Gnosis Pay, aanbieder van aan crypto gekoppelde Visa-debitkaarten, heeft vrijdag een datalek bekendgemaakt waarbij de kaartgegevens, thuisadressen en cryptowalletadressen van klanten blootkwamen te liggen.

Volgens een officiële blogpost ontdekte het bedrijf op 3 november ongeautoriseerde toegang tot zijn verouderde consumentenkaartsysteem en begon het binnen twee uur met het indammen van het lek. Gnosis Pay zei dat klantgelden niet zijn getroffen, net als het aparte ondernemingsplatform van het bedrijf, dat white-label kaartprogramma's mogelijk maakt.

Meldingen over het lek die door Cointelegraph zijn ingezien, toonden aan dat de gecompromitteerde informatie volledige kaartnummers, vervaldata, CVV-codes, namen van klanten, thuisadressen en walletadressen die aan getroffen accounts zijn gekoppeld, omvatte. De blootgestelde gegevens omvatten ook e-mailadressen, telefoonnummers, nationaliteiten en in sommige gevallen bankgegevens zoals IBAN- en BIC-informatie.

De relevantie van de blootgestelde gegevens verschilt per categorie. Volledige kaartnummers, vervaldata en CVV-codes zijn doorgaans alles wat nodig is om online betalingen te verrichten zonder dat de kaart fysiek aanwezig is. Walletadressen daarentegen zijn openbare identificatoren op blockchains en geven op zichzelf geen toegang tot geld, maar in dit lek werden ze naast namen en thuisadressen van klanten blootgesteld, waardoor pseudonieme on-chain activiteit aan identiteiten in de echte wereld werd gekoppeld.

Een klant van Gnosis Pay deelde een melding over het lek met daarin de blootgestelde persoonlijke en financiële gegevens. Bron: Lefteris Karapetsas op X

Eén melding bevestigde ook dat de kaart van de klant op 3 november werd geannuleerd, zonder dat verdachte transacties of geldbewegingen werden vastgesteld.

Als reactie hierop zei Gnosis Pay dat het gecompromitteerde beveiligingsreferenties heeft vervangen, de kwetsbaarheid heeft verholpen en 3D Secure-verificatie verplicht heeft gesteld voor online betalingen tot de geplande buitengebruikstelling van het verouderde systeem 20 december. 3D Secure vereist een extra verificatiestap voor online kaartbetalingen, bovenop de statische kaartgegevens die in het lek zijn blootgesteld. Het bedrijf waarschuwde klanten ook voor phishingpogingen waarbij hun persoonlijke of transactiegegevens worden gebruikt en zei dat het monitoring regelt voor mogelijk misbruik van de gestolen gegevens.

Volgens gegevens van OpenRate, een extern platform dat crypto-kaartactiviteit bijhoudt, had Gnosis Pay ongeveer 2.400 dagelijks actieve kaarthouders en verwerkte het $263.200 aan transacties in de voorafgaande 24 uur — cijfers die een indicatie geven van de schaal van het platform.

Het bedrijf heeft niet bekendgemaakt hoeveel klanten zijn getroffen en heeft niet onmiddellijk gereageerd op een verzoek van Cointelegraph om commentaar. Nu het aantal getroffen accounts nog onbekend is, zijn de monitoring van het bedrijf op misbruik van de gestolen gegevens en de buitengebruikstelling van het verouderde kaartsysteem op 20 december — het moment waarop de verplichte 3D Secure-eis momenteel komt te vervallen — de directe zaken om in de gaten te houden.

Bron: Cointelegraph