Gnosis Pay ujawniła wyciek danych klientów 6 listopada po wykryciu nieuprawnionego dostępu do swojego starszego systemu kart konsumenckich. Firma poinformowała, że środki klientów oraz jej platforma enterprise pozostały nietknięte, a zaostrzone kontrole płatnicze będą obowiązywać do 20 grudnia. Ogłoszenie nastąpiło zaledwie kilka tygodni po tym, jak Gnosis Pay poinformowała już klientów o zamykaniu usługi kart konsumenckich.

Zgodnie z oficjalnym oświadczeniem firmy, intruzja została wykryta 3 listopada, a zespół bezpieczeństwa rozpoczął izolację zagrożenia w ciągu dwóch godzin — na trzy dni przed publicznym ujawnieniem wycieku. Podmieniono naruszone poświadczenia i załatano wykorzystaną podatność, jak zapewniła firma. Gnosis Pay nie zidentyfikowała atakującego.

Firma ogłosiła incydent w wpisie na X 6 listopada:

We had a data breach affecting the system powering Gnosis Pay-branded cards (our B2C business line) that resulted in the exposure of certain customer information. Everyone affected was sent an email today with full information. We deeply regret that this happened. While funds…

— Gnosis Pay 💳 (@gnosispay) November 6, 2026

Jakie informacje zostały ujawnione w wyniku wycieku

Gnosis Pay oświadczyła, że wyciek nastąpił w infrastrukturze stojącej za programem kart konsumenckich marki Gnosis Pay, czyli linią biznesową B2C firmy. Osobna linia produktów enterprise, którą Gnosis Pay obsługuje programy kart dla innych firm, nie została objęta incydentem.

Każda dotknięta osoba otrzymała 6 listopada e-mail opisujący dane z jej konta, których dotyczy naruszenie. Publiczne zawiadomienie nie ujawniło, ilu osób dotyczy incydent ani jakie kategorie informacji zostały ujawnione, a firma nie podała harmonogramu publikacji dodatkowych szczegółów technicznych. Gnosis Pay poinformowała, że powiadomiła partnerów biznesowych, wydawcę kart oraz właściwe organy ochrony danych. Zgodnie z unijnym rozporządzeniem RODO organizacje mają co do zasady obowiązek zgłaszania naruszeń ochrony danych osobowych właściwemu organowi nadzorczemu w ciągu 72 godzin od ich wykrycia — wymóg, który kształtuje reagowanie na incydenty w europejskim sektorze płatności.

Jak Gnosis Pay zaostrzyła bezpieczeństwo kart

W reakcji na incydent firma wdrożyła protokół 3D Secure, który wymaga weryfikacji tożsamości użytkownika przed finalizacją transakcji. Zasada ta ma obowiązywać do czasu wyłączenia starszego systemu konsumenckiego.

Środki te spotkały się z zastrzeżeniami części konsumentów po ujawnieniu wycieku — użytkownicy zadawali pytania o odpowiedzialność oraz o możliwość ataków phishingowych poprzez e-maile zawierające wyciekłe dane. Gnosis Pay ostrzegła, że takie wiadomości mogą odwoływać się do danych osobowych lub wcześniejszych legalnych transakcji. Firma doradziła klientom, aby nie klikać linków w e-mailach, SMS-ach ani innych aplikacjach do obsługi wiadomości i korzystać z usługi wyłącznie poprzez oficjalną aplikację internetową lub aplikację partnera.

Firma zapewnienia, że nigdy nie prosi o frazy seed, klucze prywatne, kody PIN ani pełne numery kart poprzez wiadomości, i ostrzegła przed prośbami o przelanie środków lub ponowną weryfikację tożsamości w ramach niechcianego kontaktu. Te ostrzeżenia mają długą żywotność: dane osobowe wyciekłe w wyniku naruszenia mogą odradzać się w próbach phishingu długo po samym incydencie, a klienci będą nadal korzystać z aplikacji internetowej w celu dokonywania wypłat, eksportu historii i aktualizacji płatności cyklicznych przez cały okres wygaszania usługi, którego okna wsparcia sięgają 2027 i 2028 roku.

Kiedy zakończy się usługa kart konsumenckich

Wygaszanie programu kart konsumenckich rozpoczęło się jeszcze przed wystąpieniem wycieku. W oficjalnym zawiadomieniu opublikowanym 21 września Gnosis Pay poinformowała, że fizyczne i wirtualne karty marki przestaną autoryzować transakcje po godzinie 23:59 UTC tego samego dnia.

Aplikacja internetowa przestanie świadczyć usługi inne niż wypłaty. Użytkownicy zachowują własność środków w swoich samozarządzanych kontach Safe, które nie zależą już od dostępności programu kart.

Użytkownicy mogą opcjonalnie przystąpić do programu partnerskiego, aby nadal korzystać z karty — wymaga to akceptacji nowych warunków. Niezależnie od tego istniejące karty marki Gnosis Pay przestaną działać.

Zawiadomienie wzywa użytkowników do wyeksportowania historii transakcji i zaktualizowania informacji o płatnościach cyklicznych. Ogólne wsparcie dla posiadaczy kart zakończy się 18 czerwca 2027 roku, natomiast pomoc w zakresie zwrotów i chargebacków będzie dostępna do 12 czerwca 2028 roku.

Czym listopadowy wyciek różni się od czerwcowego ataku

To ogłoszenie jest drugim incydentem bezpieczeństwa dotykającym platformy kart w tym roku. W czerwcu system kart-portfeli padł ofiarą osobnego ataku. W pośmiertnej analizie opublikowanej 3 lipca Gnosis Pay przyznała, że podatność w modułach Zodiac pozwoliła hakerom wykraść kryptowaluty o wartości blisko 1,5 miliona dolarów. Błąd wynikał z nieprawidłowej walidacji podpisów w oprogramowaniu card-safe. Firma oświadczyła, że przyjęła straty ze spokojem i zrekompensowała środki klientów.

Porównanie obu incydentów wskazuje na różne rodzaje ryzyka: atak z czerwca był eksploitem on-chain, w którym stawką była skradziona kryptowaluta, podczas gdy incydent z listopada dotyczy danych klientów — co przesuwa otwarte pytania z odzyskiwania aktywów na ochronę danych.