Mit ShinyHunters in Verbindung gebrachte Akteure erheben öffentlich eine Reihe von Behauptungen über Stripe, doch keine davon wurde verifiziert. Die Stripe-ShinyHunters-Erpressungsbehauptungen umfassen eine gemeldete Forderung über 1 Million US-Dollar, angebliche RDP-Zero-Days und angebliche Daten, die mit zwei weiteren Unternehmen, Backbase und Global-e, in Verbindung stehen. Da sich die Lage entwickelt und die Beweislage dünn ist, lohnt es sich, zwischen dem zu unterscheiden, was behauptet wird, und dem, was tatsächlich bekannt ist.

Was mit ShinyHunters in Verbindung gebrachte Akteure behaupten

Laut Berichterstattung von TechNadu lassen sich die mit ShinyHunters in Verbindung gebrachten Akteuren zugeschriebenen Behauptungen in einige Kategorien einteilen:

  • Eine Erpressungsforderung über 1 Million US-Dollar gegen Stripe.
  • Angeblicher Zugriff auf Millionen von Konten, wie in der Schlagzeile des Quellberichts formuliert.
  • Angebliche RDP-Zero-Days. RDP steht für Remote Desktop Protocol, die Technologie, die es ermöglicht, sich remote mit einem Computer zu verbinden und ihn zu steuern. Ein Zero-Day ist eine Schwachstelle, von der der Anbieter noch nichts weiß oder die er noch nicht gepatcht hat.
  • Angebliche Daten von Backbase und Global-e, zwei weiteren in den Behauptungen genannten Unternehmen.

Die Zusammenfassung der Quelle ist in einem Punkt eindeutig: Keine dieser Behauptungen wurde bestätigt. Das ist wichtig, denn Erpressergruppen geben oft kühne öffentliche Erklärungen ab, um Druck aufzubauen, und diese Erklärungen stimmen nicht immer mit dem überein, was tatsächlich passiert ist.

Was bestätigt ist und was nicht

Hier ist die schlichte Aufschlüsselung basierend auf den verfügbaren Informationen.

Bestätigt: Nur, dass Behauptungen öffentlich kursieren und dass sie mit ShinyHunters in Verbindung gebrachten Akteuren zugeschrieben werden.

Nicht bestätigt:

  • Ob Stripe tatsächlich kompromittiert wurde
  • Ob tatsächlich eine Erpressungsforderung gesendet wurde oder in welcher Höhe
  • Ob die RDP-Zero-Days existieren
  • Ob die Daten von Backbase und Global-e authentisch sind
  • Wie viele Konten, falls überhaupt, betroffen waren

Es gibt kein verifiziertes Ausmaß der Auswirkungen, keine bestätigten technischen Details und keine bestätigte Aussage, auf die wir uns stützen können, um zu beschreiben, welche Daten möglicherweise offengelegt wurden. Wir wiederholen keine Zahlen über die in der Quellberichterstattung genannten hinaus, und Leser sollten allen anderen kursierenden Zahlen mit Vorsicht begegnen.

Es lohnt sich auch, den Unterschied zwischen einer Behauptung über ein Unternehmen und einer Behauptung über dessen Kunden zu beachten. Ein Bedrohungsakteur kann behaupten, Zugriff auf eine Plattform, auf einen Drittanbieter oder einfach auf einen Datensatz zu haben, der überzeugend wirkt. Jedes dieser Szenarien birgt ein ganz unterschiedliches Risiko für normale Menschen.

Warum Behauptungen über Sicherheitsverletzungen bei Zahlungsplattformen für Verbraucher relevant sind

Zahlungsplattformen stehen hinter einer enormen Anzahl von Online-Kassenvorgängen, was bedeutet, dass eine Behauptung über eine von ihnen Menschen betreffen kann, die noch nie von dem Unternehmen gehört haben. Die meisten Verbraucher wählen ihren Zahlungsabwickler nicht selbst; das tut der Händler. Das macht es schwer zu wissen, ob man überhaupt im potenziellen Gefahrenbereich liegt.

