暗号資産デビットカード提供企業のGnosis Payは、顧客の個人情報および金融情報が流出したデータ侵害を公表した。流出には自宅住所、カード番号、連携された暗号資産ウォレットの情報が含まれている。
あるユーザーは、流出したデータによって自宅住所とカード番号が自身のアカウントに紐づくすべての暗号資産ウォレットと結び付けられたと述べ、標的型詐欺のリスクの高まりを指摘した。
暗号資産ポートフォリオトラッカーRotkiの創業者であるLefteris Karapetsas氏は、同社から受け取った通知メールを共有し、流出した情報に氏名、完全な自宅住所、カード番号、さらにアカウントに紐づく全ウォレットアドレスが含まれていたと語った。同氏は「あなた方はすでに私をユーザーとして失っていましたが、少なくとも私のデータは守られるべきでした」と投稿している。
Gnosis Payは2023年に設立され、Visaデビットカードを通じて顧客がステーブルコインを利用できるサービスを提供している。Paymentscanのデータによれば、同社の年間換算決済額は約6,760万ドルに上る。
同社によると、侵害は11月3日に検知され、2時間以内に封じ込めを開始。影響を受けたセキュリティ認証情報の置き換えと脆弱性の修正も完了したとしている。顧客資金に影響はなく、他の事業者向けカードプログラムのプラットフォームにも被害はなかった。
影響を受けた顧客数は明らかにされていないが、流出内容の詳細は関係ユーザーに個別にメールで通知されたという。
今回の事案は、2023年6月にウォレットソフトウェアの脆弱性により約150万ドルの資金が流出したエクスプロイトに続くもの。Gnosisは被害額を補填し、顧客資金を回復させた。
その後、同社はオンラインカード決済に3Dセキュア認証を義務付け、12月20日に既存の消費者向けシステムを停止予定で不正監視体制の強化も実施。また、詐欺師が盗まれた個人情報や過去の購入情報を用いて、偽メッセージを本物らしく見せかける可能性についても警告を発した。
