarato che la risposta ha incluso la sostituzione delle credenziali compromesse, la correzione della vulnerabilità identificata e la notifica dei clienti le cui informazioni sono state esposte. Il contenimento è iniziato entro due ore dal rilevamento dell'incidente il 3 novembre.

Il sistema carte legacy è destinato al ritiro

Il sistema carte B2C interessato è una piattaforma legacy che Gnosis Pay aveva già in programma di ritirare. L'azienda ne ha fissato il ritiro per il 20 dicembre, stabilendo una tempistica definita per la dismissione del sistema.

Il comunicato non indica che i fondi dei clienti siano stati compromessi né che la piattaforma enterprise white-label sia stata accessa. L'impatto dichiarato da Gnosis Pay resta limitato all'esposizione di alcune informazioni dei clienti tramite l'accesso non autorizzato al sistema B2C legacy.

Per i clienti interessati, Gnosis Pay ha confermato la notifica e ha illustrato le ulteriori salvaguardie introdotte dopo l'incidente. Queste includono un monitoraggio ampliato dell'attività di carte e wallet e la verifica 3D Secure obbligatoria per ogni pagamento online con carta. Con la dismissione della piattaforma legacy fissata per il 20 dicembre, tale data costituisce ora il termine definitivo per il sistema coinvolto nell'incidente, mentre il monitoraggio ampliato e i requisiti di autenticazione restano le salvaguardie in vigore per i titolari di carte Gnosis Pay

Fonte: Hokanews