Fuite de données chez Gnosis Pay : des données clients exposées avant l’arrêt des cartes le 20 décembre

Gnosis Pay a confirmé le 6 novembre 2026 une fuite de données touchant ses cartes de débit crypto. Des attaquants ont eu accès au système qui gère les cartes de la marque Gnosis Pay et y ont consulté des données clients. Selon l’entreprise, les avoirs ne sont pas concernés. Les détenteurs de la carte n’ont donc pas à retirer leurs fonds dans la précipitation, mais ils doivent, dans les semaines qui viennent, accueillir chaque message relatif à leur carte avec la plus grande méfiance : les escrocs peuvent désormais se présenter avec des données authentiques.

L’incident survient dans une phase déjà délicate. Gnosis Pay met fin à son activité auprès des particuliers le 20 décembre 2026, et les cartes de sa propre marque cesseront alors de fonctionner. Les détenteurs doivent donc mener deux chantiers de front : se prémunir contre l’hameçonnage et trouver à temps une nouvelle carte.

Fuite de données Gnosis Pay : intrusion le 3 novembre, annonce le 6 novembre

D’après le communiqué de Gnosis Pay, les systèmes de surveillance de l’entreprise ont détecté le 3 novembre 2026 un accès non autorisé au système qui exploite les cartes de la marque Gnosis Pay. Gnosis Pay désigne lui-même ce périmètre comme son activité B2C, c’est-à-dire l’activité auprès des particuliers. L’intrusion aurait exposé « certaines informations clients ».

L’équipe de sécurité aurait réagi immédiatement, le confinement ayant commencé moins de deux heures après la détection. Gnosis Pay indique avoir ensuite remplacé les accès de sécurité concernés et corrigé la faille. L’entreprise n’a pas encore révélé comment les attaquants sont entrés ni qui se trouve derrière l’attaque.

L’affaire n’a été rendue publique que trois jours après sa découverte. Le 6 novembre, Gnosis Pay a envoyé des courriels à tous les clients concernés, informé ses partenaires et, selon ses propres dires, prévenu les autorités de protection des données compétentes ainsi que l’émetteur de la carte. Le média spécialisé américain The Block a rendu compte du communiqué le jour même.

Le périmètre est déterminant. Seul l’ancien système des cartes de la marque propre est touché. La plateforme Enterprise, par laquelle Gnosis Pay gère les programmes de cartes d’autres prestataires sous forme de cartes dites en marque blanche, n’a pas été affectée, selon l’entreprise. Marque blanche signifie qu’un fournisseur de portefeuille ou une fintech émet la carte sous son propre nom, Gnosis Pay fournissant la technologie en coulisse.

Carte Gnosis Pay et auto-conservation : le fonctionnement du modèle

Dans un article du 3 septembre 2026, Gnosis Pay se présente comme la première carte Visa en auto-conservation. L’auto-conservation signifie que les avoirs se trouvent sur un compte de la blockchain dont seul le client dispose ; aucune plateforme d’échange ni aucune banque n’y a accès. Chez Gnosis Pay, il s’agit d’un compte à contrat intelligent sur la blockchain Gnosis, sur lequel la carte prélève le montant au moment du paiement.

La carte est émise par Monavate Limited sous licence de Visa Europe. Monavate est agréé au Royaume-Uni comme établissement de monnaie électronique et placé sous la surveillance du régulateur financier FCA ; Gnosis Pay est lui-même une société britannique. C’est ce qu’indiquent les mentions légales du site de l’entreprise.

Ce modèle explique pourquoi Gnosis Pay considère les avoirs comme épargnés : pénétrer dans le système clients de l’opérateur de cartes ne donne pas pour autant les clés des comptes sur la blockchain. Il explique aussi pourquoi la fuite reste sérieuse. À chaque compte de carte est associée une adresse de portefeuille publique, et c’est précisément ce lien entre une personne et une adresse qui a de la valeur pour les attaquants.

