ノーシス・ペイは2026年11月6日、自社ブランドの個人向けカードを支える旧システムへの不正アクセスを同月3日に検知し、一部顧客情報が漏洩したと発表した。流出した情報には、カード情報、個人情報、関連する暗号資産ウォレットのアドレスが含まれていたと報じられている。
漏洩したとされる項目には、カード番号全桁、有効期限、セキュリティコード（CVV）、氏名、住所、メールアドレス、電話番号、国籍が含まれる。一部の顧客では、国際銀行口座番号（IBAN）や銀行識別コード（BIC）も漏洩対象に含まれており、通知された項目は顧客ごとに異なる。
同社は、顧客資金と、他社ブランドのカードプログラムを支える法人向けプラットフォームには影響がなかったと説明している。
同社は不正アクセスの検知から2時間以内に被害を封じ込める対応を開始し、その後、影響を受けた認証情報の交換と脆弱性への対処を行った。追加措置として、オンラインカード決済での3Dセキュア（追加本人認証）を必須化した。
対象の旧システムは、今回の事件が起きる前から2026年12月20日に廃止する予定だったと同社は説明している。
