Aktéři napojení na ShinyHunters veřejně vznesli řadu tvrzení o Stripe, ale žádné z nich nebylo ověřeno. Tvrzení o vydírání Stripe ze strany ShinyHunters zahrnují údajný požadavek 1 milionu dolarů, údajné RDP zero-day zranitelnosti a údajná data spojená se dvěma dalšími společnostmi, Backbase a Global-e. Protože se situace vyvíjí a důkazů je málo, stojí za to oddělit to, co je tvrzeno, od toho, co je skutečně známo.

Co aktéři napojení na ShinyHunters tvrdí

Podle reportáže TechNadu spadají tvrzení připisovaná aktérům napojeným na ShinyHunters do několika kategorií:

  • Požadavek na výkupné 1 milionu dolarů namířený na Stripe.
  • Údajný přístup k milionům účtů, jak je formulováno v titulku zdrojové zprávy.
  • Údajné RDP zero-day zranitelnosti. RDP je Remote Desktop Protocol, technologie, která umožňuje lidem připojit se vzdáleně k počítači a ovládat ho. Zero-day je zranitelnost, o které dodavatel dosud neví nebo kterou dosud neopravil.
  • Údajná data od Backbase a Global-e, dvou dalších společností jmenovaných v tvrzeních.

Shrnutí zdroje je v jednom bodě výslovné: žádné z těchto tvrzení nebylo potvrzeno. To je důležité, protože vyděračské skupiny často činí odvážná veřejná prohlášení, aby vytvořily tlak, a tato prohlášení ne vždy odpovídají tomu, co se skutečně stalo.

Co je potvrzeno a co ne

Zde je jasný přehled založený na dostupných informacích.

Potvrzeno: Pouze to, že tvrzení veřejně kolují a že byla připisována aktérům napojeným na ShinyHunters.

Nepotvrzeno:

  • Zda byl Stripe skutečně napaden
  • Zda byl nějaký požadavek na výkupné skutečně odeslán, nebo jeho výše
  • Zda RDP zero-day zranitelnosti existují
  • Zda jsou data Backbase a Global-e autentická
  • Kolik účtů, pokud vůbec nějaké, bylo zasaženo

Neexistuje žádný ověřený rozsah dopadu, žádné potvrzené technické podrobnosti a žádné potvrzené prohlášení, o které bychom se mohli opřít při popisu toho, jaká data mohla být odhalena. Neopakujeme žádné údaje nad rámec těch ze zdrojové reportáže a čtenáři by měli ke všem dalším číslům, která se objevují, přistupovat obezřetně.

Stojí také za zmínku rozdíl mezi tvrzením o společnosti a tvrzením o jejích zákaznících. Aktér hrozby může tvrdit přístup k platformě, k dodavateli třetí strany nebo jednoduše k datové sadě, která vypadá přesvědčivě. Každé z toho nese pro běžné lidi velmi odlišné riziko.

Proč jsou tvrzení o narušení platebních platforem důležitá pro spotřebitele

Platební platformy stojí za obrovským množstvím online pokladen, což znamená, že tvrzení týkající se jedné z nich se může dotknout lidí, kteří o dané společnosti nikdy neslyšeli. Většina spotřebitelů si nevybírá svého zpracovatele plateb; vybírá ho obchodník. Proto je těžké vědět, zda se vůbec nacházíte v potenciálním dosahu.

I když se tvrzení o narušení ukáže jako přehnané, pozornost, kterou generuje, bývá pro podvodníky užitečná. Zločinci nepotřebují, aby vaše data byla ve skutečném úniku, aby využili titulky. Zprávy, které tvrdí, že se týkají „bezpečnostního incidentu", „vrácení peněz" nebo „neúspěšné platby", mohou dobře zapůsobit, když lidé už slyší o platební společnosti ve zprávách.

Když jsou osobní data skutečně odcizena, většina škod nastává při následných podvodech. Naše zpravodajství o úniku dat Florida DMV je dobrým příkladem toho, jak mohou odhalené osobní údaje živit pozdější podvody dlouho poté, co počáteční incident zmizí ze zpráv.

Praktické kroky, dokud jsou tvrzení neověřená

Nemusíte panikařit a nemusíte čekat na potvrzení, abyste přijali rozumná a levná opatření.

  1. Sledujte výpisy z karty a bankovního účtu. Hledejte malé neznámé poplatky i ty velké. Malé testovací transakce jsou běžným prvním krokem podvodů s kartami. Pokud je to možné, zapněte v bankovní aplikaci upozornění na transakce.
  2. Zapněte dvoufaktorové ověřování (2FA). Upřednostněte svůj e-mail, banku a jakýkoli účet, který zpracovává platby. Ověřovač v aplikaci nebo hardwarový klíč je obecně silnější než SMS kódy.
  3. Buďte skeptičtí ke zprávám tematicky zaměřeným na obchodníky. Buďte ostražití u e-mailů nebo textových zpráv o problémech s platbami, vrácení peněz nebo ověření účtu. Neklikejte na odkaz; otevřete aplikaci obchodníka nebo jeho adresu zadejte sami.
  4. Používejte jedinečná hesla. Správce hesel to činí realistickým. Pokud je jeden účet odhalen, jedinečná hesla zabrání šíření problému.
  5. Počkejte na oficiální oznámení. Pokud společnost potvrdí incident a informuje vás, postupujte podle jejích pokynů a ověřte, že oznámení je skutečné, tím, že přímo navštívíte oficiální stránky.

Co to pro vás znamená

Pro většinu lidí je správný postoj bdělost, nikoli panika. Tvrzení jsou neověřená a nebyly předloženy žádné potvrzené důkazy o tom, že vaše data byla odcizena. Ale výše uvedená opatření stojí málo a chrání vás, ať se tento příběh ukáže jako pravdivý, částečně pravdivý, nebo nepravdivý.

Pokud provozujete firmu, která používá platební platformu, je rozumné zkontrolovat, kdo má přístup k vašemu účtu, potvrdit, že 2FA je zapnuto pro všechny zaměstnance, a sledovat oficiální komunikaci od svých poskytovatelů. Mějte také na paměti, že tvrzení odkazující na firmy třetích stran, jako jsou Backbase a Global-e, zdůrazňují, kolik společností může být v jednom platebním řetězci.

Závěr

Tvrzení o vydírání Stripe ze strany ShinyHunters jsou prozatím pouze tvrzeními. Dokud Stripe nebo další jmenované společnosti nepotvrdí podrobnosti nebo se neobjeví nezávislé důkazy, odpovědným přístupem je sledovat příběh, aniž bychom předpokládali to nejhorší. Mezitím sledujte výpisy z karty, zapněte 2FA a ke každé zprávě tematicky zaměřené na obchodníky přistupujte s podezřením. Chcete-li se podívat, jak odcizená osobní data živí podvody v budoucnu, přečtěte si naši zprávu o úniku dat Florida DMV a vracejte se sem pro aktualizace, pokud budou tvrzení ověřena nebo vyvrácena.