Quelles données clients sont touchées et ce que Gnosis Pay laisse dans l’ombre

Gnosis Pay n’a communiqué publiquement ni le nombre de personnes concernées ni la liste des types de données dérobées. Le communiqué évoque seulement « certaines informations clients ». Chaque personne concernée aurait toutefois appris par courriel quelles informations précises ont été extraites de son compte. L’entreprise a en outre recommandé aux clients des mesures complémentaires selon la nature des données.

Il en découle la tâche la plus importante pour les détenteurs de la carte : lisez attentivement ce courriel, mais n’y cliquez sur rien. Vérifiez l’expéditeur et comparez le contenu avec le communiqué publié sur le blog officiel de Gnosis Pay. Si vous n’avez pas reçu de courriel, vous n’êtes pas concerné, selon l’entreprise. En cas de doute, Gnosis Pay indique l’adresse help@gnosispay.com comme contact ; saisissez-la vous-même au lieu de vous fier à une adresse de réponse tirée d’un message tiers.

On ignore également si les données circulent déjà. Gnosis Pay écrit organiser une surveillance spécialisée destinée à repérer les signes d’une utilisation abusive des données. Aucun résultat de cette surveillance n’est encore disponible.

Adresse de portefeuille et adresse postale : le vrai risque de la fuite

Lors d’une fuite de données ordinaire chez un commerçant en ligne, il est question de noms, d’adresses électroniques et peut-être de commandes. Chez un prestataire de cartes crypto s’ajoute une dimension supplémentaire. Une adresse de portefeuille est publique : n’importe qui peut consulter dans un explorateur de blocs les montants qui s’y trouvent et les paiements qui y transitent. Tant que personne ne sait à qui appartient l’adresse, cela reste sans conséquence. Mais dès qu’un nom figure à côté de l’adresse, une suite anonyme de caractères devient un relevé de compte consultable par tous.

Gnosis Pay conseille donc expressément à ses clients de faire preuve de prudence quant aux personnes à qui ils communiquent leur adresse ou des informations sur leurs avoirs en cryptomonnaies, en ligne comme hors ligne. La mention du monde hors ligne n’a rien d’un hasard. Qui connaît le nom, l’adresse et le solde d’une personne peut préparer des appels frauduleux ciblés ou envoyer des lettres d’apparence authentique. La même inquiétude s’était déjà posée lors de fuites antérieures, par exemple chez des prestataires de fabricants de portefeuilles matériels. Notre article consacré aux portefeuilles matériels après la fuite de données montre comment commander un appareil sans révéler votre adresse postale.

Changer de portefeuille peut être judicieux. Si le courriel de Gnosis Pay laisse penser que votre nom et votre adresse de portefeuille ont fuité ensemble, vous pouvez transférer vos avoirs vers une nouvelle adresse qui n’est pas liée à votre personne. L’ancienne adresse reste visible publiquement, mais les nouveaux avoirs n’y apparaissent plus.

Hameçonnage après la fuite de données : courriel, SMS, appel et courrier

Après une fuite de données, le plus grand risque tient rarement à l’intrusion elle-même. Le danger réside dans les semaines suivantes, lorsque les escrocs exploitent les données volées pour paraître crédibles. Gnosis Pay recommande de se méfier de tout courriel, SMS, appel et courrier inattendu concernant Gnosis Pay, une application partenaire ou la carte, même si le message mentionne des données réelles ou un achat effectivement réalisé.

Cette précision est essentielle. Beaucoup de gens repèrent l’hameçonnage au fait que l’expéditeur sait quelque chose qu’il ne peut pas savoir. Après une fuite, ce n’est plus vrai : un faux message peut citer votre nom complet, votre adresse et même un paiement que vous avez réellement effectué. Des détails authentiques ne prouvent donc plus rien.

