Gnosis Payの情報漏えい、カード番号・自宅住所・ウォレット情報が露出
重要ポイント
- •Gnosis Payは11月3日にレガシーな個人向けカードインフラへの不正アクセスを検知し、11月6日にこの侵害を公表した。封じ込めは2時間以内に開始された。
- •漏えいした情報には、クレジットカードの完全な番号、有効期限、CVVコード、自宅住所、個人の連絡先情報、紐づく暗号資産ウォレットアドレスが含まれる一方、身分証明書や生年月日は侵害されたデータには含まれていなかった。
- •同社は、顧客資金、ウォレットの鍵、法人向けホワイトラベルカードインフラは侵害されていないと述べたが、影響を受けた顧客数とアクセス手法は依然として非公開である。
- •対応として、Gnosis Payは漏えいしたカードを無効化し、オンライン決済に3Dセキュア認証を必須化し、カードとウォレットの利用監視を強化し、カード発行会社、パートナー、データ保護当局にこのインシデントを報告した。
- •今回の侵害は、約150万ドルが盗まれたGnosis PayのZodiac Delay Moduleに関する6月の別の不正利用に続くもので、Chainalysisの開示や12の暗号資産サイトへのStepDrainer攻撃を含む、暗号資産セクター全体で続くより広範なセキュリティ事件の中で発生している。
Gnosis Payは、クレジットカードの完全な番号、セキュリティコード、自宅住所、暗号資産ウォレット情報を含む機密性の高い顧客情報が漏えいしたセキュリティインシデントを確認した。暗号資産保有者を狙ったなりすましや標的型攻撃への懸念が高まっている。
同社は11月3日、レガシーな個人向けカードインフラへの不正アクセスを検知し、11月6日に公式ブログ記事でこのインシデントを公表した。セキュリティチームは2時間以内に封じ込めを開始し、その後、漏えいした認証情報の交換と脆弱性への対応を行った。
Gnosis Payによると、顧客の資金は影響を受けておらず、他社向けにホワイトラベルカードプログラムを提供している法人向けインフラも侵害されていないという。影響を受けた顧客数と情報へのアクセス手法は依然として非公開である。
露出したカード番号、自宅住所、ウォレット情報
顧客に送付された侵害通知によると、氏名、メールアドレス、電話番号、国籍、自宅住所、Gnosis Payアカウントに紐づく暗号資産ウォレットアドレスなど、広範な情報が漏えいしていた。さらに懸念されることに、漏えいした記録にはクレジットカードの完全な番号、有効期限、CVVセキュリティコードが含まれていた。カード番号、有効期限、CVVの組み合わせは、通常オンラインカード決済の完了に必要な情報であり、今回の漏えいにおいて最も直接的に悪用されうるデータとなっている。一部の顧客では、IBANやBICを含む銀行口座情報も漏えいしていた。
身分証明書や生年月日は、漏えいした情報には確認されていない。
Rotkiの創設者Lefteris Karapetsas氏は、同社の機密性の高い顧客記録の取り扱いを公に疑問視した人の一人である。同氏は、自宅住所、氏名、カード番号、紐づくウォレットアドレスが漏えいしたことを明らかにし、同社が自分の情報を保護できなかったことへの不満を示した。
「非常に失望しています。私をユーザーとして失うのは既に済んでいましたが、せめてデータだけは保護していただきたかった」同氏はXでこのように書いた。
物理的な住所とブロックチェーンのウォレット識別子の組み合わせは、特に大きなプライバシーリスクをもたらす。攻撃者は個人を特定できる人物とその暗号資産保有を紐づけ、標的型フィッシング、なりすまし、物理的な脅迫を可能にする可能性がある。失効させて差し替え可能な盗まれたカード情報とは異なり、漏えいした居住情報や過去のブロックチェーンアドレスは容易に変更や消去ができない。
Gnosis Pay、カード無効化と3Dセキュアの必須化を実施
Gnosis Payは、漏えいしたカードを無効化し、オンライン決済に3Dセキュア認証を必須とすることで、取引完了前の追加認証要件を導入した。また、カード利用と接続ウォレットの監視を強化し、影響を受けた顧客に個別に通知し、カード発行会社、事業パートナー、関係するデータ保護当局にこのインシデントを報告した。漏えいした情報の悪用を検知するための追加監視も手配されている。
該当する個人向けプラットフォームは、Gnosis Payが法人向けカードインフラに注力する決定に伴い、正式な閉鎖通知の通り、既に2026年12月20日に提供終了する予定であった。既存の閉鎖スケジュールは変更されておらず、追加のセキュリティ対策はそれまで維持される見込みである。
過去の不正利用と業界の背景
今回のインシデントは、6月に発生したGnosis PayのZodiac Delay Moduleに関する別の不正利用に続くもので、Gnosisが影響を受けた顧客に返金するまでに約150万ドルが盗まれた。両インシデント間の関連は確認されていない。
また、今回の侵害は、Chainalysisが顧客情報への不正アクセスを明らかにし、12の暗号資産サイトがStepDrainer攻撃の標的となった直後の出来事でもある。これら一連の最近のインシデントは、サービス側の情報漏えいと消費者向け攻撃キャンペーンの双方に及んでおり、Gnosis Payの侵害は暗号資産セクター全体で続くより広範なセキュリティ事件の中に位置づけられている。
Gnosis Payは、アカウント確認や暗号資産の送金を求める予期しないメール、電話、SMSに注意するよう顧客に呼びかけている。たとえそれらの連絡に本物の個人情報が含まれていても同様である。同社はウォレットの鍵と顧客資金は侵害されていないと主張しているが、金融情報と個人を特定できる情報の漏えいにより、影響を受けたユーザーは12月の閉鎖後も詐欺やプライバシーのリスクに直面する可能性がある。侵害の規模とアクセス手法は依然として非公開であり、悪用検知の監視もまだ手配中であるため、これらの未解決事項はプラットフォームの提供終了までに注目すべき重要なポイントとなっている。
