Δρώντες συνδεδεμένοι με τους ShinyHunters διατυπώνουν δημόσια μια σειρά ισχυρισμών για τη Stripe, αλλά κανένας από αυτούς δεν έχει επαληθευτεί. Οι αξιώσεις εκβιασμού Stripe ShinyHunters περιλαμβάνουν μια αναφερόμενη απαίτηση 1 εκατομμυρίου δολαρίων, εικαζόμενα zero-days RDP και φερόμενα δεδομένα που συνδέονται με δύο άλλες εταιρείες, τις Backbase και Global-e. Επειδή η κατάσταση εξελίσσεται και τα στοιχεία είναι ισχνά, αξίζει να διαχωρίσουμε τι ισχυρίζονται από τι είναι πραγματικά γνωστό.
Τι Ισχυρίζονται Δρώντες Συνδεδεμένοι με τους ShinyHunters
Σύμφωνα με ρεπορτάζ του TechNadu, οι ισχυρισμοί που αποδίδονται σε δρώντες συνδεδεμένους με τους ShinyHunters εμπίπτουν σε μερικές κατηγορίες:
- Μια απαίτηση εκβιασμού 1 εκατομμυρίου δολαρίων με στόχο τη Stripe.
- Εικαζόμενη πρόσβαση σε εκατομμύρια λογαριασμούς, όπως διατυπώνεται στον τίτλο της αναφοράς της πηγής.
- Εικαζόμενα zero-days RDP. Το RDP είναι το Πρωτόκολλο Απομακρυσμένης Επιφάνειας Εργασίας (Remote Desktop Protocol), η τεχνολογία που επιτρέπει σε ανθρώπους να συνδέονται και να ελέγχουν έναν υπολογιστή εξ αποστάσεως. Ένα zero-day είναι ένα ελάττωμα που ο προμηθευτής δεν γνωρίζει ακόμη ή δεν έχει διορθώσει.
- Φερόμενα δεδομένα από τις Backbase και Global-e, δύο άλλες εταιρείες που κατονομάζονται στους ισχυρισμούς.
Η σύνοψη της πηγής είναι σαφής σε ένα σημείο: κανένας από αυτούς τους ισχυρισμούς δεν έχει επιβεβαιωθεί. Αυτό έχει σημασία, επειδή οι ομάδες εκβιασμού συχνά διατυπώνουν τολμηρές δημόσιες δηλώσεις για να ασκήσουν πίεση, και αυτές οι δηλώσεις δεν ανταποκρίνονται πάντα σε ό,τι πραγματικά συνέβη.
Τι Έχει Επιβεβαιωθεί και Τι Όχι
Ακολουθεί η απλή ανάλυση με βάση τις διαθέσιμες πληροφορίες.
Επιβεβαιωμένο: Μόνο ότι ισχυρισμοί κυκλοφορούν δημόσια και ότι έχουν αποδοθεί σε δρώντες συνδεδεμένους με τους ShinyHunters.
Μη επιβεβαιωμένο:
- Αν η Stripe παραβιάστηκε πραγματικά
- Αν στάλθηκε πραγματικά οποιαδήποτε απαίτηση εκβιασμού, ή το ποσό της
- Αν υπάρχουν τα zero-days RDP
- Αν τα δεδομένα των Backbase και Global-e είναι αυθεντικά
- Πόσοι λογαριασμοί, αν υπάρχουν, επηρεάστηκαν
Δεν υπάρχει επαληθευμένη κλίμακα επίπτωσης, καμία επιβεβαιωμένη τεχνική λεπτομέρεια και καμία επιβεβαιωμένη δήλωση στην οποία μπορούμε να βασιστούμε για να περιγράψουμε ποια δεδομένα μπορεί να έχουν εκτεθεί. Δεν επαναλαμβάνουμε κανέναν αριθμό πέραν αυτών στο ρεπορτάζ της πηγής, και οι αναγνώστες θα πρέπει να αντιμετωπίζουν με προσοχή οποιουσδήποτε άλλους αριθμούς κυκλοφορούν.
Αξίζει επίσης να σημειωθεί η διαφορά μεταξύ ενός ισχυρισμού για μια εταιρεία και ενός ισχυρισμού για τους πελάτες της. Ένας δρών απειλής μπορεί να ισχυριστεί πρόσβαση σε μια πλατφόρμα, σε έναν τρίτο προμηθευτή ή απλώς σε ένα σύνολο δεδομένων που φαίνεται πειστικό. Κάθε ένα από αυτά συνεπάγεται πολύ διαφορετικό κίνδυνο για τους απλούς ανθρώπους.
Γιατί οι Ισχυρισμοί Παραβίασης Πλατφόρμας Πληρωμών Έχουν Σημασία για τους Καταναλωτές
Οι πλατφόρμες πληρωμών βρίσκονται πίσω από έναν τεράστιο αριθμό ηλεκτρονικών ολοκληρώσεων αγοράς, πράγμα που σημαίνει ότι ένας ισχυρισμός που αφορά μία μπορεί να αγγίξει ανθρώπους που δεν έχουν ακούσει ποτέ για την εταιρεία. Οι περισσότεροι καταναλωτές δεν επιλέγουν τον επεξεργαστή πληρωμών τους· ο έμπορος το κάνει. Αυτό καθιστά δύσκολο να γνωρίζετε αν βρίσκεστε ακόμη και στο δυνητικό εύρος επιπτώσεων.
