Gnosis Pay maakt 3D Secure verplicht voor online betalingen na datalek met klantgegevens
Belangrijkste punten
- •Gnosis Pay stelde op 3 november 2026 ongeautoriseerde toegang tot het verouderde consumentenkaartsysteem vast en maakte het incident drie dagen later bekend, waarbij werd bevestigd dat sommige klantgegevens zijn blootgesteld maar geen klantgelden verloren zijn gegaan.
- •Verplichte 3D Secure-verificatie, waarbij kaarthouders online transacties bij hun kaartuitgever moeten bevestigen, blijft van kracht tot 20 december, wanneer het verouderde consmensysteem buiten gebruik wordt gesteld.
- •Het ondernemingskaartplatform van het bedrijf, dat white-label kaartprogramma's voor partners aandrijft, was niet aangetast, waardoor de bevestigde blootstelling beperkt blijft tot het oudere consmensysteem.
- •Gnosis Pay e-mailde elke getroffen klant met details over de toegang verkregen informatie en informeerde partners, gegevensbeschermingsautoriteiten en de kaartuitgever, maar heeft het aantal getroffen gebruikers niet bekendgemaakt of de indringer geïdentificeerd.
- •Klanten kunnen de kaarttransactiehistorie tot 20 december exporteren via de consumentenwebapp, waarna gegevens rechtstreeks bij het bedrijf moeten worden opgevraagd, aangezien blockchain-verkenners geen handelsnamen of transactiedetails op kaartniveau kunnen tonen.
Gnosis Pay heeft 3D Secure-verificatie verplicht gesteld voor alle online kaartbetalingen nadat ongeautoriseerde toegang tot het verouderde consumentenkaartsysteem werd vastgesteld. De crypto-betaaldienstverlener ontdekte de inbraak op 3 november 2026 en maakte het incident op 6 november publiekelijk bekend, waarbij werd bevestigd dat sommige klantgegevens zijn blootgesteld. Er werd geen verlies van klantgelden gemeld.
De extra verificatiecontroles blijven van kracht tot 20 december, wanneer Gnosis Pay het verouderde consmensysteem buiten gebruik wil stellen. Het bedrijf meldde dat het aparte ondernemingskaartplatform, dat white-label kaartprogramma's voor partners aandrijft, niet door het beveiligingsincident is aangetast.
Extra verificatie blijft van kracht tot sluiting in december
Gnosis Pay meldde dat het beveiligingsteam binnen twee uur na de ontdekking met inperking begon. Het bedrijf verving aangetaste inloggegevens en verholpen de onderliggende kwetsbaarheid. Het heeft ook de monitoring van kaarten en wallets op fraude en pogingen tot toegang tot klantgelden uitgebreid.
Verplichte 3D Secure voegt een identiteitsverificatiestap toe aan online kaartaankopen, waarbij de kaarthouder een transactie bij de kaartuitgever moet bevestigen voordat deze kan worden afgerond. Het mechanisme is een veelgebruikte authenticatiestandaard voor kaartbetalingen, bedoeld om gestolen kaartgegevens op zichzelf onvoldoende te maken voor het voltooien van een online aankoop. De waarborgen gelden gedurende de resterende levensduur van de verouderde consumentendienst. Gnosis Pay had al plannen aangekondigd om consumenteninterfaces te stoppen en gebruikers te verschuiven naar partnerapplicaties. Het bedrijf meldde dat het ondernemingsplatform niet was aangetast, een onderscheid dat de bevestigde blootstelling beperkt tot het oudere consmensysteem in plaats van alle Gnosis Pay-integraties.
Bedrijf informeert klanten en privacyautoriteiten
Gnosis Pay meldde dat het op 6 november elke getroffen klant per e-mail heeft geïnformeerd. Die berichten bevatten details over de informatie waartoe vanuit individuele accounts toegang is verkregen. De publieke verklaring gaf niet aan hoeveel gebruikers zijn getroffen of welke gegevenscategorieën allemaal zijn blootgesteld. Ook werd de indringer niet geïdentificeerd of uitgelegd hoe de ongeautoriseerde toegang is verkregen.
Het bedrijf heeft partners op de hoogte gesteld en de communicatie met relevante gegevensbeschermingsautoriteiten en zijn kaartuitgever opgestart. Het onderzoekt het incident en regelt specialistische monitoring voor mogelijk misbruik van de gelekte informatie.
Gnosis Pay waarschuwde klanten om op hun hoede te zijn voor onverwachte berichten met persoonlijke gegevens of verwijzingen naar echte kaartaankopen. Het bedrijf meldde dat legitieme ondersteuning nooit seed phrases, privésleutels, pincodes of volledige kaartnummers zal vragen. De waarschuwing weerspiegelt een veelvoorkomend patroon in betaalfraude, waarbij verwijzingen naar echte aankopen en persoonlijke gegevens frauduleuze berichten moeilijker te onderscheiden maken van legitieme.
Gegevensverplichtingen blijven bestaan na beëindiging van consumentenkaart
De sluiting in december betekent niet dat Gnosis Pay alle klantgegevens onmiddellijk zal wissen. Volgens de gepubliceerde gegevensrichtlijnen blijven identiteits- en transactiegegevens vijf jaar na accountsluiting bewaard, terwijl supportcorrespondentie zes jaar wordt bewaard.
Klanten kunnen de kaarttransactiehistorie tot 20 december exporteren via de consumentenwebapp. Na die datum moeten ze gegevens rechtstreeks bij het bedrijf opvragen. Gnosis Pay merkte op dat blockchain-verkenners geen handelsnamen of transactiedetails op kaartniveau kunnen tonen, waardoor klanten een export van de kaarthistorie niet kunnen vervangen door on-chain gegevens.
De openbaarmaking betreft uitsluitend klantgegevens en staat los van de slimme-contractexploit in juni die Gnosis Pay-wallets trof. Gnosis bevestigde eerder in zijn post-mortem dat het de verloren gelden in dat incident heeft teruggevorderd.
Bron: Blockonomi
