Le fournisseur de cartes de débit Visa liées aux cryptomonnaies Gnosis Pay a révélé un incident de sécurité touchant son ancien système de cartes grand public. L’entreprise a indiqué qu’un accès non autorisé avait exposé les informations des cartes de paiement des clients, ainsi que leurs données personnelles et les adresses de leurs portefeuilles de cryptomonnaies associés.
Dans un avis public, l’entreprise a déclaré avoir détecté l’activité le 3 novembre et avoir commencé à la contenir dans les deux heures. Gnosis Pay a ajouté que les fonds des clients n’avaient pas été affectés et que sa plateforme dédiée aux entreprises — utilisée pour gérer des programmes de cartes en marque blanche — n’avait pas été touchée.
Points clés à retenir
Gnosis Pay a signalé une fuite liée à son ancien système de cartes grand public, et non à son infrastructure d’entreprise ou en marque blanche.
Les données exposées mentionnées dans les notifications de fuite comprennent les numéros complets de carte, les dates d’expiration, les codes CVV et d’autres informations permettant d’identifier personnellement les clients.
L’entreprise a déclaré avoir remplacé les identifiants compromis, corrigé la vulnérabilité et activé 3D Secure pour les transactions en ligne jusqu’au retrait de l’ancien système.
Gnosis Pay n’a pas publié le nombre de clients concernés, mais des données de suivi tierces suggèrent que la plateforme sert une base d’utilisateurs actifs relativement restreinte.
Ce que Gnosis Pay affirme avoir exposé
Selon les informations communiquées par Gnosis Pay, l’incident découle d’un accès non autorisé à son ancien environnement de cartes grand public. Les notifications de fuite examinées par Cointelegraph indiquaient que les informations exposées pouvaient comprendre :
Données de carte de paiement, notamment les numéros complets de carte, les dates d’expiration et les codes CVV
Informations personnelles, notamment les noms des clients, leurs adresses personnelles et leurs coordonnées
Lien avec les cryptomonnaies, les adresses de portefeuilles de cryptomonnaies étant associées aux comptes concernés
Identifiants supplémentaires dans certains cas, comme des adresses e-mail, des numéros de téléphone et des nationalités
Dans certaines notifications, des coordonnées bancaires potentielles comme l’IBAN et le BIC
Une notification indiquait également que la carte du client avait été annulée le 3 novembre et signalait qu’aucune activité suspecte ni aucun mouvement de fonds n’avait été détecté.
Mesures de confinement et protection à court terme
Gnosis Pay a déclaré avoir réagi rapidement après la détection, en lançant des mesures de confinement dans les deux heures suivant l’identification de l’accès non autorisé. L’entreprise a également décrit des mesures correctives visant à réduire le risque d’une nouvelle compromission.
Parmi les mesures prises, l’entreprise a remplacé les identifiants de sécurité compromis et corrigé la vulnérabilité sous-jacente. En outre, Gnosis Pay a indiqué avoir rendu la vérification 3D Secure obligatoire pour les paiements en ligne jusqu’au retrait prévu de l’ancien système, le 20 décembre. Ce changement vise à ajouter une couche d’authentification supplémentaire aux transactions par carte effectuées en ligne.
L’entreprise a également averti ses clients de se méfier des tentatives d’hameçonnage susceptibles de faire référence à des informations personnelles ou liées à des transactions provenant de la fuite. Elle a indiqué qu’elle mettait en place une surveillance afin de détecter toute utilisation abusive éventuelle des données volées.
Conséquences pour les clients et ampleur de l’incident
Bien que Gnosis Pay ait déclaré que les fonds des clients n’avaient pas été affectés, l’entreprise n’a pas révélé combien de personnes étaient concernées. Cointelegraph a rapporté que l’entreprise n’avait pas immédiatement répondu à une demande de commentaire supplémentaire.
L’absence de chiffre précis sur le nombre de clients concernés est importante en pratique : elle influe sur la rapidité avec laquelle les clients et les partenaires peuvent évaluer leur exposition, déterminer s’ils doivent remplacer leurs cartes et décider de l’ampleur de la surveillance à mettre en place contre la fraude. Même si aucun fonds n’a été transféré au moment de la détection, la combinaison de données de carte et d’informations personnelles accroît le risque d’attaques ultérieures, telles que la prise de contrôle de comptes, l’hameçonnage ciblé ou des tentatives d’exploitation du lien avec les cryptomonnaies divulgué.
Pour situer l’activité de la plateforme, les données d’OpenRate citées par Cointelegraph indiquaient que Gnosis Pay comptait environ 2 400 titulaires de carte actifs par jour et avait traité près de 263 200 $ de transactions au cours des 24 heures précédentes. Ces chiffres ne permettent pas de mesurer l’ampleur de la fuite, mais ils donnent aux lecteurs une idée du niveau d’activité récent de la plateforme.
Pourquoi la distinction liée à l’« ancien système » est importante
La communication de Gnosis Pay établit une distinction claire : l’entreprise a indiqué que la fuite concernait son ancien système de cartes grand public, tandis que sa plateforme d’entreprise distincte, qui prend en charge les programmes en marque blanche, n’avait pas été affectée. Cette séparation peut être importante pour les partenaires qui gèrent leurs propres programmes de cartes via l’offre destinée aux entreprises, car elle laisse entendre qu’ils pourraient courir moins de risques que les consommateurs liés à l’ancien environnement.
L’incident met néanmoins en évidence une vulnérabilité courante des infrastructures de paiement : les anciens systèmes peuvent rester des cibles de grande valeur même lorsque des architectures plus récentes coexistent. Le plan annoncé par l’entreprise, qui prévoit de retirer l’ancien système d’ici le 20 décembre, suggère que le calendrier des mesures correctives repose sur la suppression de l’environnement concerné plutôt que sur une simple limitation permanente des accès.
Pour les clients, la préoccupation opérationnelle immédiate ne concerne pas seulement la survenue éventuelle de paiements non autorisés, mais aussi la possibilité que les identifiants et les données d’identification exposés soient réutilisés ultérieurement. La notification de la fuite aurait également inclus des adresses de portefeuilles de cryptomonnaies, ce qui peut accroître les risques liés à l’association de comptes et aux escroqueries ciblées, en particulier lorsque la gestion des fonds et la vérification d’identité se recoupent.
À l’avenir, les lecteurs devraient suivre les éventuelles précisions de Gnosis Pay sur la population concernée, la confirmation de la survenue ou non de transactions frauduleuses après les mesures d’annulation des cartes, ainsi que les éléments montrant que les contrôles renforcés de vérification en ligne (3D Secure) réduisent les risques jusqu’au retrait de l’ancien système.
Cet article a d’abord été publié sous le titre « La fuite de données chez Gnosis Pay expose des cartes, des données personnelles et des portefeuilles crypto » sur Crypto Breaking News – votre source de confiance pour l’actualité crypto, Bitcoin et les mises à jour de la blockchain.