Gnosis Pay violata: dati esposti e rischio phishing

📌 In sintesi

• Violazione confermata il 3 novembre. Un accesso non autorizzato ha coinvolto il sistema legacy delle carte Gnosis Pay destinate ai consumatori; il contenimento è iniziato entro due ore dal rilevamento.
• Fondi non compromessi secondo l’azienda. Gnosis Pay dichiara di aver sostituito le credenziali interessate e corretto la vulnerabilità, senza registrare un impatto sulla piattaforma enterprise.
• 3D Secure obbligatorio fino al 20 dicembre. Le carte online richiedono una verifica aggiuntiva mentre cresce il rischio di phishing personalizzato basato sui dati esposti.

Gnosis Pay conferma una violazione dei dati personali che coinvolge il sistema utilizzato per gestire le proprie carte di pagamento destinate ai consumatori. L’accesso non autorizzato viene individuato il 3 novembre 2026, mentre la comunicazione pubblica arriva il 6 novembre, accompagnata dall’invio di notifiche individuali agli utenti interessati. L’azienda assicura che i fondi non sono stati compromessi e che l’infrastruttura enterprise utilizzata dai partner commerciali è rimasta estranea all’incidente. La distinzione è importante, ma non esaurisce il problema: l’esposizione di informazioni personali e finanziarie può trasformarsi in nuove truffe anche senza un furto diretto di criptovalute. Il caso riapre così la questione della sicurezza delle carte collegate ai wallet e della protezione dell’identità degli investitori.

L’accesso abusivo al sistema delle carte e la risposta di Gnosis Pay

Nella comunicazione ufficiale pubblicata il 6 novembre, Gnosis Pay ricostruisce le prime fasi dell’incidente. I sistemi di monitoraggio rilevano attività non autorizzate il 3 novembre nell’ambiente che alimenta le carte a marchio Gnosis Pay, appartenenti alla divisione business-to-consumer. Il team di sicurezza avvia le operazioni di contenimento entro due ore dalla scoperta, sostituisce le credenziali compromesse e interviene sulla vulnerabilità sfruttata. Non viene però pubblicata una descrizione tecnica della falla, né viene specificato per quanto tempo l’autore dell’intrusione abbia avuto accesso ai sistemi prima del rilevamento.

La società delimita il perimetro della violazione al sistema legacy delle carte consumer, già destinato alla dismissione il 20 dicembre 2026. La piattaforma enterprise, impiegata per i programmi di carte white-label gestiti da altri operatori, non risulta coinvolta. Questa precisazione evita di estendere automaticamente l’incidente all’intero ecosistema Gnosis. Rimane però aperta una domanda sulla gestione della sicurezza di un’infrastruttura prossima alla chiusura: un sistema in dismissione conserva tutti gli obblighi di protezione finché continua a trattare informazioni dei clienti. La decisione di abbandonarlo non elimina il rischio durante la fase di transizione.

Quali dati sono stati esposti e perché il rischio non riguarda soltanto i fondi

Gnosis Pay non fornisce pubblicamente il numero complessivo delle persone coinvolte e non pubblica un elenco unico dei dati sottratti. Dichiara invece di aver comunicato individualmente, il 6 novembre, le informazioni interessate per ciascun account. Le notifiche esaminate da alcune testate specializzate e condivise da utenti indicano, in determinati casi, dati anagrafici, indirizzi di residenza, informazioni sulle carte di pagamento e indirizzi dei wallet collegati. Altre segnalazioni menzionano ulteriori dettagli personali e bancari, ma non è corretto dedurre che ogni categoria sia stata esposta per tutti i clienti. Il problema più delicato nasce dall’eventuale collegamento tra identità reale e attività su blockchain. Un indirizzo pubblico di un wallet, considerato isolatamente, non rivela necessariamente il nome del proprietario; associato a una persona, a un indirizzo fisico e a informazioni di pagamento, diventa invece uno strumento di profilazione molto più preciso. Un criminale può utilizzare dati autentici per rendere credibile una comunicazione fraudolenta, presentandosi come assistenza clienti, operatore antifrode o intermediario finanziario. Anche quando il denaro custodito nei wallet non viene toccato durante l’intrusione, le informazioni esposte possono facilitare tentativi successivi di sottrazione delle credenziali o di manipolazione delle vittime.

Leggi anche: Chainalysis, esposti password hash e token di tutti gli utenti: servizi ancora in ripristino dopo l’attacco AI.