Selbst wenn sich eine Sicherheitsverletzungsbehauptung als übertrieben herausstellt, ist die Aufmerksamkeit, die sie erzeugt, für Betrüger tendenziell nützlich. Kriminelle benötigen keine echten Datenlecks, um aus den Schlagzeilen Kapital zu schlagen. Nachrichten, die vorgeben, von einem „Sicherheitsvorfall", einer „Rückerstattung" oder einer „fehlgeschlagenen Zahlung" zu handeln, können gut ankommen, wenn Menschen ohnehin schon von einem Zahlungsunternehmen in den Nachrichten hören.

Wenn personenbezogene Daten tatsächlich gestohlen werden, entsteht der größte Schaden durch den darauffolgenden Betrug. Unsere Berichterstattung über die Florida-DMV-Datenpanne ist ein gutes Beispiel dafür, wie offengelegte persönliche Daten späteren Betrug befeuern können, lange nachdem der ursprüngliche Vorfall aus den Nachrichten verschwunden ist.

Praktische Schritte, solange die Behauptungen unverifiziert sind

Sie müssen nicht in Panik geraten, und Sie müssen nicht auf eine Bestätigung warten, um sinnvolle, kostengünstige Vorsichtsmaßnahmen zu ergreifen.

  1. Beobachten Sie Ihre Karten- und Kontoauszüge. Achten Sie auf kleine, unbekannte Abbuchungen ebenso wie auf große. Kleine Testtransaktionen sind ein häufiger erster Schritt bei Kartenbetrug. Aktivieren Sie Transaktionsbenachrichtigungen in Ihrer Banking-App, falls verfügbar.
  2. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Priorisieren Sie Ihre E-Mail, Ihre Bank und jedes Konto, das Zahlungen abwickelt. Ein app-basierter Authentifikator oder ein Hardware-Schlüssel ist in der Regel stärker als SMS-Codes.
  3. Seien Sie skeptisch gegenüber händlerbezogenen Nachrichten. Seien Sie vorsichtig bei E-Mails oder Textnachrichten über Zahlungsprobleme, Rückerstattungen oder Kontoverifizierung. Klicken Sie nicht auf den Link; öffnen Sie die App des Händlers oder geben Sie dessen Adresse selbst ein.
  4. Verwenden Sie einzigartige Passwörter. Ein Passwort-Manager macht das realistisch. Wenn ein Konto kompromittiert wird, verhindern einzigartige Passwörter, dass sich das Problem ausbreitet.
  5. Warten Sie auf offizielle Mitteilungen. Wenn ein Unternehmen einen Vorfall bestätigt und Sie benachrichtigt, befolgen Sie dessen Anweisungen und überprüfen Sie, ob die Mitteilung echt ist, indem Sie direkt die offizielle Website aufrufen.

Was das für Sie bedeutet

Für die meisten Menschen ist die richtige Haltung Aufmerksamkeit, nicht Alarm. Die Behauptungen sind unverifiziert, und es wurden keine bestätigten Beweise vorgelegt, dass Ihre Daten entwendet wurden. Aber die oben genannten Vorsichtsmaßnahmen kosten wenig und schützen Sie, egal ob sich diese Geschichte als wahr, teilweise wahr oder falsch erweist.

Wenn Sie ein Unternehmen betreiben, das eine Zahlungsplattform nutzt, ist es sinnvoll zu überprüfen, wer Zugriff auf Ihr Konto hat, zu bestätigen, dass 2FA für alle Mitarbeiter aktiviert ist, und auf offizielle Mitteilungen Ihrer Anbieter zu achten. Bedenken Sie auch, dass Behauptungen, die Drittunternehmen wie Backbase und Global-e betreffen, unterstreichen, wie viele Unternehmen in einer einzigen Zahlungskette stecken können.

Das Fazit

Die Stripe-ShinyHunters-Erpressungsbehauptungen sind vorerst nur Behauptungen. Bis Stripe oder die anderen genannten Unternehmen Details bestätigen oder unabhängige Beweise auftauchen, besteht der verantwortungsvolle Ansatz darin, die Geschichte zu verfolgen, ohne das Schlimmste anzunehmen. Überwachen Sie in der Zwischenzeit Ihre Kontoauszüge, aktivieren Sie 2FA und behandeln Sie jede händlerbezogene Nachricht mit Skepsis. Für einen Einblick, wie gestohlene persönliche Daten später Betrug befeuern, lesen Sie unseren Bericht über die Florida-DMV-Datenpanne, und schauen Sie hier wieder vorbei, um Updates zu erhalten, falls die Behauptungen verifiziert oder widerlegt werden.