Gnosis Pay fixe des limites claires qui permettent de reconnaître une contrefaçon. Ni l’entreprise ni ses applications partenaires ne demandent jamais la phrase de récupération (seed phrase), c’est-à-dire les mots servant à restaurer le portefeuille, les clés privées, le code PIN ou le numéro complet de la carte. Personne ne vous demandera par courriel ou par SMS de confirmer à nouveau votre identité. Et personne n’exigera par courriel, SMS ou téléphone que vous déplaciez de l’argent. Selon l’entreprise, les modifications du compte s’effectuent exclusivement dans l’application web officielle de Gnosis Pay ou dans l’application partenaire concernée.

Les escroqueries typiques après un tel incident sont les fausses alertes de sécurité (« Votre compte a été bloqué »), de prétendus remboursements liés à l’incident, des appels d’un supposé service client et des invitations à transférer les avoirs vers une adresse « sécurisée ». Tous ces messages ont un point commun : ils veulent que vous agissiez vite. L’urgence est le signal d’alerte le plus fiable.

Le 3D Secure devient obligatoire : paiements en ligne uniquement avec confirmation

En guise de contre-mesure technique, Gnosis Pay a rendu le 3D Secure obligatoire pour tous les paiements en ligne effectués avec la carte. Le 3D Secure est un procédé qui impose une confirmation supplémentaire des paiements par carte sur Internet, le plus souvent dans une application ou au moyen d’un code. Celui qui ne connaît que les données de la carte ne peut donc plus payer en ligne aussi facilement.

Selon l’entreprise, cette obligation s’applique jusqu’à l’arrêt complet du système destiné aux particuliers, le 20 décembre 2026. En parallèle, Gnosis Pay a renforcé la surveillance de l’activité des cartes et des portefeuilles afin de détecter la fraude et les tentatives d’accès aux fonds des clients. Concrètement, cela signifie que vous ne devez confirmer que les paiements que vous venez vous-même d’initier. Si une demande de confirmation apparaît alors que vous n’achetez rien, refusez-la et contrôlez vos opérations.

Hameçonnage avec de vraies données clients : comment vous protéger

Ce qui s’est passé : le 3 novembre 2026, des inconnus ont accédé au système des cartes de la marque Gnosis Pay et y ont consulté des données clients. Gnosis Pay affirme avoir circonscrit l’intrusion en deux heures ; selon l’entreprise, les avoirs ne sont pas touchés, et le nombre de personnes concernées n’est pas connu (au 6 novembre 2026).

Êtes-vous concerné ? Les clientes et clients disposant d’une carte de la marque Gnosis Pay peuvent être concernés. Ceux qui utilisent une carte via une application partenaire fonctionnant sur la plateforme Enterprise ne le sont pas, selon l’entreprise. Gnosis Pay a informé toutes les personnes concernées par courriel le 6 novembre, en précisant quelles données ont été extraites.

1. Uniquement par l’application officielle : ouvrez toujours l’application web de Gnosis Pay ou votre application partenaire depuis votre propre favori, jamais depuis des liens reçus par courriel, SMS ou messagerie.
2. La phrase de récupération reste secrète : ne saisissez jamais les mots servant à restaurer votre portefeuille lorsqu’un message vous y invite, pas même sur une page qui ressemble à Gnosis Pay.
3. Contrôler les opérations : vérifiez chaque semaine, jusqu’au 20 décembre, les opérations de votre carte et refusez toute demande 3D Secure que vous n’avez pas initiée vous-même.
4. Changer d’adresse : transférez les montants importants vers une nouvelle adresse de portefeuille non liée à votre nom et utilisez un portefeuille matériel pour vos avoirs à long terme.
5. Raccrocher : mettez fin aux appels d’un prétendu service client et ne répondez aux courriers relatifs à votre compte de carte qu’après vérification via l’application officielle.

Notre guide conserver ses cryptos en sécurité explique les bases d’une conservation sûre, et le comparatif des portefeuilles matériels passe en revue les appareils adaptés.

