El proveedor de tarjetas de débito Visa vinculadas a criptomonedas Gnosis Pay reveló un incidente de seguridad que afectó a su antiguo sistema de tarjetas para consumidores y señaló que el acceso no autorizado expuso la información de las tarjetas de pago de los clientes, junto con datos personales y las direcciones asociadas a sus monederos de criptomonedas.
En un aviso público, la empresa dijo que detectó la actividad el 3 de noviembre y comenzó a contenerla en un plazo de dos horas. Gnosis Pay añadió que los fondos de los clientes no se vieron afectados y que su plataforma empresarial independiente —utilizada para operar programas de tarjetas de marca blanca— tampoco se vio afectada.
Puntos clave
Gnosis Pay informó de una filtración vinculada a su sistema heredado de tarjetas para consumidores, no a su infraestructura empresarial o de marca blanca.
Los datos expuestos que se describen en las notificaciones de la filtración incluyen números completos de tarjetas, fechas de vencimiento, códigos CVV y otra información de identificación personal.
La empresa afirmó que sustituyó las credenciales comprometidas, corrigió la vulnerabilidad y habilitó 3D Secure para las transacciones en línea hasta que se retire el sistema heredado.
Gnosis Pay no publicó el número de clientes afectados, pero los datos de seguimiento de terceros sugieren que la plataforma presta servicio a una base de usuarios activos relativamente pequeña.
Qué información afirma Gnosis Pay que quedó expuesta
Según la declaración de Gnosis Pay, el incidente se debió a un acceso no autorizado a su entorno heredado de tarjetas para consumidores. Las notificaciones de la filtración revisadas por Cointelegraph indicaron que la información expuesta podría incluir:
Datos de tarjetas de pago, como números completos de tarjeta, fechas de vencimiento y códigos CVV
Información personal, incluidos nombres de clientes, domicilios y datos de contacto
Vinculación con criptomonedas, con direcciones de monederos de criptomonedas asociadas a las cuentas afectadas
Identificadores adicionales en algunos casos, como direcciones de correo electrónico, números de teléfono y nacionalidades
En ciertas notificaciones, posibles datos bancarios como IBAN y BIC
Una notificación también indicó que la tarjeta del cliente fue cancelada el 3 de noviembre y señaló que no se detectó ninguna actividad sospechosa ni movimiento de fondos.
Medidas de contención y protección a corto plazo
Gnosis Pay afirmó que actuó rápidamente tras detectar el incidente y que inició las medidas de contención en un plazo de dos horas desde que identificó el acceso no autorizado. La empresa también describió acciones correctivas destinadas a reducir el riesgo de que se produjera otra vulneración.
Entre las medidas adoptadas se incluyeron la sustitución de las credenciales de seguridad comprometidas y la corrección de la vulnerabilidad subyacente. Además, Gnosis Pay afirmó que hizo obligatoria la verificación 3D Secure para los pagos en línea hasta la retirada prevista del sistema heredado el 20 de diciembre. El objetivo de este cambio es añadir una capa adicional de autenticación para las transacciones con tarjeta realizadas en línea.
La empresa también advirtió a los clientes que estuvieran atentos a intentos de phishing que podrían hacer referencia a datos personales o relacionados con transacciones obtenidos en la filtración. Indicó que está organizando medidas de monitorización para detectar posibles usos indebidos de los datos robados.
El impacto en los clientes y la cuestión de su alcance
Aunque Gnosis Pay afirmó que los fondos de los clientes no se vieron afectados, no reveló cuántas personas resultaron perjudicadas. Cointelegraph informó de que la empresa no respondió de inmediato a una solicitud de comentarios adicionales.
La falta de una cifra clara sobre los clientes afectados importa por razones prácticas: influye en la rapidez con que clientes y socios pueden evaluar su exposición, determinar si deben sustituir las tarjetas y decidir con qué intensidad deben vigilar posibles fraudes. Aunque no se hayan movido fondos en el momento de la detección, la combinación de datos de tarjetas e información personal aumenta la probabilidad de ataques posteriores, como la toma de control de cuentas, el phishing dirigido o los intentos de aprovechar la vinculación filtrada con criptomonedas.
Para contextualizar el alcance operativo, los datos de OpenRate citados por Cointelegraph situaron a Gnosis Pay en aproximadamente 2.400 titulares de tarjetas activos al día y unos 263.200 dólares en transacciones durante las 24 horas anteriores. Estas cifras no cuantifican el alcance de la filtración, pero ayudan a los lectores a hacerse una idea del nivel de actividad reciente de la plataforma.
Por qué es importante la distinción de «sistema heredado»
El mensaje de Gnosis Pay establece una clara distinción: afirmó que la filtración afectó a su sistema heredado de tarjetas para consumidores, mientras que su plataforma empresarial independiente, que da soporte a programas de marca blanca, no se vio afectada. Esta separación puede ser importante para los socios que gestionan sus propios programas de tarjetas a través de la oferta empresarial, ya que implica que podrían correr menos riesgo que los consumidores vinculados al entorno heredado.
Aun así, el incidente pone de relieve un patrón de vulnerabilidad habitual en la infraestructura de pagos: los sistemas antiguos pueden seguir siendo objetivos de gran valor incluso cuando coexisten con arquitecturas más recientes. El plan anunciado por la empresa de retirar el sistema heredado antes del 20 de diciembre sugiere que el calendario de corrección se centra en eliminar el entorno afectado, en lugar de limitarse a restringir el acceso de forma indefinida.
Para los clientes, la preocupación operativa inmediata no es solo si se realizaron pagos no autorizados, sino también si las credenciales y los datos identificativos expuestos podrían reutilizarse más adelante. Según se informó, la notificación de la filtración también incluía direcciones de monederos de criptomonedas, lo que puede aumentar los riesgos relacionados con la vinculación de cuentas y las estafas dirigidas, especialmente cuando se solapan la gestión de fondos y la verificación de identidad.
En adelante, los lectores deberían estar atentos a nueva información de Gnosis Pay sobre la población afectada, a la confirmación de si se produjo alguna transacción fraudulenta después de las medidas de cancelación de tarjetas y a pruebas de que los controles mejorados de verificación en línea (3D Secure) reducen los riesgos durante el periodo previo a la retirada del sistema heredado.
Este artículo se publicó originalmente como «La filtración de Gnosis Pay expone datos de tarjetas, datos personales y monederos de criptomonedas» en Crypto Breaking News, tu fuente de confianza para noticias sobre criptomonedas, Bitcoin y actualizaciones de la cadena de bloques.