Gnosis Pay dit que le système de ses cartes de marque a été atteint

Gnosis Pay, une entreprise britannique qui émet des cartes de débit Visa liées à des portefeuilles de cryptomonnaie, a dit avoir constaté un accès non autorisé au système qui alimente ses propres cartes de consommation. Elle a détecté cet accès le 3 novembre 2026. Les fonds des clients n’ont pas été pris, a-t-elle dit. Le nombre de personnes touchées n’a pas été publié.

Ce qui s’est passé

Dans une déclaration mise en ligne le 6 novembre, Gnosis Pay a dit que :

• La surveillance a signalé un accès non autorisé au système derrière les cartes de marque Gnosis Pay, sa gamme grand public (B2C).
• Le confinement a commencé dans les deux heures suivant la détection. L’entreprise a ensuite remplacé les identifiants de sécurité touchés et corrigé la faille.
• Le même système devait déjà être retiré le 20 décembre 2026. La plateforme entreprise distincte, qui alimente les programmes de cartes en marque blanche d’autres entreprises, n’a pas été touchée.
• Les fonds des clients n’ont pas été touchés.
• Le 6 novembre, l’entreprise a écrit à chaque client touché pour dire exactement quels renseignements avaient été pris dans son compte. Elle a aussi signalé l’incident à ses partenaires et dit communiquer avec les autorités de protection des données concernées et avec l’émetteur de la carte.

La déclaration publique n’énumère pas un seul ensemble de types de données pour chaque client. Elle dit que chaque personne a été informée de ce qui a été atteint dans son propre compte, et que des mesures supplémentaires ont été recommandées selon ces renseignements.

CoinDesk a rapporté le 7 novembre que Lefteris Karapetsas, fondateur de l’outil de suivi de portefeuille Rotki, a partagé le courriel qu’il a reçu. Il a dit que l’avis énumérait son nom, son adresse complète, le numéro de sa carte et chaque adresse de portefeuille liée à son compte. Il s’agit de l’avis d’un client, pas d’une liste de l’entreprise sur ce que chaque compte a perdu. D’autres clients peuvent avoir reçu un avis différent. CoinDesk a aussi noté que l’entreprise n’a pas dit combien de personnes étaient touchées.

Gnosis Pay a dit avoir accru la surveillance de l’activité des cartes et des portefeuilles, et avoir rendu 3D Secure obligatoire pour tous les paiements en ligne par carte jusqu’au retrait du système grand public le 20 décembre.

Ce que ça signifie pour vous

Si votre avis comprenait une adresse, un numéro de carte et des adresses de portefeuille ensemble, quelqu’un qui a ce fichier peut essayer de relier un vrai nom et une vraie adresse à des avoirs en cryptomonnaie. C’est utile pour une fraude ciblée : un message qui mentionne votre carte, un paiement récent ou un portefeuille, et qui vous demande de « revérifier » votre identité ou de déplacer des fonds.

Même si votre avis énumérait moins que cela, un nom et une adresse suffisent pour rédiger un faux courriel ou une fausse lettre convaincante.

Ce que vous pouvez faire

1. Lisez le courriel que Gnosis Pay vous a envoyé, si vous en avez reçu un, pour les éléments exacts qu’il dit avoir été atteints. Comparez les contacts inattendus à cette liste. L’entreprise dit qu’elle ne vous demandera jamais votre phrase de récupération, vos clés privées, votre NIP ou le numéro complet de votre carte, et qu’elle ne vous demandera jamais de déplacer des fonds par courriel, texto ou téléphone.
2. Méfiez-vous de tout courriel, texto, appel ou lettre inattendu au sujet de Gnosis Pay, d’une appli partenaire ou de votre carte, même s’il inclut de vrais détails. N’en cliquez pas les liens. Ouvrez vous-même l’appli Web officielle de Gnosis Pay ou votre appli partenaire.
3. Surveillez l’activité de la carte et du portefeuille. L’entreprise dit avoir renforcé cette surveillance. Vous pouvez aussi passer en revue les récents frais auprès de l’émetteur de la carte si quelque chose cloche.
4. Si votre avis comprenait un numéro de carte, demandez un remplacement à l’émetteur si cette option est offerte, et gardez 3D Secure activé pour les paiements en ligne.
5. Voyez comment les fraudeurs utilisent les données divulguées pour qu’un message paraisse personnel si une note arrive qui semble connaître votre adresse ou votre carte.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service une adresse qui lui est propre, pour qu’un faux message arrivé à la mauvaise adresse se remarque. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Revolve dit que des numéros de cartes enregistrées pourraient avoir été pris dans des comptes clients : un autre cas où des numéros de carte, et pas seulement des coordonnées, ont pu être atteints.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage : pourquoi une vraie adresse ou un vrai détail de carte rend un faux message plus difficile à écarter.

Sources

• Gnosis Pay, Data breach on the legacy system powering Gnosis Pay-branded cards (en anglais), 6 novembre 2026
• CoinDesk, Crypto debit card provider Gnosis Pay breach exposes card numbers, home addresses and linked wallets (en anglais), 7 novembre 2026