Gnosis Pay : une faille divulgue les données de cartes, les infos personnelles et les détails de portefeuille

Dans une note publiée sur son site, Gnosis Pay indique avoir détecté l'accès non autorisé le 3 novembre et avoir contenu l'incident en environ deux heures. La société précise que son autre infrastructure, utilisée pour des programmes de cartes en marque blanche, n'a pas été touchée.

Données exposées selon les notifications examinées

Les notifications de violation consultées par Cointelegraph laissent entendre que l'ampleur des informations exposées était plus large que de simples données de paiement. Les éléments listés comprennent notamment les numéros complets des cartes, les dates d'expiration et les codes CVV.

Ces notifications mentionnent aussi des informations personnelles comme les noms et les adresses domiciliaires, ainsi que des adresses de portefeuilles de cryptomonnaies associées aux comptes concernés. Elles font également état, dans certains cas, d'adresses e-mail, de numéros de téléphone, de nationalités, et parfois de données bancaires telles que l'IBAN et le BIC.

Une notification examinée par Cointelegraph confirme par ailleurs qu'une carte d'un client a été annulée le 3 novembre et qu'aucune transaction suspecte ni aucun mouvement de fonds n'ont été détectés.

Mesures prises par Gnosis Pay

Gnosis Pay affirme avoir remplacé les identifiants de sécurité compromis et corrigé la vulnérabilité à l'origine de l'incident. Pour limiter le risque de paiements en ligne frauduleux pendant que l'ancien système reste en service, la société dit avoir rendu obligatoire la vérification 3D Secure pour les transactions en ligne.

L'entreprise a également indiqué que son système hérité doit être retiré le 20 décembre. En parallèle, elle a mis en garde ses clients contre d'éventuelles tentatives de phishing susceptibles de reprendre des détails personnels ou transactionnels.

Gnosis Pay précise enfin qu'elle organise un dispositif de surveillance destiné à repérer toute utilisation abusive des données volées.

Un service dont l'activité reste visible

La société n'a pas communiqué le nombre de clients touchés. D'après des données OpenRate citées par Cointelegraph, Gnosis Pay comptait environ 2 400 détenteurs de cartes actifs par jour et avait traité environ 263 200 dollars de transactions sur les 24 heures précédant la publication.

Ces chiffres ne permettent pas d'identifier le volume d'utilisateurs impactés, mais ils donnent un aperçu de l'activité du service au moment où la faille a été rendue publique.