Gnosis Pay reveló el 6 de noviembre una brecha de datos de clientes que afectó al sistema heredado detrás de sus tarjetas de pago de marca, afirmando que los fondos no se vieron afectados y que se mantendrían verificaciones de seguridad adicionales hasta el cierre previsto de la plataforma en diciembre.
Resumen
- Según Gnosis Pay, se detectó un acceso no autorizado el 3 de noviembre y la contención comenzó en un plazo de dos horas.
- Los clientes afectados recibieron correos electrónicos individuales explicando qué información había sido sustraída de sus cuentas.
- Ahora se aplican verificaciones obligatorias de 3D Secure a todos los pagos en línea con tarjeta hasta que se cierre el sistema para consumidores.
- Los usuarios cuestionaron la respuesta de la empresa y expresaron preocupaciones sobre el phishing tras la exposición de información personal.
Según la divulgación de Gnosis Pay, la intrusión afectó a su negocio de consumo, que opera las tarjetas de marca Gnosis Pay. Su plataforma empresarial, utilizada para impulsar programas de tarjetas de marca blanca para otras empresas, no se vio afectada.
La empresa dijo que su equipo de seguridad respondió de inmediato después de que los sistemas de monitoreo detectaran el acceso no autorizado el 3 de noviembre. La contención comenzó en un plazo de dos horas, seguida de la sustitución de las credenciales de seguridad afectadas y una corrección de la vulnerabilidad.
Gnosis Pay añade verificaciones de pago tras la exposición de información de clientes
La empresa dijo que se envió un correo electrónico a cada cliente afectado el 6 de noviembre con los detalles de la información sustraída de su cuenta. Su declaración pública no proporcionó un recuento de clientes ni enumeró las categorías de información expuestas en las cuentas afectadas.
Gnosis Pay dijo que había notificado la brecha a sus socios y que estaba comunicándose con las autoridades de protección de datos aplicables y con su emisor de tarjetas.
Si bien la empresa afirmó que los fondos no se vieron afectados, reconoció que proteger la información personal era igualmente importante. Está llevando a cabo una revisión completa, aplicando las lecciones aprendidas en sus sistemas y organizando un monitoreo especializado para detectar señales de que la información expuesta esté siendo utilizada indebidamente.
La actividad de las tarjetas y las billeteras están recibiendo un monitoreo más estrecho para detectar fraudes o intentos de acceder a los fondos de los clientes. Gnosis Pay ha hecho que 3D Secure, un paso de verificación adicional para las compras en línea, sea obligatorio para todos los pagos en línea con tarjeta.
La empresa dijo que las salvaguardas permanecerán hasta que el sistema para consumidores se retire el 20 de diciembre.
Los usuarios cuestionan la respuesta y plantean preocupaciones sobre phishing
Las respuestas al anuncio de la empresa cuestionaron qué significaría asumir la responsabilidad para los clientes afectados. Varios usuarios cuestionaron si una disculpa era suficiente, mientras que otros pidieron que el servicio se cerrara de inmediato.
Un encuestado, que publicó como Zoodirektor, preguntó: «¿Qué significa “asumes toda la responsabilidad”?». Otro, que publicó como dramanoodle, expresó preocupaciones sobre más correos electrónicos fraudulentos y ataques físicos dirigidos a tenedores de criptomonedas.
Las respuestas muestran preocupaciones sobre la exposición de información personal a pesar de la garantía de la empresa de que los fondos no se vieron afectados. La propia guía para clientes de Gnosis Pay advertía que los mensajes sospechosos podrían contener datos personales genuinos o referirse a una compra real.
Se indicó a los clientes que evitaran los enlaces en correos electrónicos, mensajes de texto, llamadas o cartas inesperados relacionados con Gnosis Pay, aplicaciones asociadas o sus tarjetas. La empresa aconsejó abrir directamente la aplicación web oficial o la aplicación asociada.
Se indicó que ni Gnosis Pay ni sus socios solicitarían frases semilla, claves privadas, PINs ni números completos de tarjetas. No pedirían a los clientes que verificaran su identidad nuevamente por correo electrónico o mensaje de texto, ni les indicarían que movieran fondos mediante mensajes o llamadas telefónicas.
El cierre de diciembre se anunció antes de la brecha
La fecha de retiro es anterior al incidente de noviembre. Un aviso formal emitido el 21 de septiembre fijó el fin de los servicios de tarjeta de marca para las 23:59 UTC del 20 de diciembre de 2026.
Las tarjetas físicas y virtuales dejarán de autorizar transacciones en ese momento. La aplicación web conservará la funcionalidad de retiro, y los clientes seguirán siendo propietarios de los activos mantenidos en sus cuentas Safe de autocustodia, según el aviso.
Los clientes que deseen mantener el acceso a la tarjeta deben unirse a un programa de socios bajo nuevos términos. El traslado es opcional, pero las tarjetas de marca existentes dejarán de funcionar independientemente.
El aviso pide a los titulares de tarjetas que exporten los historiales de transacciones antes del cierre y actualicen los pagos recurrentes con los comerciantes. El soporte general para titulares de tarjetas está programado para finalizar el 18 de junio de 2027, mientras que el soporte para reembolsos, disputas y contracargos continúa hasta el 12 de junio de 2028.
Un exploit anterior de 1,5 millones de dólares afectó la infraestructura de tarjetas
La divulgación sigue a un exploit separado de cuentas de tarjetas en junio, cubierto previamente por crypto.news, que involucró aproximadamente 1,5 millones de dólares en activos digitales.
En su análisis posterior de julio, Gnosis Pay atribuyó ese incidente a una falla en el marco del contrato inteligente Zodiac y dijo que los clientes afectados habían sido reembolsados en su totalidad. La divulgación de noviembre se refiere a información de clientes; la empresa no ha declarado que los incidentes compartan una causa.
Los clientes afectados por la última brecha han recibido recomendaciones específicas para sus cuentas. Gnosis Pay dirigió a cualquier persona con inquietudes a [email protected] y dijo que su equipo de soporte estaba priorizando a los directamente afectados.
