Aktører med forbindelse til ShinyHunters fremsætter offentligt en række påstande om Stripe, men ingen af dem er blevet verificeret. De Stripe ShinyHunters-afpresningspåstande omfatter et rapporteret krav på 1 million dollar, påståede RDP-zero-days og påståede data knyttet til to andre virksomheder, Backbase og Global-e. Da situationen er i bevægelse, og evidensen er tynd, er det værd at skelne mellem, hvad der påstås, og hvad der faktisk vides.
Hvad aktører med forbindelse til ShinyHunters påstår
Ifølge rapportering fra TechNadu falder påstandene, der tilskrives aktører med forbindelse til ShinyHunters, i nogle få kategorier:
- Et afpresningskrav på 1 million dollar rettet mod Stripe.
- Påstået adgang til millioner af konti, som det er formuleret i overskriften på kilderapporten.
- Påståede RDP-zero-days. RDP er Remote Desktop Protocol, teknologien der gør det muligt for folk at forbinde til og kontrollere en computer eksternt. En zero-day er en sårbarhed, som leverandøren endnu ikke kender til eller ikke har patchet.
- Påståede data fra Backbase og Global-e, to andre virksomheder, der nævnes i påstandene.
Kildesammendraget er eksplicit på ét punkt: ingen af disse påstande er blevet bekræftet. Det er vigtigt, fordi afpresningsgrupper ofte fremsætter dristige offentlige udtalelser for at skabe pres, og disse udtalelser stemmer ikke altid overens med, hvad der faktisk er sket.
Hvad er bekræftet, og hvad er ikke
Her er den klare opdeling baseret på de tilgængelige oplysninger.
Bekræftet: Kun at påstande cirkulerer offentligt, og at de er blevet tilskrevet aktører med forbindelse til ShinyHunters.
Ikke bekræftet:
- Om Stripe faktisk blev kompromitteret
- Om der faktisk blev sendt et afpresningskrav, eller dets beløb
- Om RDP-zero-daysene eksisterer
- Om dataene fra Backbase og Global-e er autentiske
- Hvor mange konti, hvis nogen, der blev påvirket
Der er ingen verificeret omfang af påvirkningen, ingen bekræftede tekniske detaljer og ingen bekræftet udtalelse, vi kan stole på for at beskrive, hvilke data der kan være blevet eksponeret. Vi gentager ikke andre tal end dem i kilderapporteringen, og læsere bør behandle alle andre tal, der cirkulerer, med forsigtighed.
Det er også værd at bemærke forskellen mellem en påstand om en virksomhed og en påstand om dens kunder. En trusselsaktør kan påstå adgang til en platform, til en tredjepartsleverandør eller blot til et datasæt, der ser overbevisende ud. Hver af disse udgør meget forskellige risici for almindelige mennesker.
Hvorfor påstande om brud på betalingsplatforme er vigtige for forbrugere
Betalingsplatforme ligger bag et enormt antal online-checkouts, hvilket betyder, at en påstand om én kan berøre folk, der aldrig har hørt om virksomheden. De fleste forbrugere vælger ikke deres betalingsbehandler; det gør forretningen. Det gør det svært at vide, om man overhovedet er i den potentielle risikozone.
Selv når en påstand om et brud viser sig at være overdrevet, er opmærksomheden, den skaber, ofte nyttig for svindlere. Kriminelle har ikke brug for, at dine data er i en rigtig lækage, for at udnytte overskrifterne. Beskeder, der hævder at handle om en "sikkerhedshændelse", en "refusion" eller en "mislykket betaling", kan ramme godt, når folk allerede hører om en betalingsvirksomhed i nyhederne.
Når personoplysninger virkelig bliver stjålet, er det opfølgende svindel, hvor det meste af skaden sker. Vores dækning af Florida DMV-datalækagen er et godt eksempel på, hvordan eksponerede personoplysninger kan nære senere svindel, længe efter den oprindelige hændelse er faldet ud af nyhederne.
Praktiske skridt, mens påstandene er uverificerede
Du behøver ikke at gå i panik, og du behøver ikke at vente på en bekræftelse for at tage fornuftige, billige forholdsregler.
- Hold øje med dine kort- og bankkontoudtog. Tjek for små, ukendte posteringer såvel som store. Små testtransaktioner er et almindeligt første skridt i kortsvindel. Slå transaktionsadvarsler til i din bankapp, hvis det er muligt.
- Aktiver to-faktor-godkendelse (2FA). Prioriter din e-mail, bank og enhver konto, der håndterer betalinger. En app-baseret autentificering eller en hardwarenøgle er generelt stærkere end SMS-koder.
- Vær skeptisk over for forretningsrelaterede beskeder. Vær varsom med e-mails eller sms'er om betalingsproblemer, refusioner eller kontobekræftelse. Klik ikke på linket; åbn forretningens app, eller skriv dens adresse selv.
- Brug unikke adgangskoder. En password manager gør dette realistisk. Hvis én konto eksponeres, forhindrer unikke adgangskoder problemet i at sprede sig.
- Vent på officielle meddelelser. Hvis en virksomhed bekræfter en hændelse og underretter dig, følg dens instruktioner, og bekræft, at meddelelsen er ægte ved at gå direkte til det officielle websted.
Hvad det betyder for dig
For de fleste er den rette holdning opmærksomhed, ikke alarm. Påstandene er uverificerede, og der er ikke fremlagt bekræftet evidens for, at dine data er blevet taget. Men forholdsreglerne ovenfor koster lidt og beskytter dig, uanset om denne historie viser sig at være sand, delvist sand eller falsk.
Hvis du driver en virksomhed, der bruger en betalingsplatform, er det rimeligt at gennemgå, hvem der har adgang til din konto, bekræfte at 2FA er slået til for alle medarbejdere, og holde øje med officiel kommunikation fra dine udbydere. Husk også, at påstande, der refererer til tredjepartsvirksomheder som Backbase og Global-e, understreger, hvor mange virksomheder der kan indgå i en enkelt betalingskæde.
Konklusionen
Stripe ShinyHunters-afpresningspåstandene er foreløbig kun påstande. Indtil Stripe eller de andre nævnte virksomheder bekræfter detaljer, eller der dukker uafhængig evidens op, er den ansvarlige tilgang at følge historien uden at antage det værste. I mellemtiden bør du overvåge dine kontoudtog, slå 2FA til og behandle enhver forretningsrelateret besked med mistanke. For at se, hvordan stjålne personoplysninger nærer svindel senere hen, kan du læse vores rapport om Florida DMV-lækagen, og tjekke tilbage her for opdateringer, hvis påstandene bliver verificeret eller afvist.