Ακόμη και όταν ένας ισχυρισμός παραβίασης αποδεικνύεται υπερβολικός, η προσοχή που προκαλεί τείνει να είναι χρήσιμη για τους απατεώνες. Οι εγκληματίες δεν χρειάζονται τα δεδομένα σας σε μια πραγματική διαρροή για να εκμεταλλευτούν τους τίτλους. Μηνύματα που ισχυρίζονται ότι αφορούν ένα «περιστατικό ασφαλείας», μια «επιστροφή χρημάτων» ή μια «αποτυχημένη πληρωμή» μπορούν να έχουν απήχηση όταν οι άνθρωποι ακούν ήδη για μια εταιρεία πληρωμών στις ειδήσεις.
Όταν προσωπικά δεδομένα κλαπούν πραγματικά, η επακόλουθη απάτη είναι εκεί όπου συμβαίνει το μεγαλύτερο μέρος της ζημιάς. Η κάλυψή μας για την παραβίαση δεδομένων του Florida DMV είναι ένα καλό παράδειγμα του πώς εκτεθειμένες προσωπικές λεπτομέρειες μπορούν να τροφοδοτήσουν μεταγενέστερες απάτες, πολύ καιρό αφού το αρχικό περιστατικό σβήσει από τις ειδήσεις.
Πρακτικά Βήματα Όσο οι Ισχυρισμοί Είναι Ανεπιβεβαίωτοι
Δεν χρειάζεται να πανικοβληθείτε και δεν χρειάζεται να περιμένετε μια επιβεβαίωση για να λάβετε λογικές, χαμηλού κόστους προφυλάξεις.
- Παρακολουθείτε τις κινήσεις της κάρτας και του τραπεζικού σας λογαριασμού. Ελέγχετε για μικρές, άγνωστες χρεώσεις καθώς και για μεγάλες. Οι μικρές δοκιμαστικές συναλλαγές είναι ένα συνηθισμένο πρώτο βήμα στην απάτη καρτών. Ενεργοποιήστε ειδοποιήσεις συναλλαγών στην εφαρμογή της τράπεζάς σας, εάν είναι διαθέσιμες.
- Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA). Δώστε προτεραιότητα στο email σας, στην τράπεζά σας και σε οποιονδήποτε λογαριασμό διαχειρίζεται πληρωμές. Ένας εφαρμογής-based authenticator ή ένα hardware key είναι γενικά ισχυρότερος από τους κωδικούς SMS.
- Να είστε δύσπιστοι απέναντι σε μηνύματα με θέμα εμπόρων. Να είστε επιφυλακτικοί με emails ή μηνύματα κειμένου σχετικά με προβλήματα πληρωμών, επιστροφές χρημάτων ή επαλήθευση λογαριασμού. Μην κάνετε κλικ στον σύνδεσμο· ανοίξτε την εφαρμογή του εμπόρου ή πληκτρολογήστε τη διεύθυνση μόνοι σας.
- Χρησιμοποιείτε μοναδικούς κωδικούς πρόσβασης. Ένας password manager το κάνει αυτό ρεαλιστικό. Εάν ένας λογαριασμός εκτεθεί, οι μοναδικοί κωδικοί πρόσβασης εμποδίζουν το πρόβλημα να εξαπλωθεί.
- Περιμένετε επίσημες ειδοποιήσεις. Εάν μια εταιρεία επιβεβαιώσει ένα περιστατικό και σας ειδοποιήσει, ακολουθήστε τις οδηγίες της και επαληθεύστε ότι η ειδοποίηση είναι πραγματική πηγαίνοντας απευθείας στον επίσημο ιστότοπο.
Τι Σημαίνει Αυτό Για Εσάς
Για τους περισσότερους ανθρώπους, η σωστή στάση είναι η εγρήγορση, όχι ο συναγερμός. Οι ισχυρισμοί είναι ανεπιβεβαίωτοι και δεν έχει παρουσιαστεί κανένα επιβεβαιωμένο στοιχείο ότι τα δεδομένα σας ελήφθησαν. Αλλά οι παραπάνω προφυλάξεις κοστίζουν λίγο και σας προστατεύουν είτε αυτή η ιστορία αποδειχθεί αληθινή, εν μέρει αληθινή ή ψευδής.
Εάν διευθύνετε μια επιχείρηση που χρησιμοποιεί μια πλατφόρμα πληρωμών, είναι λογικό να ελέγξετε ποιος έχει πρόσβαση στον λογαριασμό σας, να επιβεβαιώσετε ότι το 2FA είναι ενεργό για όλο το προσωπικό και να παρακολουθείτε για επίσημες επικοινωνίες από τους παρόχους σας. Λάβετε επίσης υπόψη ότι οι ισχυρισμοί που αναφέρονται σε τρίτες εταιρείες όπως οι Backbase και Global-e υπογραμμίζουν πόσες εταιρείες μπορούν να βρίσκονται σε μια ενιαία αλυσίδα πληρωμών.
Το Συμπέρασμα
Οι αξιώσεις εκβιασμού Stripe ShinyHunters είναι, προς το παρόν, μόνο ισχυρισμοί. Μέχρι η Stripe ή οι άλλες κατονομαζόμενες εταιρείες να επιβεβαιώσουν λεπτομέρειες, ή να προκύψουν ανεξάρτητα στοιχεία, η υπεύθυνη προσέγγιση είναι να παρακολουθείτε την ιστορία χωρίς να υποθέτετε τα χειρότερα. Εν τω μεταξύ, παρακολουθείτε τις κινήσεις της κάρτας σας, ενεργοποιήστε το 2FA και αντιμετωπίζετε με καχυποψία οποιοδήποτε μήνυμα με θέμα εμπόρου. Για μια ματιά στο πώς τα κλεμμένα προσωπικά δεδομένα τροφοδοτούν απάτες στη συνέχεια, διαβάστε την αναφορά μας για την παραβίαση του Florida DMV, και ελέγχετε ξανά εδώ για ενημερώσεις εάν οι ισχυρισμοί επαληθευτούν ή διαψευστούν.
