Gnosis Payは11月6日、レガシーな消費者向けカードシステムへの不正アクセスを検知し、顧客データ漏洩を公表した。同社によると、顧客資金およびエンタープライズプラットフォームは影響を受けておらず、強化された決済管理は12月20日まで継続される。この発表は、Gnosis Payが消費者向けカードサービスの終了をすでに顧客に通知してから数週間後のことだった。

同社の公式発表によると、侵入は11月3日に検知され、セキュリティ担当者は2時間以内に封じ込めを開始した。これは漏洩が公表される3日前にあたる。同社によると、影響を受けた認証情報は置換され、悪用された脆弱性は修正された。Gnosis Payは攻撃者を特定していない。

同社は11月6日、Xへの投稿でこのインシデントを発表した:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

漏洩した情報は何か

Gnosis Payによると、漏洩は同社のB2C事業であるブランド付き消費者向けカードプログラムの基盤インフラで発生した。他社のカードプログラムを支援するために使用される別のエンタープライズ製品ラインは影響を受けていないという。

影響を受けた各個人には11月6日、自己のアカウントから漏洩した情報の内容を記したメールが送付された。公式通知では、影響を受けた人数や漏洩した情報の種類は開示されておらず、追加の技術的詳細を公表する時期についても言及されていない。Gnosis Payは、事業パートナー、カード発行会社、および関連するデータ保護当局に通知したと述べている。EUの一般データ保護規則(GDPR)では、組織は個人情報の漏洩を認知してから72時間以内に所轄の監督機関に報告することが一般的に義務付けられており、この要件が欧州の決済セクター全体での漏洩対応を形作っている。

Gnosis Payのカードセキュリティ強化策

このインシデントを受け、同社は取引完了前にユーザーの本人確認を求める3D Secureプロトコルを導入した。この方針は、レガシーな消費者向けシステムが停止されるまで継続される見込みである。

漏洩後、一部の消費者からこれらの対策に異議が提出され、責任の所在や、漏洩データを含むメールによるフィッシング攻撃の可能性についての質問が寄せられた。Gnosis Payは、そのようなメールには個人情報や過去の正当な取引が記載されている可能性があると注意喚起した。同社は、メール、SMS、その他のメッセージアプリ内のリンクをクリックせず、公式ウェブアプリまたはパートナーアプリからのみサービスにアクセスするよう顧客に勧めている。

同社は、メッセージでシードフレーズ、秘密鍵、PIN、カード番号の全体を求めることは決してないと述べ、不審な連絡による資金移動や本人確認の再実施の要求に警戒するようユーザーに警告した。これらの注意喚起は長期にわたって有効だ。漏洩した個人情報は、インシデントからかなり経過した後もフィッシング攻撃に再利用される可能性があり、顧客は縮小期間を通じて引き出し、履歴のエクスポート、継続支払い情報の更新のためにウェブアプリを引き続き使用することになる。サポート期間は2027年から2028年まで及ぶ。

消費者向けカードサービスはいつ終了するのか

消費者向けカードプログラムの縮小は、漏洩が発生する前に始まっていた。9月21日に公開された正式な通知で、Gnosis Payはブランド付きの物理カードおよびバーチャルカードが同日23:59 UTC以降、取引の承認を停止すると述べた。

ウェブアプリは出力(出金)以外のサービスを提供しなくなる。ユーザーはセルフカストディ型のSafeアカウント内の資金の所有権を保持しており、これはもはやカードプログラムの可用性に依存しない。

ユーザーは、カードの利用を続けるためパートナープログラムに任意で参加することができる。この手順には新規利用規約への同意が必要となる。いずれの場合も、既存のGnosis Payブランド付きカードは機能を停止する。

通知では、取引履歴をエクスポートし、継続支払いの情報を更新するようユーザーに呼びかけている。カードホルダーへの一般サポートは2027年6月18日に終了し、返金およびチャージバックの支援は2028年6月12日まで提供される。

11月の漏洩と6月の不正利用の違い

今回の公表は、今年カードプラットフォームに影響を与えた2件目のセキュリティインシデントである。6月には、カードウォレットシステムが別の攻撃を受けた。7月3日の事後検証レポートで、Gnosis PayはZodiacモジュールの脆弱性によりハッカーが約150万ドル相当の暗号資産を引き出すことを許したことを認めた。この欠陥は、カードセーフソフトウェアにおける署名検証の誤りに起因する。同社は損失を受け入れ、顧客の資金を再バランスしたと述べている。

2つのインシデントを並べてみると、異なる種類のリスクが浮かび上がる。6月の件は盗まれた暗号資産が問題となるオンチェーン上の不正利用であり、11月の件は顧客情報が中心である。これにより、未解決の論点は資産回復からデータ保護へと移った。