ينشر أطراف مرتبطون بـ ShinyHunters علنًا سلسلة من المزاعم حول Stripe، لكن لم يتم التحقق من أي منها. تتضمن مزاعم ابتزاز Stripe من ShinyHunters مطلبًا مُبلَّغًا عنه بقيمة مليون دولار، وثغرات RDP صفرية مزعومة، وبيانات يُقال إنها مرتبطة بشركتين أخريين، هما Backbase وGlobal-e. ولأن الوضع متحرك والأدلة ضئيلة، فمن الجدير الفصل بين ما يُزعم وما هو معروف فعليًا.
ما الذي يزعمه الأطراف المرتبطون بـ ShinyHunters
وفقًا لتقرير من TechNadu، تندرج المزاعم المنسوبة إلى أطراف مرتبطة بـ ShinyHunters في بضع فئات:
- مطلب ابتزاز بقيمة مليون دولار موجه إلى Stripe.
- وصول مزعوم إلى ملايين الحسابات، كما صيغ في عنوان التقرير المصدر.
- ثغرات RDP صفرية مزعومة. RDP هو بروتوكول سطح المكتب البعيد، وهو التقنية التي تتيح للأشخاص الاتصال بجهاز كمبيوتر والتحكم به عن بُعد. والثغرة الصفرية هي خلل لا يعرف عنه المورّد بعد أو لم يقم بإصلاحه.
- بيانات يُقال إنها من Backbase وGlobal-e، وهما شركتان أخريان مذكورتان في المزاعم.
ملخص المصدر صريح في نقطة واحدة: لم يتم تأكيد أي من هذه المزاعم. وهذا مهم، لأن مجموعات الابتزاز غالبًا ما تصدر تصريحات علنية جريئة لبناء الضغط، وهذه التصريحات لا تتطابق دائمًا مع ما حدث فعليًا.
ما هو مؤكد وما هو غير مؤكد
إليك التفصيل الواضح بناءً على المعلومات المتاحة.
مؤكد: فقط أن مزاعم تنتشر علنًا وأنها نُسبت إلى أطراف مرتبطة بـ ShinyHunters.
غير مؤكد:
- ما إذا كانت Stripe قد تعرضت فعليًا لاختراق
- ما إذا كان قد أُرسل أي مطلب ابتزاز حقًا، أو قيمته
- ما إذا كانت ثغرات RDP الصفرية موجودة
- ما إذا كانت بيانات Backbase وGlobal-e أصلية
- عدد الحسابات المتأثرة، إن وُجدت
لا يوجد حجم تأثير مُتحقق منه، ولا تفاصيل تقنية مؤكدة، ولا بيان مؤكد يمكننا الاعتماد عليه لوصف البيانات التي ربما تكون قد تعرضت للكشف. نحن لا نكرر أي أرقام تتجاوز تلك الواردة في التقرير المصدر، وينبغي للقراء التعامل مع أي أرقام أخرى متداولة بحذر.
من الجدير بالذكر أيضًا الفرق بين مزعم حول شركة ومزعم حول عملائها. يمكن لجهة تهديد أن تزعم الوصول إلى منصة، أو إلى مورّد خارجي، أو ببساطة إلى مجموعة بيانات تبدو مقنعة. وكل من هذه يحمل خطرًا مختلفًا جدًا للأشخاص العاديين.
لماذا تهم مزاعم اختراق منصات الدفع المستهلكين
تقع منصات الدفع خلف عدد هائل من عمليات الدفع عبر الإنترنت، مما يعني أن مزعمًا يتعلق بواحدة منها يمكن أن يمس أشخاصًا لم يسمعوا بالشركة قط. معظم المستهلكين لا يختارون معالج الدفع الخاص بهم؛ فالتاجر هو من يختاره. وهذا يجعل من الصعب معرفة ما إذا كنت أصلًا ضمن نطاق التأثير المحتمل.
حتى عندما يتبين أن مزعم اختراق مبالغ فيه، فإن الاهتمام الذي يولده يميل إلى أن يكون مفيدًا للمحتالين. لا يحتاج المجرمون إلى أن تكون بياناتك في تسريب حقيقي للاستفادة من العناوين الرئيسية. الرسائل التي تدّعي أنها تتعلق بـ"حادث أمني" أو "استرداد" أو "دفعة فاشلة" يمكن أن تنجح جيدًا عندما يكون الناس قد سمعوا بالفعل عن شركة دفع في الأخبار.