Il 3D Secure obbligatorio protegge i pagamenti, ma non cancella la violazione

La risposta di Gnosis Pay comprende il rafforzamento del monitoraggio sulle transazioni delle carte e sulle attività dei wallet, con l’obiettivo di intercettare frodi o tentativi di accesso ai fondi. L’azienda ha inoltre reso obbligatoria la verifica 3D Secure per tutti i pagamenti online, una misura destinata a rimanere operativa fino alla dismissione del sistema B2C. Questo controllo introduce un passaggio supplementare di autenticazione e può ridurre l’efficacia di determinati tentativi di utilizzo illecito delle carte, senza rappresentare una garanzia assoluta contro ogni frode. La differenza è sostanziale: il 3D Secure interviene nel processo autorizzativo dei pagamenti, mentre i dati già esposti possono essere impiegati per costruire attacchi di ingegneria sociale. Un messaggio contenente il nome reale della vittima, un riferimento al suo account oppure il dettaglio di una transazione autentica potrebbe apparire attendibile anche quando proviene da un criminale. Gnosis Pay invita quindi gli utenti a non aprire collegamenti contenuti in comunicazioni inattese e a raggiungere direttamente l’applicazione ufficiale. Nessun legittimo operatore deve chiedere seed phrase, chiavi private o PIN attraverso email, SMS o telefonate. La verifica di un pagamento non va mai approvata quando l’operazione non è stata iniziata dall’utente.

Il precedente di giugno e la sicurezza delle infrastrutture crypto

L’incidente di novembre non deve essere confuso con quello del 1° giugno 2026, quando una vulnerabilità nei moduli software utilizzati nell’infrastruttura dei wallet collegati alle carte aveva permesso agli attaccanti di sottrarre circa 1,5 milioni di dollari. Nel successivo rapporto tecnico pubblicato da Gnosis, il gruppo aveva ricostruito il problema relativo alla verifica delle firme, confermando di aver assorbito le perdite e ripristinato i fondi degli utenti. Quell’episodio riguardava direttamente la movimentazione degli asset; quello di novembre riguarda invece l’accesso non autorizzato a informazioni dei clienti. La sequenza evidenzia due superfici di attacco differenti. Da un lato esistono i contratti intelligenti, le autorizzazioni e i componenti software che consentono di utilizzare le criptovalute per effettuare pagamenti. Dall’altro operano infrastrutture tradizionali di gestione delle carte, anagrafiche, credenziali e rapporti con gli emittenti. La sicurezza delle piattaforme crypto non può essere valutata soltanto chiedendosi se una blockchain sia stata compromessa: quando un servizio collega wallet e strumenti di pagamento, l’identità dell’utente diventa un bene altrettanto sensibile delle risorse finanziarie. La protezione deve quindi riguardare l’intera catena operativa, compresi i sistemi destinati alla dismissione.

Cosa devono fare gli utenti che hanno ricevuto la notifica

Gli utenti coinvolti devono leggere la comunicazione individuale inviata da Gnosis Pay per comprendere quali informazioni siano state effettivamente esposte. È opportuno verificare le operazioni effettuate con la carta, controllare eventuali notifiche di autenticazione inattese e utilizzare esclusivamente i canali ufficiali per richiedere assistenza. Qualora la notifica riporti l’esposizione dei dati della carta o di altri identificativi particolarmente sensibili, le eventuali misure ulteriori vanno concordate con l’emittente e con il servizio, senza affidarsi a istruzioni ricevute tramite messaggi non richiesti. Il contatto indicato dall’azienda è [email protected].

Continua con: PagoPA, phishing via PEC compromesse: false multe da 198 euro e Keystone distruggerà 18.835 wallet: rubata la chiave di autenticità.

Il nodo della fiducia tra pagamenti digitali e identità personale

Gnosis Pay afferma di aver avvisato i partner, l’emittente delle carte e le autorità competenti per la protezione dei dati, oltre ad aver avviato un riesame dei propri sistemi. Resta da chiarire la dimensione complessiva della violazione e quali informazioni siano state accessibili nei diversi account. L’assenza di un furto immediato dei fondi non equivale all’assenza di conseguenze per gli utenti: i dati personali possono essere riutilizzati nel tempo, combinati con altre informazioni e trasformati in strumenti di pressione o frode. L’incidente mostra il limite di una promessa di sicurezza costruita esclusivamente sulla custodia delle criptovalute. Una carta che permette di spendere asset digitali introduce necessariamente intermediari, componenti tecnici e archivi informativi. Quando questi sistemi vengono compromessi, la vulnerabilità non riguarda soltanto il pagamento, ma la relazione di fiducia tra una persona e l’intera infrastruttura finanziaria che utilizza.