Gnosis Pay ha reso obbligatoria la verifica 3D Secure per tutti i pagamenti con carta online dopo aver rilevato un accesso non autorizzato al suo sistema consumer carta legacy. Il provider di pagamenti crypto ha identificato l'intrusione il 3 novembre 2026 e ha reso noto l'incidente pubblicamente il 6 novembre, confermando che alcune informazioni sui clienti sono state esposte. Ha segnalato nessuna perdita di fondi dei clienti.

I controlli di verifica aggiuntivi resteranno in vigore fino al 20 dicembre, quando Gnosis Pay prevede di dismettere il sistema consumer legacy. La società ha dichiarato che la sua separata piattaforma carta enterprise, che alimenta i programmi di carte white-label per i partner, non è stata coinvolta nell'incidente di sicurezza.

La Verifica Aggiuntiva Resta Fino allo Spegnimento di Dicembre

Gnosis Pay ha dichiarato che il suo team di sicurezza ha avviato il contenimento entro due ore dal rilevamento. La società ha sostituito le credenziali interessate e risolto la vulnerabilità di base. Ha inoltre intensificato il monitoraggio di carte e wallet per frodi e tentativi di accesso ai fondi dei clienti.

Il 3D Secure obbligatorio aggiunge un passaggio di verifica dell'identità agli acquisti online con carta, richiedendo al titolare di confermare la transazione con l'emittente della carta prima del completamento. Il meccanismo è uno standard di autenticazione dei pagamenti con carta ampiamente utilizzato, pensato perché i dati di una carta rubata non siano da soli sufficienti per completare un acquisto online. Le misure di sicurezza si applicano per il periodo residuo di vita dell'operazione consumer legacy. Gnosis Pay aveva già annunciato piani per dismettere le interfacce consumer e spostare gli utenti verso le applicazioni dei partner. La società ha dichiarato che la sua piattaforma enterprise non è stata toccata, una distinzione che limita l'esposizione confermata al più vecchio sistema consumer e non a ogni integrazione di Gnosis Pay.

La Società Informa Clienti e Autorità Privacy

Gnosis Pay ha dichiarato di aver inviato un'email a ciascun cliente interessato il 6 novembre. Tali messaggi descrivevano in dettaglio le informazioni accessate dai singoli account. Il comunicato pubblico non ha specificato il numero di utenti coinvolti né tutte le categorie di dati esposti. Non ha inoltre identificato l'intruso né spiegato come sia stato ottenuto l'accesso non autorizzato.

La società ha informato i partner e ha avviato la comunicazione con le pertinenti autorità per la protezione dei dati e con l'emittente della carta. Sta esaminando l'incidente e organizzando un monitoraggio specialistico per un possibile uso improprio delle informazioni esposte.

Gnosis Pay ha invitato i clienti a prestare attenzione ai messaggi inattesi contenenti dati personali o riferimenti ad acquisti con carta autentici. Ha dichiarato che l'assistenza legittima non chiederebbe mai seed phrase, chiavi private, PIN o numeri completi della carta. L'avviso riflette uno schema comune nelle frodi sui pagamenti, in cui i riferimenti ad acquisti reali e ai dati personali rendono i messaggi fraudolenti più difficili da distinguere da quelli legittimi.

Gli Obblighi sui Dati Continuano Dopo la Dismissione delle Carte Consumer

Lo spegnimento di dicembre non significa che Gnosis Pay cancellerà immediatamente tutti i record dei clienti. Secondo le sue linee guida pubblicate sui dati, i record di identità e transazioni restano per cinque anni dopo la chiusura dell'account, mentre la corrispondenza con l'assistenza è conservata per sei anni.

I clienti possono esportare gli storici delle transazioni con carta tramite la web app consumer fino al 20 dicembre. Dopo tale data, dovranno richiedere i record direttamente alla società. Gnosis Pay ha osservato che gli explorer blockchain non possono mostrare i nomi dei merchant o i dettagli delle transazioni a livello di carta, quindi i clienti non possono sostituire l'esportazione dello storico carta con i record on-chain.

La divulgazione riguarda solo le informazioni sui clienti ed è separata dall'exploit dei smart contract di giugno che ha coinvolto i wallet di Gnosis Pay. Gnosis aveva precedentemente confermato nel suo post-mortem di aver ripristinato i fondi persi in quell'incidente.

Fonte: Blockonomi