Gnosis Payは11月6日の発表で、11月3日に自社ブランドカードを支えるシステムへの不正アクセスが監視によって検知され、2時間以内に封じ込めが開始されたと述べた。同社によると、顧客資金とエンタープライズプラットフォームは影響を受けていないが、影響を受けた顧客に送られた通知には、カード番号から自宅住所、関連する暗号資産ウォレットに至るまでの個人情報が記載されていた。

すでに終了が決まっていた製品内での侵害

被害を受けたシステムは、Gnosis Payのコンシューマー事業、すなわち自社ブランドで販売され、英国金融行為監督機構（FCA）に認可された電子マネー企業Monavateが発行するVisaデビットカードを運用していた。同社はすでにこのシステムを12月20日に廃止する予定だった。他企業向けのホワイトラベルカードプログラムを運用するエンタープライズプラットフォームへ移行中であり、Gnosis Payによればこちらは影響を受けていない。

Gnosis Payは、侵害された認証情報を交換し、脆弱性を修正し、影響を受けた全顧客にアカウントから取得された情報の詳細を記載したリストをメールで送付したと述べている。

これは当カード製品にとって今年2度目のセキュリティインシデントである。6月には、攻撃者がGnosis Payアカウントで使用されるウォレットソフトウェアモジュールの脆弱性を悪用し、約150万ドルを抽出した。 Gnosisは事後調査レポートによると、これらの損失を吸収しユーザーの資金を復旧した。両インシデントの性質は異なり、6月の攻撃者は資金を直接狙ったが、11月の侵入はアカウントデータを狙ったものだった。

11月の通知の一つが公開されている。ポートフォリオトラッカーRotkiの創設者Lefteris Karapetsas氏は自身のメールをX上で共有した。CoinDeskの報道によると、その通知には氏名、自宅の完全な住所、カード番号、アカウントに紐付くすべてのウォレットアドレスが記載されていた。同氏は同社に対し「少なくとも私のデータは保護できるはずだった」と述べた。他の顧客のメールには異なる項目が記載されている可能性があるため、各人が対応すべきことは公表文ではなく本人宛ての通知に示されている。

カード番号の問題は12月20日に終わる

流出したカード番号がもたらす即時のリスクは一つ、カード情報だけでのオンライン購入である。Gnosis Payの主要な対策はまさにこれを狙ったものだ。同社は、VisaがVisa Secureとしてブランド化する3D Secureを、すべてのオンラインカード決済で必須とした（Visa Secure）。これによりカード発行会社は、購入が成立する前にカード名義人の承認を求めることができる。Gnosis Payはカードおよびウォレット活動の不正利用監視も強化している。

同社は、この両対策はコンシューマーシステムが停止するまで維持されると述べている。12月20日以降、流出した番号はもはや機能しないカードに属するものであるため、この部分の露出には期限がある。

ウォレットとの紐付けに期限はない

流出した記録の残りの部分はカードとともに無効にはならない。ウォレットアドレスは設計上公開情報であり、誰でもブロックエクスプローラーを開けば残高と全取引履歴を見ることができる。アドレスに通常欠けているのは名前である。人個人の身元や自宅住所と結び付けた記録は、その欠けた部分を補い、ウォレットが使用されている限りその紐付けは有効であり続ける。この紐付けは、カード発行前に顧客の身元確認を義務付けられる規制対象のカードプログラムに本来備わっているものだ。

とはいえ、データを手にした者が資金にアクセスできるわけではない。Gnosis Payのサポートガイダンスによれば、同社は顧客の鍵を保有したことがなく、被害を受けたシステムに鍵は含まれ得ず、アドレスを知っているだけで資金を使うことはできない。

攻撃者にとってこの記録が提供するのは標的情報、すなわち誰に接触すべきか、どこに住んでいるか、何を保有しているように見えるかである。同社自身の発表も同じ方向を指し、オンライン・オフラインを問わず、アドレスや保有状況を共有する相手に注意するよう顧客に促している。

暗号資産業界には、この種のデータがどれほど長く有用であり続けるかの前例がある。2020年12月、ハードウェアウォレットメーカーLedgerから盗まれたデータベースがオンラインに流出した。同社は約27万2,000件の顧客記録に氏名、郵送先住所、電話番号が含まれていたことを確認した。Ledger自身の説明では、その後数か月にわたるフィッシングキャンペーンが続いたとされ、City AMの報道では、支払いに応じない顧客に自宅訪問を仄めかす脅迫があったと伝えられた。

