Gnosis Pay сделала верификацию 3D Secure обязательной для всех онлайн-платежей по картам после обнаружения несанкционированного доступа к своей устаревшей потребительской карточной системе. Поставщик криптоплатежей выявил вторжение 3 ноября 2026 года и публично раскрыл инцидент 6 ноября, подтвердив утечку части данных клиентов. Потерь клиентских средств не зафиксировано.

Дополнительные проверочные процедуры будут действовать до 20 декабря, когда Gnosis Pay планирует вывести устаревшую потребительскую систему из эксплуатации. Компания сообщила, что ее отдельная корпоративная карточная платформа, на которой работают партнерские программы white-label-карт, не пострадала от инцидента.

Дополнительная верификация останется до отключения в декабре

Gnosis Pay сообщила, что ее команда безопасности приступила к локализации инцидента в течение двух часов после обнаружения. Компания заменила затронутые учетные данные и устранила underlying уязвимость. Также усилен мониторинг карт и кошельков на предмет мошенничества и попыток доступа к клиентским средствам.

Обязательная аутентификация 3D Secure добавляет этап проверки личности при онлайн-покупках по карте: держатель карты должен подтвердить транзакцию у своего эмитента до ее завершения. Это широко распространенный стандарт аутентификации карточных платежей, призванный сделать украденные данные карты недостаточными для совершения онлайн-покупки. Защитные меры применяются на оставшийся срок работы устаревшей потребительской системы. Gnosis Pay уже объявила о планах прекратить поддержку потребительских интерфейсов и перевести пользователей на партнерские приложения. Компания сообщила, что корпоративная платформа не пострадала; это разграничение ограничивает подтвержденную утечку старой потребительской системой, а не всеми интеграциями Gnosis Pay.

Компания уведомляет клиентов и органы по защите данных

Gnosis Pay сообщила, что 6 ноября направила электронные письма каждому затронутому клиенту. В них содержалась детальная информация о том, какие данные были получены из конкретных аккаунтов. В публичном заявлении не указаны число затронутых пользователей и полный перечень категорий утечших данных. Компания также не назвала злоумышленника и не объяснила, как был получен несанкционированный доступ.

Компания уведомила партнеров и начала взаимодействие с соответствующими органами по защите данных и своим эмитентом карт. Она изучает инцидент и организует специализированный мониторинг на предмет возможного злоупотребления утечшей информацией.

Gnosis Pay предупредила клиентов о необходимости осторожности в отношении неожиданных сообщений, содержащих персональные данные или упоминания реальных покупок по карте. Компания заявила, что легитимная поддержка никогда не запрашивает seed-фразы, приватные ключи, PIN-коды или полные номера карт. Предупреждение отражает распространенную схему платежного мошенничества, когда упоминания реальных покупок и персональных данных затрудняют отличие фальшивых сообщений от настоящих.

Обязательства по данным сохраняются после закрытия потребительской карточной системы

Декабрьское отключение не означает, что Gnosis Pay немедленно удалит все данные клиентов. Согласно опубликованным правилам обработки данных, записи идентификации и транзакций хранятся пять лет после закрытия аккаунта, а переписка с поддержкой — шесть лет.

Клиенты могут экспортировать историю транзакций по карте через потребительское веб-приложение до 20 декабря. После этой даты записи можно запросить только непосредственно у компании. Gnosis Pay отметила, что обозреватели блокчейна не отображают названия мерчантов или детали транзакций на уровне карты, поэтому клиент не может заменить экспорт истории карты данными из блокчейна.

Раскрытая информация касается только клиентских данных и не связана с эксплуатацией уязвимости смарт-контрактов в июне, затронувшей кошельки Gnosis Pay. Gnosis ранее подтвердила в своем разборе инцидента, что восстановила потерянные в том инциденте средства.

Источник: Blockonomi