Dostawca kart debetowych Visa powiązanych z kryptowalutami, Gnosis Pay, ujawnił w piątek naruszenie bezpieczeństwa, które ujawniło dane kart płatniczych klientów, adresy domowe oraz adresy portfeli kryptowalutowych.

Zgodnie z oficjalnym wpisem na blogu firma wykryła nieautoryzowany dostęp do swojego przestarzałego systemu kart konsumenckich 3 listopada i rozpoczęła ograniczanie naruszenia w ciągu dwóch godzin. Gnosis Pay poinformował, że środki klientów pozostały nietknięte, podobnie jak oddzielna platforma enterprise firmy, która obsługuje programy kart white-label.

Powiadomienia o naruszeniu przejrzane przez Cointelegraph pokazały, że do narażonych informacji należały pełne numery kart płatniczych, daty ważności, kody CVV, imiona i nazwiska klientów, adresy domowe oraz adresy portfeli powiązane z dotkniętymi kontami. Ujawnione dane obejmowały również adresy e-mail, numery telefonów, narodowości, a w niektórych przypadkach dane bankowe, takie jak informacje IBAN i BIC.

Znaczenie ujawnionych danych różni się w zależności od kategorii. Pełne numery kart, daty ważności i kody CVV to zazwyczaj wszystko, co jest wymagane do dokonywania płatności online bez fizycznej karty. Adresy portfeli, w przeciwieństwie do nich, są publicznymi identyfikatorami na blockchainach i same w sobie nie dają dostępu do środków, ale w tym naruszeniu zostały ujawnione wraz z imionami i nazwiskami klientów oraz adresami domowymi, łącząc pseudonimową aktywność on-chain z tożsamościami w świecie rzeczywistym.

Klient Gnosis Pay udostępnił powiadomienie o naruszeniu szczegółowo opisujące ujawnione dane osobowe i finansowe. Źródło: Lefteris Karapetsas na X

Jedno z powiadomień potwierdziło również, że karta klienta została anulowana 3 listopada i nie wykryto podejrzanych transakcji ani ruchu środków.

W odpowiedzi Gnosis Pay poinformował, że wymienił naruszone dane uwierzytelniające, usunął lukę w zabezpieczeniach i uczynił weryfikację 3D Secure obowiązkową dla płatności online do planowanego wycofania przestarzałego systemu 20 grudnia. 3D Secure wymaga dodatkowego kroku weryfikacji przy płatnościach kartowych online, wykraczającego poza statyczne dane karty ujawnione w naruszeniu. Firma ostrzegła również klientów przed próbami phishingu wykorzystującymi ich dane osobowe lub transakcyjne oraz poinformowała, że organizuje monitoring pod kątem potencjalnego nadużycia skradzionych danych.

Zgodnie z danymi z OpenRate, platformy osób trzecich śledzącej aktywność kart kryptowalutowych, Gnosis Pay miał około 2400 aktywnych dziennie posiadaczy kart i przetworzył 263 200 dolarów w transakcjach w poprzednich 24 godzinach — liczby, które dają wyobrażenie o skali platformy.

Firma nie ujawniła, ilu klientów zostało dotkniętych i nie odpowiedziała natychmiast na prośbę Cointelegraph o komentarz. Przy nieokreślonej liczbie dotkniętych kont, monitoring firmy pod kątem nadużycia skradzionych danych oraz wycofanie przestarzałego systemu kart 20 grudnia — moment, w którym obecnie ma wygasnąć obowiązkowy wymóg 3D Secure — są rzeczami, na które należy zwrócić uwagę w najbliższym czasie.

Źródło: Cointelegraph