Ledgerのリストは、誰かがハードウェアウォレットを購入したことを示すだけだった。一方、Karapetsas氏が共有した通知はさらに踏み込み、実名の人物を、残高を誰でも確認できる特定のアドレスに結び付けている。

露出には限界もある。カードウォレットに支出用資金だけを置いていた顧客の場合、見える残高は小さいかもしれない。しかし、この保護はウォレットが分離されている限りでのものである。カードウォレットへの送受金はオンチェーンに記録され、より大きなアドレスにつながる可能性があり、公開された通知には一つのアドレスではなく紐付く全アドレスが記載されていた。

巧みな偽メッセージのあり方

流出した情報は、不審なメッセージに対して人々が通常用いる見分けの基準を弱める。英国の国家サイバーセキュリティセンター（NCSC）は、犯罪者が盗んだ情報を使ってフィッシングを正当に見せかける可能性があると警告している。また、侵害事故の報道により、データが盗まれていない人にも接触しやすくなるとも警告している。

サービス終了の過程は詐欺師に格好の台本を与える。Gnosis Payのカードヘルプページはすでに、「Gnosis Payアカウントを移行せよ」とする偽サイト、偽パートナーoffer、資金移動を手伝うと名乗る見知らぬ人物への警戒を呼び掛けている。実際の購入履歴、実際の自宅住所、実際の12月20日という日付を引用したメッセージは、日常的なアカウント管理と見分けがつかないかもしれない。先週、同様の手口で偽エアドロップアプリがSolana Mobileのストア注目枠に表示され、ユーザーにリカバリーフレーズを求めていた。

Gnosis Pay自身の説明は、顧客が適用すべき確かな基準を与えている。同社は、本体およびパートナーアプリがシードフレーズ、秘密鍵、PIN、カード番号の全体を求めることはなく、メールやSMSで本人確認の再実施を求めることもないと述べている。また、メール、SMS、電話による資金の送金を求めることもないという。同じサポートガイダンスには、自己管理資金の引き出しに期限はないと記されている。したがって、送金を12月20日に結び付けるメッセージは、その時点で虚偽である。

侵害通知が届いた場合

**必ず公式経路で自身の通知を確認する。**メッセージ内のリンク経由ではなく、Gnosis Payのウェブアプリまたはパートナーアプリを直接開き、メールに記載された項目を確認する。Gnosis Payは、各アカウントで失われたデータに基づき追加の対応を推奨したとしている。公式パートナーアプリはPartner Marketplaceに掲載されている。

**カード番号が記載されていた場合はカードを凍結する。**凍結はアプリから即時かつ取り消し可能である。カードの紛失・盗難の届出をすると恒久的に無効化され、代替カードは12月20日までしか発注できない。支出が必要な場合は、ウェブアプリにバーチャルカードを即座に追加できる。

**最近のすべての支払いを確認する。**心当たりのない取引は異議申し立てが可能である。Gnosis Payは、カードが機能しなくなった後も2028年5月24日までチャージバックや紛争対応を継続すると述べている。

**新しいアドレスで新たな保有を始める。**Gnosis Payの記録に一度も現れたことのないアドレスで受け取った資金は、この流出とは紐付かない。自己の判断で、自身のウォレットアプリに設定すること。紐付いたアドレスから直接資金を移動するとオンチェーンに記録が残るため、これは関連を消すのではなく狭めることになる。

**自身の全記録を請求する。**Gnosis Payは英国登録企業であり、英国のデータ保護法により個人は企業が保有する自己の個人データのコピーを請求する権利を持つ。組織は通常1か月以内に対応する義務があり、そのコピーには記録されていた内容が正確に示される。

Gnosis Payがまだ明らかにしていないこと

Gnosis Payは次の3点を開示していない：

• 影響を受けた顧客の数；
• 侵入の開始時期（11月3日は検知日でしかない）；
• 流出したカードデータに有効期限やセキュリティコードが含まれていたかどうか。これは12月20日までに流出番号がどの程度使えるかを左右する。

同社はデータ保護当局およびカード発行会社と連絡を取っており、盗まれたデータの悪用の兆候を検知するための専門的な監視を手配したとしている。英国のデータ保護規則では、組織は対象となる個人データ侵害を認知してから72時間以内に、同国のデータ保護規制機関である情報コミッショナー事務局（ICO）へ通知することが求められる。その監視からの発見、または規制当局の声明が、データが侵害されたサーバーから現実の詐欺へ移ったことの最初の公的な確認となるだろう。12月20日の終了前に実際の顧客情報を引用した偽の移行offerの報告があれば、同じ方向を示すことになる。