Droits RGPD après la fuite chez Gnosis Pay : accès, réclamation, réparation

Une fuite de données n’est pas seulement un problème de sécurité, elle touche aussi à vos droits de client. Gnosis Pay est établi au Royaume-Uni, où s’applique le UK GDPR, qui correspond pour l’essentiel au règlement général européen sur la protection des données. Trois droits sont aujourd’hui particulièrement pertinents.

Le droit d’accès prévu à l’article 15 du RGPD vous permet d’exiger de l’entreprise la liste de toutes les données conservées à votre sujet. C’est utile si vous souhaitez évaluer ce qui pourrait circuler sur vous au-delà des éléments figurant dans la notification. L’article 77 vous permet de déposer une réclamation auprès d’une autorité de protection des données ; en Allemagne, il s’agit de l’autorité de votre Land, qui vérifie si elle est compétente ou transmet le dossier.

L’article 82 régit la réparation des dommages matériels et moraux. Les tribunaux allemands se sont prononcés à plusieurs reprises ces dernières années sur les conditions d’un droit à réparation après une fuite et sur son montant. Notre article sur la réparation après une fuite de données chez des services crypto fait le point sur le droit applicable. Conservez dans tous les cas le courriel de Gnosis Pay : il prouve que vos données sont concernées, et lesquelles.

Arrêt le 20 décembre : Gnosis Pay se retire de l’activité grand public

Indépendamment de la fuite, il était acquis que les cartes de la marque Gnosis Pay étaient appelées à disparaître. En septembre, l’entreprise avait annoncé se recentrer sur son rôle de plateforme pour d’autres émetteurs de cartes et mettre fin à son activité directe auprès des particuliers, application web comprise. Les décisions futures concernant l’offre de cartes reviendront alors aux partenaires, c’est-à-dire aux applications de portefeuille par lesquelles les utilisateurs obtiennent leur carte. Gnosis Pay conseillait déjà aux utilisateurs de l’application web de passer le plus tôt possible à une application partenaire.

Selon le communiqué actuel, le système désormais touché devait de toute façon être arrêté le 20 décembre 2026, et ce calendrier est maintenu. Pour les détenteurs, cela signifie que la carte continue de fonctionner jusque-là avec des contrôles renforcés, puis qu’il leur faudra une solution de remplacement. Ceux qui ont enregistré la carte pour des abonnements, des services de streaming ou des paiements récurrents devront modifier chacun de ces commerçants séparément.

Lors du choix d’une nouvelle carte, trois points méritent un examen attentif. Qui émet la carte et le prestataire est-il agréé dans l’Union européenne ? Les cryptomonnaies sont-elles conservées par vous ou par le prestataire ? Et quels frais s’appliquent lors de la conversion de cryptos en euros ? Notre comparatif des cartes de crédit crypto offre une vue d’ensemble en mettant côte à côte frais, cashback et mode de conservation.

Carte Gnosis Pay : il reste jusqu’au 20 décembre pour changer

La fuite rend plus pressant un changement auquel les détenteurs de la carte devaient de toute façon procéder. Ces trois étapes vous permettent d’être prêt avant l’échéance :

1. Choisir une nouvelle carte : trouvez une solution de remplacement d’ici début décembre et transférez vos abonnements et prélèvements récurrents. Le comparatif des cartes crypto présente les coûts et le mode de conservation des prestataires.
2. Créer un nouveau portefeuille du quotidien : ouvrez pour les petits montants et les paiements un portefeuille neuf dont l’adresse n’est pas liée aux données de votre carte. Le comparatif des portefeuilles logiciels recense les applications adaptées.
3. Stocker les réserves hors ligne : les avoirs importants doivent se trouver sur un appareil dont les clés n’ont jamais été en ligne. Le comparatif des portefeuilles matériels indique modèles et prix.

(Au 6 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)