Gnosis Payで情報漏えい：カード保有者が知るべきこと

Gnosis Payは、自社ブランドの消費者向けカードを支えるシステムへの不正アクセスを2026年11月3日に監視システムが検知したと発表しました。

同社は、検知から2時間以内に封じ込めに着手し、その後、影響を受けたセキュリティ認証情報を更新して脆弱性に対処したと説明しています。The Blockの報道によると、被害はブランドカード向けの消費者用システムに限定され、ホワイトラベルのカードプログラムに使われる法人向けプラットフォームへの影響はありませんでした。

不正アクセスにより一部の顧客情報が流出しました。ただし、Decryptの報道によると、Gnosis Payは流出したデータの全カテゴリーや影響を受けた顧客数を公表していません。

Gnosis Payは顧客資金への影響はないとしています。ただし、この説明と、確認済みの顧客情報流出は切り分けて捉える必要があります。同社は、本物の個人情報や実際の購入履歴を悪用した詐欺メッセージが送られる可能性も警告しています。

Gnosis Payは、カード利用とウォレットに対する監視を強化し、不正行為や顧客資金へのアクセス試行をチェックしていると説明しました。また、影響を受けたすべての顧客に各アカウント固有の詳細をメールで通知し、提携先に情報漏えいを報告したほか、カード発行会社および管轄するデータ保護当局とも連携したとしています。

The Blockの報道によると、Gnosis Payは消費者向けシステムが廃止されるまで、すべてのオンラインカード決済で3D Secure認証を必須化しました。Decryptの報道では、このプラットフォームはすでに2026年12月20日の廃止が予定されていたとされています。

中央集権型取引所でのカストディとセルフカストディを比較するトレーダーにとって、今回の事案で重要なのは、情報流出と資金喪失を区別することです。顧客情報は流出した一方、Gnosis Payは顧客資金への影響はないと説明しています。

残るセキュリティ上の懸念は、標的型詐欺です。Gnosis Payは、悪意あるメッセージに本物の個人情報や購入履歴が使われる恐れがあり、詐欺的な要求でも信ぴょう性があるように見える可能性を警告しています。

• Gnosis Payが影響を受けたすべての顧客に送付したとしている、アカウント固有のメールが届いているか確認してください。
• 消費者向けシステムの稼働中は、The Blockの報道どおり、オンラインカード決済で3D Secure認証が求められると考えてください。
• Gnosis Payによると、流出情報が悪用される可能性があるため、正確な個人情報や購入履歴が記載されたメッセージも詐欺を疑ってください。
• メッセージや電話を受けても、シードフレーズ、秘密鍵、PIN、カード番号全桁を伝えたり、資金を送金したりしないでください。Gnosis Payはこのような要求をすることは決してないと明言しています。

現時点の開示情報だけでは、事案の全容を評価するうえで重要な複数の疑問に答えられません。Decryptの報道によると、影響を受けた顧客の総数も、流出したデータの全カテゴリーも公表されていません。

攻撃者が検知前にどの程度の期間アクセスを維持していたのか、どの脆弱性または初期アクセス手法が侵入を可能にしたのか、流出した記録が売却・公開されたのか、あるいはフィッシング、詐欺、物理的な標的選定に使われたのかは、依然として不明です。カード発行会社や管轄するデータ保護当局による調査結果や執行措置もまだ明らかになっていません。