Gnosis Pay potwierdziło, że część danych klientów została ujawniona po nieautoryzowanym dostępie do jego przestarzałego systemu kart konsumenckich (B2C). Dostawca kart płatniczych dla kryptowalut poinformował, że wykrył incydent 3 listopada i w ciągu dwóch godzin rozpoczął działania ograniczające.

Według Wu Blockchain incydent dotyczył starszego systemu kart B2C firmy Gnosis Pay. Spółka oświadczyła, że po zidentyfikowaniu nieautoryzowanego dostępu wymieniła naruszone poświadczenia i usunęła lukę w zabezpieczeniach. Klienci, których dane zostały naruszone, zostali również powiadomieni.

Gnosis Pay podkreśliło, że incydent bezpieczeństwa nie wpłynął na środki klientów ani na jego platformę kart white-label dla klientów biznesowych, czyli ofertę, w ramach której inne firmy mogą emitować karty pod własną marką. Ujawnienie wyraźnie rozróżnia naruszony przestarzały system od oferty biznesowej firmy, która — jak oświadczyło — pozostała nienaruszona. Odnosi się to również do kwestii bezpieczeństwa specyficznej dla dostawców kart płatniczych dla kryptowalut: nawet gdy środki klientów pozostają nienaruszone, systemy kart przechowują dane osobowe, które mogą zostać ujawnione w wyniku nieautoryzowanego dostępu.

Gnosis Pay wzmacnia środki bezpieczeństwa kart

W odpowiedzi na wyciek Gnosis Pay wprowadziło dodatkowe środki bezpieczeństwa obejmujące aktywność kart i portfeli. Firma zwiększyła monitorowanie w obu obszarach jako część działań podjętych po incydencie.

Uczyniła również weryfikację 3D Secure obowiązkową dla wszystkich płatności internetowych kartami. D Secure to branżowy standard uwierzytelniania w branży kartowej, zaprojektowany tak, aby dodać krok weryfikacji do transakcji internetowych, a wymóg ten obejmuje obecnie każdą płatność internetową dokonywaną kartami Gnosis Pay. Środek ten stanowi część zabezpieczeń ogłoszonych po wykryciu nieautoryzowanego dostępu.

Firma poinformowała, że jej odpowiedź obejmowała wymianę naruszonych poświadczeń, usunięcie zidentyfikowanej luki oraz powiadomienie klientów, których dane zostały naruszone. Działania ograniczające rozpoczęły się w ciągu dwóch godzin od wykrycia incydentu 3 listopada.

Przestarzały system kart wycofany z użytku

Naruszony system kart B2C to przestarzała platforma, którą Gnosis Pay i tak planowało wycofać. Firma zaplanowała jego wycofanie na 20 grudnia, wyznaczając konkretny termin usunięcia systemu.

Komunikat nie wskazuje, że środki klientów zostały naruszone ani że uzyskano dostęp do platformy kart white-label dla klientów biznesowych. Zadeklarowany wpływ ogranicza się do ujawnienia części danych klientów w wyniku nieautoryzowanego dostępu do przestarzałego systemu B2C.

W odniesieniu do dotkniętych klientów Gnosis Pay potwierdziło powiadomienia i przedstawiło dodatkowe zabezpieczenia wprowadzone po incydencie. Obejmują one rozszerzone monitorowanie aktywności kart i portfeli oraz obowiązkową weryfikację 3D Secure dla każdej płatności internetowej kartami. Po usunięciu przestarzałej platformy zaplanowanym na 20 grudnia data ta stanowi określony punkt końcowy dla systemu objętego incydentem, podczas gdy rozszerzone monitorowanie i wymogi uwierzytelniania pozostają zabezpieczeniami obowiązującymi posiadaczy kart Gnosis Payn
Źródło: Hokanews