A violação de dados da Gnosis Pay, divulgada em 6 de novembro de 2026, expôs informações de clientes do seu antigo sistema de cartões para consumidores, mas a empresa afirmou que os fundos dos clientes não foram afetados. O monitoramento de segurança detectou acesso não autorizado em 3 de novembro, e a contenção começou em menos de duas horas. Verificações adicionais de pagamentos serão mantidas até o encerramento do serviço, já programado para dezembro.
Principais conclusões
A violação de dados afetou cartões de consumidores, não a plataforma empresarial da Gnosis Pay.
Os titulares dos cartões afetados receberam notificações por e-mail específicas para suas contas.
As compras online com cartão agora exigem verificação 3D Secure.
Os serviços de cartões de marca própria terminam em 20 de dezembro de 2026.
Âmbito e resposta à violação de dados da Gnosis Pay
A intrusão afetou o sistema antigo que serve os cartões de consumidor com a marca Gnosis Pay. A plataforma empresarial de marca branca, que suporta programas de cartões para outras empresas, não foi afetada.
A Gnosis Pay afirmou que a sua equipa de segurança iniciou a contenção no prazo de duas horas após detetar o acesso não autorizado, em 3 de novembro. Posteriormente, substituiu as credenciais de segurança afetadas e corrigiu a vulnerabilidade.
A empresa notificou os seus parceiros e afirmou estar a comunicar com as autoridades de proteção de dados competentes e com a entidade emissora dos cartões. A Monavate Limited, entidade emissora regulada pela Autoridade de Conduta Financeira do Reino Unido, continua em atividade.
Verificações de pagamento obrigatórias e monitorização reforçada
A Gnosis Pay tornou o 3D Secure, uma etapa adicional de verificação para compras online, obrigatório para todos os pagamentos online com cartão até ao encerramento do sistema de consumidor.
As transações com cartão e as carteiras também estão a ser monitorizadas mais de perto para detetar fraudes e tentativas de acesso a fundos. Segundo a empresa, está em curso uma análise abrangente, cujas conclusões estão a ser aplicadas a todo o sistema, e foi organizada uma monitorização especializada para detetar a utilização indevida das informações expostas.
Todas as pessoas afetadas pela violação de dados da Gnosis Pay receberam um e-mail em 6 de novembro a explicar que informações tinham sido obtidas das suas contas, juntamente com recomendações específicas para cada conta. A equipa de apoio está a dar prioridade a esses clientes.
Orientações para os clientes se protegerem contra phishing
Em vez de clicarem em links de mensagens não solicitadas, a Gnosis Pay aconselhou os clientes a acederem diretamente à sua aplicação web oficial ou à aplicação do parceiro. As orientações alertaram que as comunicações fraudulentas podem incluir informações pessoais corretas ou mencionar uma compra legítima.
Este aviso aplica-se a e-mails, mensagens de texto, chamadas telefónicas e cartas inesperados que mencionem a Gnosis Pay, aplicações de parceiros ou cartões de pagamento. Segundo a empresa, nem ela nem os seus parceiros pedirão alguma vez frases-semente, chaves privadas, PIN ou números completos de cartões.
Além disso, os clientes nunca serão solicitados a voltar a verificar a sua identidade por e-mail ou mensagem de texto, nem serão instruídos a enviar fundos com base numa mensagem ou chamada. Quem tiver dúvidas foi aconselhado a contactar help@gnosispay.com.
Encerramento em dezembro já estava previsto antes da violação
A descontinuação da plataforma de consumidor antecede o incidente de novembro. De acordo com um aviso publicado em 21 de setembro, os serviços de cartões de marca própria terminarão às 23:59 UTC de 20 de dezembro de 2026.
Nessa altura, terminará a autorização de transações para cartões físicos e virtuais. A funcionalidade de levantamento continuará disponível através da aplicação web, e os clientes manterão a propriedade dos ativos nas suas contas Safe de autocustódia.
Para continuar a utilizar um cartão após essa data, os clientes terão de aderir a um programa de parceiro sujeito a condições revistas. No entanto, este passo não é obrigatório, uma vez que os cartões de marca própria deixarão de funcionar de qualquer forma. Antes do encerramento, o aviso instrui os clientes a descarregarem os respetivos registos de transações e a alterarem quaisquer acordos de pagamento recorrente com comerciantes.
O apoio habitual aos titulares de cartões deverá terminar em 18 de junho de 2027, enquanto a assistência relativa a reembolsos, contestações e estornos continuará disponível até 12 de junho de 2028.
Exploração anterior envolveu a estrutura Zodiac
Num incidente separado, ocorrido em junho, cerca de 1,5 milhão de dólares em ativos digitais foram comprometidos através de uma exploração de contas de cartão. A análise pós-incidente publicada pela Gnosis Pay em julho atribuiu a causa a uma vulnerabilidade na estrutura de contratos inteligentes Zodiac.
A empresa afirmou que os clientes afetados pela exploração de junho foram totalmente reembolsados.
Artigo produzido com o auxílio de inteligência artificial e revisto pela equipa editorial.