La filtración de datos de Gnosis Pay, divulgada el 6 de noviembre de 2026, expuso información de clientes de su antiguo sistema de tarjetas de consumo, pero la empresa afirmó que los fondos de los clientes no se vieron afectados. Los sistemas de monitoreo de seguridad detectaron un acceso no autorizado el 3 de noviembre y la contención comenzó en un plazo de dos horas. Se mantendrán controles de pago adicionales hasta el cierre del servicio, previsto con anterioridad para diciembre.
Conclusiones principales
La brecha afectó a las tarjetas de consumo, no a la plataforma empresarial de Gnosis Pay.
Los titulares de tarjetas afectados recibieron notificaciones personalizadas por correo electrónico.
Las compras con tarjeta por Internet ahora requieren verificación mediante 3D Secure.
Los servicios de tarjetas de marca propia finalizarán el 20 de diciembre de 2026.
Alcance y respuesta a la filtración de datos de Gnosis Pay
La intrusión afectó al sistema heredado que presta servicio a las tarjetas de consumo de marca Gnosis Pay. La plataforma empresarial de marca blanca, que admite programas de tarjetas para otras empresas, no se vio afectada.
Gnosis Pay afirmó que su equipo de seguridad comenzó a contener el incidente en las dos horas siguientes a detectar el acceso no autorizado, el 3 de noviembre. Posteriormente, sustituyó las credenciales de seguridad afectadas y corrigió la vulnerabilidad.
La empresa notificó a sus socios y dijo que estaba comunicándose con las autoridades pertinentes de protección de datos y con el emisor de sus tarjetas. Monavate Limited, el emisor regulado por la Autoridad de Conducta Financiera del Reino Unido, sigue operando.
Controles de pago obligatorios y vigilancia más estrecha
Gnosis Pay ha hecho obligatorio 3D Secure, un paso de verificación adicional para las compras por Internet, para todos los pagos con tarjeta en línea hasta que cierre el sistema para consumidores.
También se está vigilando más de cerca si las transacciones con tarjeta y las carteras presentan indicios de fraude o intentos de acceder a fondos. Según la empresa, se está llevando a cabo una revisión exhaustiva, se están aplicando las lecciones aprendidas en todo el sistema y se ha organizado una supervisión especializada para detectar el uso indebido de la información expuesta.
Todas las personas afectadas por la filtración de datos de Gnosis Pay recibieron un correo electrónico el 6 de noviembre en el que se explicaba qué información se había obtenido de su cuenta, junto con recomendaciones específicas para cada cuenta. El equipo de asistencia está dando prioridad a esos clientes.
Recomendaciones para clientes contra el phishing
En lugar de hacer clic en enlaces de mensajes no solicitados, Gnosis Pay recomendó a los clientes acceder directamente a su aplicación web oficial o a la aplicación de su socio. La recomendación advertía que las comunicaciones fraudulentas podían incluir información personal correcta o mencionar una compra legítima.
Esta advertencia se aplica a correos electrónicos, mensajes de texto, llamadas telefónicas y cartas inesperados que hagan referencia a Gnosis Pay, a aplicaciones de socios o a tarjetas de pago. Según la empresa, ni ella ni sus socios pedirían nunca frases semilla, claves privadas, PIN ni números completos de tarjeta.
Además, nunca se pediría a los clientes que volvieran a verificar su identidad por correo electrónico o mensaje de texto, ni se les indicaría que enviaran fondos a raíz de un mensaje o una llamada. Se indicó a quienes tuvieran dudas que se pusieran en contacto con help@gnosispay.com.
El cierre de diciembre estaba previsto antes de la filtración
La retirada de la plataforma para consumidores se había decidido antes del incidente de noviembre. Según un aviso publicado el 21 de septiembre, los servicios de tarjetas de marca propia cesarán a las 23:59 UTC del 20 de diciembre de 2026.
En ese momento, finalizará la autorización de transacciones tanto para las tarjetas físicas como para las virtuales. La función de retirada seguirá disponible a través de la aplicación web, y los clientes conservarán la propiedad de los activos en sus cuentas Safe de autocustodia.
Para seguir usando una tarjeta después de esa fecha, los clientes deberán inscribirse en un programa de un socio con condiciones revisadas. Sin embargo, este paso no es obligatorio, ya que las tarjetas de marca propia dejarán de funcionar en cualquier caso. Antes del cierre, el aviso indica a los clientes que descarguen sus registros de transacciones y actualicen los pagos recurrentes con comercios.
Está previsto que la asistencia habitual a los titulares de tarjetas concluya el 18 de junio de 2027, mientras que la ayuda para reembolsos, disputas y contracargos seguirá disponible hasta el 12 de junio de 2028.
Un exploit anterior afectó al marco Zodiac
En un incidente separado ocurrido en junio, se comprometieron activos digitales por valor de aproximadamente 1,5 millones de dólares mediante un exploit relacionado con una cuenta de tarjeta. El análisis retrospectivo publicado por Gnosis Pay en julio atribuyó la causa a una vulnerabilidad en el marco de contratos inteligentes Zodiac.
La empresa dijo que había reembolsado íntegramente a los clientes afectados por el exploit de junio.
Artículo elaborado con la ayuda de inteligencia artificial y revisado por el equipo editorial.