Gnosis Payは、レガシーな個人向けカードシステムへの不正アクセスを検知したことを受け、すべてのオンラインカード決済で3D Secure認証を必須としました。この暗号資産決済プロバイダーは2026年11月3日に不正侵入を確認し、11月6日にインシデントを公表、一部の顧客情報が漏えいしたことを認めました。顧客資産の損失はないとしています。

追加された認証チェックは12月20日まで維持されます。同社はこの日付でレガシーな個人向けシステムを廃止する予定です。パートナー向けのホワイトラベルカードプログラムを支える法人向けカードプラットフォームは、このセキュリティインシデントの影響を受けていないと同社は述べています。

追加認証は12月の廃止まで継続

Gnosis Payによると、セキュリティチームは検知から2時間以内に封じ込めを開始しました。同社は影響を受けた認証情報を交換し、根本的な脆弱性に対処しています。また、不正利用や顧客資産への不正アクセスの試みに備え、カードとウォレットの監視を強化しました。

必須化された3D Secureは、オンラインカード決済に本人確認のステップを追加するもので、取引の完了前にカード名義人がカード発行会社との確認を行う必要があります。この仕組みは広く使われているカード決済認証の標準であり、盗まれたカード情報だけではオンライン購入を完了できないようにすることを目的としています。これらのセーフガードは、レガシーな個人向け事業の残存期間中に適用されます。Gnosis Payはすでに、個人向けインターフェースを廃止し、ユーザーをパートナーアプリケーションへ移行させる計画を発表していました。同社によると、法人向けプラットフォームは影響を受けておらず、この区別により確認済みの漏えいは、すべてのGnosis Pay統合ではなく旧来の個人向けシステムに限定されます。

顧客とプライバシー当局への通知

Gnosis Payは11月6日、影響を受けた各顧客にメールを送信したと述べています。これらのメールには、各アカウントからアクセスされた情報の詳細が記載されていました。公式声明では、影響を受けたユーザー数や漏えいしたデータの全カテゴリーは明らかにされていません。侵入者の特定や、不正アクセスがどのように行われたかについての説明もありません。

同社はパートナーに通知し、関係するデータ保護当局およびカード発行会社との協議を開始しています。インシデントの調査を進めるとともに、漏えい情報の悪用の可能性に備えた専門的なモニタリングを手配しています。

Gnosis Payは、個人情報や実際のカード購入への言及を含む不審なメッセージに注意するよう顧客に呼びかけています。正規のサポートがシードフレーズ、秘密鍵、PIN、完全なカード番号を求めることはないとしています。この注意喚起は、実際の購入への言及や個人情報が含まれることで不正メッセージと正規メッセージの区別が難しくなる、決済詐欺でよく見られるパターンを反映したものです。

個人向けカード廃止後もデータ義務は継続

12月の停止は、Gnosis Payがすべての顧客記録を直ちに消去することを意味するわけではありません。公表済みのデータガイダンスによると、本人確認および取引記録はアカウント解約後5年間保持され、サポート対応記録は6年間保持されます。

顧客は12月20日まで、個人向けウェブアプリを通じてカード取引履歴をエクスポートできます。それ以降は、記録を直接同社に請求する必要があります。Gnosis Payは、ブロックチェーンエクスプローラでは加盟店名やカード単位の取引詳細が表示されないため、顧客はカード取引履歴のエクスポートをオンチェーン記録で代用できないと述べています。

今回の開示は顧客情報に関するものであり、Gnosis Payウォレットに影響を与えた6月のスマートコントラクトエクスプロイトとは別の事件です。Gnosisは以前、事後分析の中で、そのインシデントで失われた資金を復旧したことを確認しています。

出典：Blockonomi