暗号資産デビットカード提供企業のGnosis Payは、顧客の自宅住所、カード番号、及び連携された暗号資産ウォレットを含む個人情報や金融情報が流出するデータ侵害が発生したと発表した。
この侵害により、攻撃者は盗み出した情報を用いてユーザーの現実世界での身元と暗号資産保有状況を紐付けられるため、標的型詐欺のリスクが高まっている。
暗号資産ポートフォリオトラッカーRotkiの創業者であるLefteris Karapetsas氏は、同社から受け取った通知メールを共有し、流出したデータには自身の氏名、完全な自宅住所、カード番号、及びアカウントに紐づくすべてのウォレットアドレスが含まれていたと報告した。
同氏は「あなた方はすでに私をユーザーとして失っていましたが、少なくとも私のデータは守ることができたはずです」と投稿している。
2023年に設立されたGnosis Payは、顧客が暗号資産ウォレットと連携したVisaデビットカードを通じてステーブルコインを使用可能にしている。Paymentscanのデータによると、同社の年間換算決済額は約6,760万ドルにのぼる。
同社によると、侵入は11月3日に検知され、2時間以内に封じ込めを開始。影響を受けたセキュリティ認証情報の置き換えと併せ、侵害を可能にした脆弱性も修正したという。
顧客資金への影響はなく、また同社の他事業者向けカードプログラムを支える別個の企業向けプラットフォームも被害を受けていないとしている。
Gnosis Payは、影響を受けた顧客人数について明らかにしていない一方、流出情報の詳細は各ユーザーにメールで通知したとしている。
今回の事案は、6月にウォレットソフトウェアの脆弱性により約150万ドルが流出したエクスプロイトに続くもの。同社は損失を補填し顧客資金を回復させた。
また、同社はオンラインカード決済に3Dセキュア認証を必須化し、既存の消費者向けシステムを12月20日に停止する予定としている。不正監視体制も強化された。
さらに、詐欺師が盗まれた個人情報と過去の購入情報を悪用し、偽メッセージを本物のように見せかける可能性があると警告している。