Een aanvaller kreeg toegang tot het oudere systeem achter de betaalkaarten van Gnosis Pay. Daarbij zijn persoonlijke gegevens van klanten ingezien. Het bedrijf zegt dat tegoeden veilig zijn gebleven, maar waarschuwt gebruikers voor overtuigende phishingberichten waarin echte gegevens kunnen staan.
Gnosis Pay ontdekte de ongeoorloofde toegang op 3 november en maakte het incident drie dagen later bekend. Alle getroffen klanten hebben per e-mail te horen gekregen welke gegevens uit hun account zijn buitgemaakt.
Oud kaartsysteem geraakt
Gnosis Pay biedt kaarten waarmee gebruikers crypto kunnen uitgeven als gewoon betaalgeld. In de officiële melding schrijft het bedrijf dat de aanval uitsluitend het systeem voor zijn eigen consumentenkaart trof. De nieuwere zakelijke infrastructuur, waarmee andere apps en financiële bedrijven kaarten aanbieden, zou niet zijn geraakt.
Welke gegevens zijn gelekt, verschilt volgens Gnosis Pay per gebruiker. Het bedrijf publiceert daarom geen algemene lijst. Ook het aantal getroffen klanten en de manier waarop de aanvaller binnenkwam zijn niet bekendgemaakt. De beveiligingsploeg begon binnen twee uur met het indammen van het incident, verving betrokken toegangsgegevens en dichtte het lek.
Het getroffen systeem stond al op de planning om op 20 december te verdwijnen. De eigen consumentenkaart en webapp maken plaats voor kaarten die via partnerapps draaien. Gebruikers kunnen volgens de bestaande migratie-informatie overstappen. Die overgang staat los van het eerdere datalek.
Extra controle op online betalingen
Na de aanval heeft Gnosis Pay extra toezicht ingesteld op kaartbetalingen en crypto-wallets. Voor iedere online kaartbetaling is tijdelijk 3D Secure verplicht. Daarbij moet een gebruiker de betaling apart bevestigen, bijvoorbeeld in een app. Deze maatregel blijft gelden totdat het oude systeem op 20 december wordt uitgezet.
Het belangrijkste risico zit nu in misbruik van de gelekte informatie. Een vals bericht kan geloofwaardiger lijken wanneer daarin een echte naam, aankoop of ander persoonlijk detail staat. Gnosis Pay adviseert klanten daarom niet op links in onverwachte mails, sms’jes of andere berichten te klikken.
Het bedrijf zegt nooit via een bericht om een herstelzin, privésleutel, pincode of volledig kaartnummer te vragen. Ook zal het klanten niet per mail of telefoon opdragen geld te verplaatsen. Wijzigingen horen alleen via de officiële app te worden uitgevoerd. Wie een bericht ontvangt dat daarop aandringt, moet rekening houden met phishing, ook als delen van het bericht echt lijken.