Accès non autorisé détecté le 3 novembre
Le 3 novembre 2026, Gnosis Pay a identifié une intrusion non autorisée dans son système de gestion des cartes de débit destinées au grand public. Cette brèche, qui a touché la plateforme B2C (business-to-consumer), a été détectée rapidement par l’équipe technique. Selon les informations communiquées, la vulnérabilité a commencé à être contenue dans les deux heures suivant sa découverte, limitant ainsi l’ampleur potentielle du dommage. Ce calendrier serré est notable alors que la plateforme devait être retirée du marché le 20 décembre 2026, un élément qui pose question sur la gestion des risques en fin de vie d’un produit financier aussi sensible.
La plateforme entreprise (B2B) de Gnosis Pay n’a pas été affectée par cet incident, ce qui limite l’impact à la clientèle individuelle.
Des données sensibles exposées en clair
La fuite ne s’est pas limitée à de simples identifiants : elle a mis à nu des informations hautement confidentielles. Les données compromises incluent notamment les numéros complets de cartes bancaires, les dates d’expiration et les codes CVV — autant d’éléments nécessaires pour effectuer des paiements en ligne. À cela s’ajoutent les noms et adresses postales des clients, leurs emails et numéros de téléphone, mais aussi leur nationalité ainsi que, pour certains utilisateurs, leurs IBAN et codes BIC bancaires. L’ensemble de ces informations offre un terrain fertile pour des tentatives de fraudes ciblées ou d’usurpation d’identité.
Un utilisateur a rapporté que ses propres données reliaient explicitement son adresse physique à ses numéros de carte et à tous ses portefeuilles crypto associés.
Les informations compromises comprenaient aussi bien des numéros de carte complets que des IBAN, BIC et codes CVV, selon la notification envoyée aux clients le 3 novembre.
D’après le secteur bancaire, exposer simultanément ces différents types de données augmente considérablement le risque pour les victimes, car cela permet à un attaquant potentiel d’établir des liens directs entre identité réelle et actifs numériques.
Portefeuilles crypto associés compromis
L’un des aspects les plus préoccupants réside dans la divulgation des adresses de portefeuilles crypto liées aux comptes Gnosis Pay. Cette exposition permettrait à un acteur malveillant d’associer une identité vérifiée (nom, adresse) à des avoirs numériques précis. Bien que Gnosis Pay ait confirmé que les fonds n’ont pas été affectés par la brèche, l’association entre identité civile et portefeuille crypto représente une menace nouvelle pour la confidentialité financière des utilisateurs concernés.
Au total, environ 2 400 porteurs de cartes utilisaient activement le service chaque jour au moment de l’incident. Sur les dernières 24 heures précédant la détection de la faille, près de 263 200 dollars ont été traités via la plateforme selon les données d’OpenRate. Ces chiffres illustrent l’ampleur potentielle du nombre d’utilisateurs dont les données pourraient être désormais accessibles à des tiers malveillants.
Des mesures correctives prises en urgence
Face à cette situation critique, Gnosis Pay a immédiatement remplacé l’ensemble des identifiants de sécurité compromis et corrigé la faille technique ayant permis l’intrusion. Pour renforcer la sécurité dans l’attente du retrait définitif de sa plateforme B2C prévu le 20 décembre 2026, le prestataire a rendu obligatoire l’authentification forte dite « 3D Secure » pour tous les paiements en ligne. Cette mesure vise à empêcher toute utilisation frauduleuse des cartes dont les numéros auraient pu être récupérés durant la brèche.
Une notification officielle envoyée aux clients concernés précise qu’au moins une carte a été annulée dès le 3 novembre suite à cette violation, sans qu’aucune transaction suspecte n’ait été observée sur ce compte spécifique. Chaque client impacté a reçu un email détaillant précisément quelles informations avaient été exposées depuis son propre compte — mais le nombre exact d’utilisateurs touchés reste incertain à ce stade.
Combien de clients touchés ? Mystère
À ce jour, Gnosis Pay n’a pas publié le chiffre exact du nombre de clients affectés ni précisé quelles catégories précises d’informations ont été compromises pour chacun. Cette absence de transparence alimente l’inquiétude parmi les utilisateurs alors que le volume quotidien d’activité (plus de 260 000 dollars traités en une journée) laisse supposer un impact potentiellement significatif sur la communauté crypto-bancaire européenne.
Dans un article publié par coindesk.com, il est souligné que cette fuite augmente sérieusement le risque de fraudes ciblées pour les personnes concernées — un point qui reste au cœur des préoccupations alors que l’écosystème crypto cherche encore ses standards en matière de protection des données personnelles.
Les points de suivi essentiels
La plateforme B2C de Gnosis Pay doit être retirée le 20 décembre 2026, date jusqu’à laquelle l’authentification 3D Secure reste obligatoire pour tous les paiements en ligne ; si des fraudes ou des incidents supplémentaires sont signalés avant cette échéance, cela impliquera une réévaluation immédiate des mesures de sécurité en place. Le nombre exact de clients affectés par la brèche du 3 novembre reste incertain à ce stade.
