暗号資産デビットカードを提供するGnosis Payは、顧客の自宅住所やカード番号、連携された暗号資産ウォレットを含む個人情報および金融情報の流出を伴うデータ侵害を公表した。
今回の侵害により、攻撃者は盗み出した情報を用いてユーザーの実社会における身元と暗号資産の保有状況を結びつけることが可能となり、標的型詐欺のリスクが高まっている。
暗号資産ポートフォリオトラッカーRotkiの創業者Lefteris Karapetsas氏は、同社から受け取ったメールの内容を共有しつつXで、流出したデータに自身の氏名、完全な自宅住所、カード番号、アカウントに紐づくすべてのウォレットアドレスが含まれていたと述べた。
同氏は「あなた方はすでに私をユーザーとして失っていましたが、少なくとも私のデータは守ることができたはずです」と投稿している。
2023年に発表されたGnosis Payは、顧客が暗号資産ウォレットに連携したVisaデビットカードを通じてステーブルコインを利用可能にしている。Paymentscanのデータによれば、同社の年間換算決済額は約6,760万ドルとなっている。
同社によると、侵入は11月3日に検知され、2時間以内に封じ込めを開始。影響を受けたセキュリティ認証情報は置き換えられ、侵害を許した脆弱性も修正されたという。
顧客資金への影響はなく、他の事業者向けカードプログラムを支える同プロジェクトの別の企業向けプラットフォームも問題はなかったと同社は説明している。
Gnosis Payは、影響を受けた顧客数を明かしていないものの、流出情報の詳細を該当ユーザーごとにメールで通知したとしている。
今回の事案は、ウォレットソフトウェアの脆弱性が原因で約150万ドルが流出した6月のエクスプロイトに続くもので、Gnosisは損失を補填し顧客資金を回復させていた。
その後、同社はオンラインカード決済に3Dセキュア認証を義務化し、12月20日に既存の消費者向けシステム停止を控え、不正監視体制も強化している。
また、詐欺師が盗んだ個人情報や過去の購入情報を用いて偽メッセージを本物らしく見せかける可能性があると警告している。