暗号資産連動型Visaデビットカードの提供企業Gnosis Payは、顧客の支払いカード情報、自宅住所、暗号資産ウォレットアドレスが流出するセキュリティ侵害を金曜日に公表した。

公式ブログ記事によると、同社は11月3日に旧型の個人向けカードシステムへの不正アクセスを検知し、2時間以内に侵害の封じ込めを開始したという。Gnosis Payは、顧客資金は影響を受けておらず、ホワイトラベルカードプログラムを支える別の法人向けプラットフォームも同様に影響を受けていないと述べた。

Cointelegraphが確認した侵害通知によると、漏洩した情報にはカード番号全桁、有効期限、CVVコード、顧客名、自宅住所、対象アカウントに紐づくウォレットアドレスが含まれていた。流出したデータにはさらに、メールアドレス、電話番号、国籍、場合によってはIBANやBIC情報などの銀行詳細も含まれていた。

流出データの重要性はカテゴリによって異なる。カード番号全桁、有効期限、CVVコードがあれば、通常はオンラインでのカード不在取引(CNP取引)に必要な情報がすべて揃う。一方、ウォレットアドレスはブロックチェーン上の公開識別子であり、それ自体で資金へのアクセスを許すものではないが、今回の侵害では顧客名や自宅住所とともに露出し、擬似匿名のオンチェーン活動と現実世界の身元が結び付けられることとなった。

Gnosis Payの顧客が、流出した個人情報および金融データの詳細を記した侵害通知を共有した。ソース:X上のLefteris Karapetsas

通知の1つは、顧客のカードが11月3日に停止されたこと、また不審な取引や資金の動きは検知されていないこともしていた。

これを受けてGnosis Payは、侵害されたセキュリティ認証情報の交換、脆弱性への対応を実施し、12月20日に予定されている旧システムの廃止までの間、オンライン決済での3Dセキュア認証を義務化したと述べた。3Dセキュアは、侵害で流出した静的なカード情報を超える追加認証ステップをオンラインカード決済に要求するものだ。同社はまた、個人情報や取引情報を悪用するフィッシングの試みについて顧客に警告し、盗まれたデータの悪用の可能性に備えた監視体制を整えていると説明した。

暗号資産カードの利用状況を追跡するサードパーティプラットフォームOpenRateのデータによると、Gnosis Payの日次アクティブカード保有者数は約2,400人で、直近24時間の取引額は263,200ドルに上り、これらの数値はプラットフォームの規模感を示している。

同社は影響を受けた顧客数を公表しておらず、Cointelegraphの取材要請にも直ちに回答しなかった。影響を受けたアカウント数が依然として不明である中、盗まれたデータの悪用に備えた同社の監視体制と、12月20日の旧型カードシステムの廃止(義務化された3Dセキュア要件が現時点で解除される予定の時点)が、注目すべき直近のポイントとなる。

ソース:Cointelegraph