BitcoinWorldGnosis Pay、12月20日のカードサービス終了を前にデータ侵害を報告

Crypto.newsによると、Gnosis Payは2026年11月6日、同社ブランドの決済カードを支える旧システムへの不正アクセスにより顧客情報が流出したと発表しました。監視システムは11月3日に侵入を検知していました。同社は、資金への影響はなく、消費者向けプラットフォームが2026年12月20日23時59分（UTC）に終了するまで追加認証を継続すると述べました。

Gnosis Payは、顧客資金ではなく、旧来のB2Cカードシステムを通じてハッカーが顧客情報にアクセスしたと発表しました。消費者向けプラットフォームは2026年12月20日に閉鎖される予定で、それまではすべてのオンラインカード決済で3Dセキュアが必須となっています。主な事実

  • Gnosis Payの開示によると、同社は11月3日に不正アクセスを検知し、2時間以内に封じ込めを開始しました。

  • 影響を受けた顧客全員に11月6日、アカウントから取得された情報の詳細を記載したメールが送られました。同社は顧客数を公表していません。

  • 他社向けのホワイトラベルカードプログラムを支える法人向けプラットフォームには影響がありませんでした。

  • 消費者向けサービスが終了するまで、すべてのオンラインカード決済で3Dセキュアが必須となりました。

  • サービス終了日は今回のインシデントより前に決まっていました。9月21日に発行された正式通知で、ブランドカードサービスを2026年12月20日に終了すると告知されていました。

侵害で露出した情報と、アカウントによる違い

同社の公開声明では、露出した情報の種類は列挙されていません。Cointelegraphは、確認した侵害通知を引用し、露出したデータにはカード番号全桁、有効期限、CVVコード、顧客の氏名、自宅住所、ウォレットアドレスのほか、メールアドレス、電話番号、国籍、一部のケースではIBANやBIC情報などの銀行口座情報が含まれていたと報じました。Cointelegraphによると、ある通知では、顧客のカードが11月3日に停止され、不審な取引は検出されなかったことが確認されました。

Gnosis Payは、漏洩したセキュリティ認証情報を交換し、脆弱性を修正したほか、パートナーとカード発行会社に侵害を報告し、該当するデータ保護当局と連絡を取っていると述べました。また、露出した情報が悪用されていないかを確認するため、専門機関による監視を手配しており、カード取引とウォレットについても不正利用の監視を強化しているとしています。

すでに進行していたサービス終了

サービス停止は11月より前に計画されていました。9月の通知によると、物理カードとバーチャルカードは2026年12月20日に取引の承認を停止します。ウェブアプリでは引き続き出金機能を利用でき、顧客はセルフカストディ型Safeアカウントに保管された資産の所有権を保持します。今後もカードを利用したいカード会員は、新しい利用条件のもとでパートナープログラムに参加する必要があります。既存のブランドカードは、いずれにしても利用できなくなります。通知では、サービス終了前に取引履歴をエクスポートし、加盟店で定期支払いを更新するようユーザーに求めています。一般的なカード会員向けサポートは2027年6月18日に終了する予定ですが、返金、異議申し立て、チャージバックに関するサポートは2028年6月12日まで継続します。

今回の開示に先立ち、6月には約150万ドル相当のデジタル資産が流出する別のエクスプロイトが発生していました。Gnosis Payは7月の事後報告で、原因はZodiacスマートコントラクトフレームワークの欠陥であり、影響を受けた顧客には全額補償したと説明しました。同社は、2つのインシデントに共通の原因があるとは述べていません。

フィッシングへの懸念が高まる中、ユーザーから反発

同社の発表への返信では、責任を認めることが実際に何を意味するのか疑問視する声が上がりました。Zoodirektorの名前で投稿したユーザーは「全面的に責任を負う」とはどういう意味かと尋ね、別のユーザーであるdramanoodleは、仮想通貨保有者を狙ったさらなる詐欺メールや物理的な襲撃に警戒するよう呼びかけました。Decryptによると、Gnosis Payは顧客に対し、オンライン・オフラインを問わず、自宅住所や暗号資産の保有状況をむやみに共有しないよう注意を促しました。この警告は、いわゆる「レンチ攻撃」の増加に沿ったものです。Decryptが引用したブロックチェーン分析企業Chainalysisによると、2026年上半期にはこうした攻撃で3,000万ドル以上が盗まれ、年間の被害額は過去最高に達するペースです。

