Kriptovaliutų kortelių paslaugų teikėja „Gnosis Pay“ pranešė apie duomenų saugumo incidentą: po neteisėtos prieigos prie senos debeto kortelių sistemos buvo atskleista dalis klientų informacijos. Įmonė pabrėžia, kad klientų lėšos nebuvo paveiktos.
Kaip nurodoma „The Block“ apžvalgtame pranešime, neteisėta prieiga buvo aptikta lapkričio 3 dieną. Pasak bendrovės, incidentą pavyko suvaldyti per dvi valandas.
„Gnosis Pay“ teigia, kad pakeitė kompromituotus saugumo prisijungimo duomenis ir pašalino pažeidžiamumą. Taip pat pažymima, jog įmonės platforma, naudojama partnerių baltos etiketės (white-label) kortelių programoms, nebuvo paliesta.
Kol paveikta senoji sistema bus galutinai išjungta, „Gnosis Pay“ internetiniams atsiskaitymams kortele įveda papildomą saugumo reikalavimą. Nuo šiol tokie mokėjimai turės būti patvirtinami naudojant „3D Secure“.
„3D Secure“ taps privalomas iki gruodžio 20-osios
Bendrovė nurodo, kad privalomas „3D Secure“ patvirtinimas galios laikinai – iki tol, kol paveikta sistema bus nebenaudojama. Planuojama, kad tai įvyks gruodžio 20 dieną.
Praktikoje tai reiškia, kad atsiskaitant internetu kortele gali dažniau tekti papildomai patvirtinti mokėjimą, pavyzdžiui, per banko ar kortelės išdavėjo programėlę. Toks žingsnis dažniausiai mažina riziką, kad kortelės duomenys bus panaudoti be savininko žinios.
Kodėl tokie incidentai kartojasi kriptokortelių rinkoje
Kriptovaliutų kortelių tiekėjai neretai remiasi trečiųjų šalių infrastruktūra ir senesnėmis sistemomis, kurios gali turėti saugumo spragų. Pastaruoju metu viešumoje pasirodė ir daugiau atvejų, kai dėl pažeidimų nutekėjo kortelių turėtojų duomenys arba kilo rizika kortelių sąskaitose laikomoms lėšoms.
Tarp minimų incidentų – „Based“ atvejis, kai įsilaužėliui pavyko pasiekti vidinį valdymo skydą, skirtą „Visa“ kortelės programai administruoti, bei „Rain“ infrastruktūros spraga, kuri leido atlikti neautorizuotus nurašymus iš kai kurių vartotojų kortelių balansų.
Atskira istorija siejama ir su „Revolut“, kai, bendrovės teigimu, neteisėta trečioji šalis pasinaudojo suklastota užklausa iš tikro valstybinės institucijos el. pašto domeno ir gavo dalį jautrios klientų informacijos. Šiuo atveju taip pat buvo skelbiama, kad klientų lėšos ir sistemos nenukentėjo.