عندما تُسرق البيانات الشخصية فعلًا، فإن الاحتيال اللاحق هو حيث يحدث معظم الضرر. وتغطيتنا لـاختراق بيانات إدارة المركبات في فلوريدا مثال جيد على كيف يمكن للتفاصيل الشخصية المكشوفة أن تغذي عمليات احتيال لاحقة، بعد وقت طويل من تلاشي الحادث الأولي من الأخبار.
خطوات عملية ما دامت المزاعم غير مُتحقق منها
لا تحتاج إلى الذعر، ولا تحتاج إلى الانتظار حتى التأكيد لاتخاذ احتياطات معقولة ومنخفضة التكلفة.
- راقب كشوف بطاقتك وحسابك المصرفي. افحص الرسوم الصغيرة غير المألوفة إلى جانب الكبيرة. المعاملات التجريبية الصغيرة هي خطوة أولى شائعة في احتيال البطاقات. فعّل تنبيهات المعاملات في تطبيقك المصرفي إن كانت متاحة.
- فعّل المصادقة الثنائية (2FA). أعط الأولوية لبريدك الإلكتروني وحسابك المصرفي وأي حساب يتعامل مع المدفوعات. المصادقة عبر تطبيق أو مفتاح عتادي أقوى عمومًا من رموز SMS.
- كن مرتابًا تجاه الرسائل المتعلقة بالتجار. احذر من رسائل البريد الإلكتروني أو النصوص حول مشكلات الدفع أو الاسترداد أو التحقق من الحساب. لا تنقر على الرابط؛ افتح تطبيق التاجر أو اكتب عنوانه بنفسك.
- استخدم كلمات مرور فريدة. مدير كلمات المرور يجعل هذا واقعيًا. إذا انكشف حساب واحد، فإن كلمات المرور الفريدة تمنع المشكلة من الانتشار.
- انتظر الإشعارات الرسمية. إذا أكدت شركة حادثًا وأشعرتك، فاتبع تعليماتها، وتحقق من أن الإشعار حقيقي بالذهاب إلى الموقع الرسمي مباشرة.
ماذا يعني هذا بالنسبة لك
بالنسبة لمعظم الناس، الموقف الصحيح هو الوعي، لا الذعر. المزاعم غير مُتحقق منها، ولم تُقدَّم أدلة مؤكدة على أن بياناتك قد أُخذت. لكن الاحتياطات المذكورة أعلاه تكلف القليل وتحميك سواء ثبتت صحة هذه القصة، أو صحتها جزئيًا، أو زيفها.
إذا كنت تدير نشاطًا تجاريًا يستخدم منصة دفع، فمن المعقول مراجعة من لديه صلاحية الوصول إلى حسابك، والتأكد من تفعيل المصادقة الثنائية لجميع الموظفين، ومراقبة الاتصالات الرسمية من مزوديك. ضع في اعتبارك أيضًا أن المزاعم التي تشير إلى شركات خارجية مثل Backbase وGlobal-e تؤكد كم من الشركات يمكن أن تكون في سلسلة دفع واحدة.
الخلاصة
مزاعم ابتزاز Stripe من ShinyHunters هي، في الوقت الحالي، مجرد مزاعم. وإلى أن تؤكد Stripe أو الشركات الأخرى المذكورة التفاصيل، أو تظهر أدلة مستقلة، فإن النهج المسؤول هو متابعة القصة دون افتراض الأسوأ. في غضون ذلك، راقب كشوف بطاقتك، وفعّل المصادقة الثنائية، وتعامل مع أي رسالة متعلقة بالتجار بارتياب. لإلقاء نظرة على كيف تغذي البيانات الشخصية المسروقة عمليات الاحتيال لاحقًا، اقرأ تقريرنا عن اختراق إدارة المركبات في فلوريدا، وتحقّق هنا للحصول على تحديثات إذا تم التحقق من المزاعم أو دحضها.
