Gnosis Pay ha precisato che la violazione era limitata all’infrastruttura che supporta le sue carte di debito a marchio proprio. La sua piattaforma enterprise separata, che fornisce infrastrutture per carte white-label a wallet, società fintech e altre aziende, non è stata interessata.
Quali Informazioni sui Clienti Sono State Esposte?
Gnosis Pay ha confermato che gli aggressori hanno avuto accesso alle informazioni dei clienti ma non ha divulgato pubblicamente il numero totale di utenti interessati né fornito un resoconto completo dei dati compromessi.
Invece, l’azienda ha inviato notifiche individuali il 6 novembre spiegando esattamente quali informazioni erano state esposte da ciascun account interessato. Ha inoltre notificato i partner commerciali e ha iniziato le comunicazioni con le autorità competenti per la protezione dei dati e con l’emittente delle carte.
Sebbene non siano stati segnalati furti di fondi dei clienti, l’esposizione crea potenziali rischi oltre l’intrusione immediata. Le informazioni personali collegate a carte di pagamento e attività crypto possono essere utilizzate per phishing mirato, tentativi di impersonificazione e altre forme di ingegneria sociale.
Gnosis Pay ha avvertito i clienti di trattare con sospetto le comunicazioni impreviste relative alle loro carte, anche quando i messaggi contengono informazioni personali accurate o fanno riferimento ad acquisti genuini.
L’azienda ha dichiarato che non richiederà mai seed phrase, chiavi private, PIN o numeri completi delle carte tramite email, messaggi di testo o telefonate. Ha inoltre predisposto un monitoraggio aggiuntivo per identificare potenziali usi impropri delle informazioni esposte.
L’incidente ricorda l’esposizione dei dati dei clienti di Revolut a settembre, quando una parte non autorizzata ha ottenuto informazioni finanziarie sensibili attraverso richieste fraudolente provenienti da un dominio email governativo legittimo. Revolut ha dichiarato che i suoi fondi e l’infrastruttura interna non sono stati compromessi, sebbene i clienti abbiano comunque affrontato potenziali rischi per l’identità e la privacy.
Considerazioni per gli Investitori
Prevenire perdite finanziarie dirette non elimina l’esposizione da violazione. Le informazioni sui clienti compromesse possono creare rischi di frode e reputazionali a lungo dopo la correzione delle vulnerabilità tecniche.
Perché 3D Secure è Ora Obbligatorio?
Gnosis Pay ha reso obbligatoria l’autenticazione 3D Secure per tutte le transazioni con carta online aumentando al contempo il monitoraggio dell’attività delle carte e dei wallet collegati.
Il requisito di autenticazione aggiunge un ulteriore passaggio di verifica prima che i pagamenti con carta online possano essere completati. È inteso a ridurre il rischio di transazioni non autorizzate mentre l’azienda continua a indagare sulla violazione e a monitorare attività sospette.
Tuttavia, 3D Secure protegge principalmente l’autorizzazione dei pagamenti. Non impedisce agli aggressori di utilizzare informazioni personali precedentemente esposte per phishing, impersonificazione o tentativi di compromettere altri account.
Le misure di sicurezza rimarranno in vigore fino al 20 dicembre, quando Gnosis Pay ritirerà la sua piattaforma consumer legacy.
Importante, quella chiusura era già programmata prima della violazione. In un avviso del 21 settembre, Gnosis Pay ha annunciato i piani per interrompere le sue carte consumer a marchio proprio e concentrarsi sul business dell’infrastruttura enterprise.
Le carte fisiche e virtuali esistenti cesseranno di autorizzare transazioni alle 23:59 UTC del 20 dicembre. I clienti manterranno la proprietà degli asset detenuti nei loro account self-custodial Safe, con la funzionalità di prelievo che rimarrà disponibile dopo la chiusura della piattaforma consumer.
La Piattaforma Enterprise per le Carte è a Rischio?
La decisione di Gnosis Pay di separare il suo sistema consumer legacy dall’infrastruttura enterprise è commercialmente importante perché l’azienda fornisce sempre più tecnologia di pagamento ad applicazioni finanziarie di terze parti.
Secondo l’azienda, i suoi programmi per carte white-label non sono stati interessati dall’intrusione di novembre. Non ha divulgato prove di accessi non autorizzati ai sistemi enterprise o ai fondi dei clienti.
Tuttavia, la distinzione tra i diversi livelli dell’infrastruttura per carte crypto è diventata sempre più importante dopo diversi incidenti di sicurezza che hanno coinvolto fornitori di pagamenti.
A giugno, Gnosis Pay ha affrontato un exploit separato che ha coinvolto il suo modulo di ritardo del wallet, richiedendo un intervento di emergenza e un impegno a risarcire gli utenti interessati. Quell’incidente ha coinvolto l’infrastruttura smart contract piuttosto che l’esposizione di informazioni sui clienti riportata a novembre. Non è stata stabilita una causa comune.
Un incidente separato di agosto che ha coinvolto il fornitore di infrastrutture per carte Rain ha dimostrato come le vulnerabilità possano diffondersi tra più brand rivolti ai consumatori. Tria e Avici hanno segnalato più di 932.000 dollari di saldi clienti interessati su 2.321 utenti dopo che una vulnerabilità nell’infrastruttura per carte su Solana di Rain ha consentito prelievi non autorizzati.
Gli incidenti hanno coinvolto diversi guasti tecnici, ma dimostrano perché le valutazioni di sicurezza debbano considerare non solo i wallet dei clienti ma anche i sistemi di emissione delle carte, l’autorizzazione delle transazioni, gli smart contract e l’infrastruttura di terze parti.
Considerazioni per gli Investitori
La piattaforma enterprise di Gnosis Pay non sarebbe stata interessata, ma gli incidenti ripetuti nell’infrastruttura per carte crypto aumentano l’importanza dei controlli di sicurezza e della verifica indipendente per i partner commerciali.
Cosa Succede Dopo la Chiusura di Dicembre?
Gnosis Pay prevede di continuare a operare come fornitore di infrastrutture per carte enterprise dopo aver interrotto il servizio consumer a marchio proprio.
I clienti esistenti possono scegliere di migrare verso programmi partner partecipanti, sebbene tali accordi richiedano termini separati e possano comportare commissioni diverse, criteri di idoneità e asset supportati.
L’azienda non ha divulgato il numero di clienti interessati dall’ultima violazione, la durata dell’accesso non autorizzato prima del rilevamento o la vulnerabilità precisa che ha consentito l’intrusione.
Questi dettagli saranno importanti per valutare l’efficacia dei suoi controlli di sicurezza e se l’incidente abbia implicazioni più ampie per il restante business enterprise.
Con il sistema consumer programmato per il ritiro il 20 dicembre, Gnosis Pay affronta ora due priorità immediate: prevenire l’uso improprio delle informazioni sui clienti compromesse e dimostrare che l’infrastruttura che supporta i clienti enterprise rimane sicura.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
