暗号資産デビットカードを提供するGnosis Payは、顧客の自宅住所やカード番号、連携している暗号資産ウォレットを含む個人情報と金融情報が流出するデータ侵害を公表した。
あるユーザーは、流出したデータに基づき自宅住所とカード番号が自身のアカウントに紐づくすべての暗号資産ウォレットと連結されていたため、標的型詐欺のリスクが高まったと述べている。
本件の侵害により、攻撃者は盗み出した情報を用いてユーザーの現実世界の身元と暗号資産の保有状況を結び付けることが可能となり、被害拡大の懸念がある。
暗号資産ポートフォリオトラッカーRotkiの創業者であるLefteris Karapetsas氏は、同社から受け取ったメールを共有し、流出データに自身の氏名、完全な自宅住所、カード番号、アカウントに紐づくすべてのウォレットアドレスが含まれていたとX上で指摘した。「すでに私をユーザーとして失っていたが、少なくともデータは守るべきだった」と投稿している。
Gnosis Payは2023年にサービスを開始し、顧客が暗号資産ウォレットに連携したVisaデビットカードを通じてステーブルコインを利用できる仕組みを提供している。Paymentscanのデータによれば、同社の年間換算決済額は約6,760万ドルにのぼる。
同社によると、今回の侵入は11月3日に検知され、2時間以内に封じ込め対応を開始。影響を受けたセキュリティ認証情報の置き換えと、侵害に至った脆弱性の修正も行われた。
顧客資金への影響はなく、他の事業者向けカードプログラムを支える別企業向けプラットフォームにも被害はなかったとされる。影響を受けた顧客数は公表されていないが、流出した情報の詳細は影響ユーザーにメールで通知された。
今回の事件は、ウォレットソフトウェアの脆弱性により約150万ドルの流出が発生した6月のエクスプロイトに続くもので、Gnosisは当該損失を補填し顧客資金を回復させている。
同社は以降、オンラインカード決済に3Dセキュア認証を必須化し、既存の消費者向けシステムは12月20日に停止予定で、不正監視体制も強化された。
また、詐欺師が盗まれた個人情報と過去の購入情報を悪用し、偽のメッセージを本物のように見せかける可能性があることも警告している。