Gnosis Payの注意喚起によると、不審なメッセージに本物の個人情報が含まれていたり、実際の購入について言及していたりする可能性があります。顧客には、Gnosis Pay、パートナーアプリ、カードに関する予期しないメール、テキストメッセージ、電話、手紙に記載されたリンクを避け、公式ウェブアプリまたはパートナーアプリを直接開くよう伝えられました。同社は、自社もパートナーもシードフレーズ、秘密鍵、PIN、カード番号全桁を尋ねることはなく、メールやテキストで本人確認を再度求めたり、メッセージや電話で資金移動を指示したりすることもないと述べています。不安がある場合は同社のサポート窓口に連絡するよう案内しており、サポートチームは直接影響を受けた顧客を優先しています。

重要な理由

暗号資産と連動したカードは、セルフカストディ型ウォレットと従来型の決済ネットワークが交わる領域にあります。そのため、カード認証情報、自宅住所、ウォレットとの関連情報に及ぶ侵害は、単一のアカウントを超えたリスクをもたらします。漏洩したカード番号は停止して再発行できますが、住所やウォレットとの関連情報は取り消せません。サービス終了が迫る一方で、それに紐づく個人データは残り続けるため、ユーザーにとってタイミングも問題を深刻化させます。フィッシングの試みでは、実際の購入情報や個人情報を引き合いに出して、もっともらしく見せることができます。Gnosis Payは、業界で相次ぐ最近のセキュリティインシデントの中に位置しています。Decryptによると、Coinbaseは先週、分析ベンダーAmplitudeでの侵害により一部顧客の連絡先データが露出したと発表しました。またLedgerは、8,700万ドル相当の資産流出が疑われる事案で確認された被害が、東南アジアの再販業者から購入されたデバイスに関係していたと述べました。Cointelegraphは第三者のトラッカーOpenRateを引用し、Gnosis Payでは1日あたり約2,400人のカード会員がアクティブで、直近24時間に26万3,200ドルの取引が処理されたと報じました。小規模なカードプログラムでも、意味のある規模の個人データが集まることを示しています。

今後の注目点

当面の節目は2026年12月20日です。この日、ブランドカードは取引の承認を停止し、旧システムに紐づく保護措置も失効します。それまでの間に、Gnosis Payが影響を受けた顧客数や取得されたデータの全種類を開示するか、また該当する管轄区域のデータ保護当局が調査を開始するかに注目してください。カード会員がどれだけ速やかにパートナープログラムへ移行するか、また必須となった3Dセキュアの手順がオンライン決済の成功率にどう影響するかも、消費者向け事業の最終盤を左右するでしょう。

よくある質問

Gnosis Payの侵害で、どのような情報が露出しましたか？

Cointelegraphによると、侵害通知にはカード番号全桁、有効期限、CVVコード、氏名、自宅住所、ウォレットアドレス、メールアドレス、電話番号、国籍、一部のケースではIBANやBICなどの銀行口座情報が記載されていました。Gnosis Payは、情報の種類を自ら公表していません。

顧客の資金に影響はありましたか？

Gnosis Payは、顧客の資金に影響はなく、法人向けのホワイトラベルカードプラットフォームも影響を受けなかったと述べました。侵害は、Gnosis Payブランドのカードを提供する消費者向け事業に限られていました。

Gnosis Payはいつブランドカードのサポートを終了しますか？

9月21日に発行されたサービス終了通知では、ブランドカードサービスを2026年12月20日23時59分（UTC）に終了すると定めています。ウェブアプリでは出金機能が引き続き利用でき、資産はセルフカストディ型Safeアカウントに保管されます。

影響を受けた顧客は何をすべきですか？

Gnosis Payは、予期しないメッセージ内のリンクを避け、公式ウェブアプリまたはパートナーアプリを直接開くよう勧告しました。同社やパートナーがシードフレーズ、秘密鍵、PIN、カード番号全桁を尋ねることはないと述べています。

この記事「Gnosis Pay、12月20日のカード停止を前にデータ侵害を報告」は、BitcoinWorldに最初に掲載されました。