ShinyHuntersiin yhdistetyt toimijat esittävät julkisesti joukon väitteitä Stripestä, mutta yhtäkään niistä ei ole vahvistettu. Stripen ShinyHunters-kiristysväitteisiin sisältyy raportoitu miljoonan dollarin vaatimus, väitetyt RDP-nollapäivähaavoittuvuudet sekä väitetty data, joka liittyy kahteen muuhun yritykseen, Backbaseen ja Global-e:hen. Koska tilanne on liikkeessä ja näyttö on ohutta, on syytä erottaa toisistaan se, mitä väitetään ja se, mitä todella tiedetään.
Mitä ShinyHuntersiin yhdistetyt toimijat väittävät
TechNadun raportoinnin mukaan ShinyHuntersiin yhdistetyille toimijoille ominaiset väitteet jakautuvat muutamaan kategoriaan:
- Miljoonan dollarin kiristysvaatimus Stripeä kohtaan.
- Väitetty pääsy miljooniin tileihin, sellaisena kuin lähderaportin otsikossa esitetään.
- Väitetyt RDP-nollapäivähaavoittuvuudet. RDP on Remote Desktop Protocol, teknologia, jonka avulla ihmiset voivat muodostaa yhteyden tietokoneeseen ja hallita sitä etänä. Nollapäivähaavoittuvuus on haavoittuvuus, josta toimittaja ei vielä tiedä tai jota se ei ole paikannut.
- Väitetty data Backbasesta ja Global-esta, kahdesta muusta väitteissä nimetyistä yrityksestä.
Lähdeyhteenveto on yksiselitteinen yhdestä asiasta: yhtäkään näistä väitteistä ei ole vahvistettu. Tällä on merkitystä, koska kiristysryhmät esittävät usein rohkeita julkisia lausuntoja paineen luomiseksi, eivätkä nämä lausunnot aina vastaa sitä, mitä todella tapahtui.
Mikä on vahvistettu ja mikä ei
Tässä selkeä erittely saatavilla olevien tietojen perusteella.
Vahvistettu: Ainoastaan se, että väitteitä liikkuu julkisesti ja että ne on yhdistetty ShinyHuntersiin yhdistettyihin toimijoihin.
Vahvistamaton:
- Tapahtuiko Stripeen todella tietomurto
- Lähetettiinkö kiristysvaatimus todella, tai sen summa
- Ovatko RDP-nollapäivähaavoittuvuudet olemassa
- Onko Backbasen ja Global-en data aitoa
- Kuinka moneen tiliin, jos yhteenkään, murtauduttiin
Ei ole vahvistettua vaikutuksen laajuutta, ei vahvistettuja teknisiä yksityiskohtia eikä vahvistettua lausuntoa, johon voisimme luottaa kuvaillessamme, mitä tietoja on saattanut paljastua. Emme toista muita lukuja kuin lähderaportoinnissa esitetyt, ja lukijoiden tulisi suhtautua varauksella kaikkiin muihin liikkeellä oleviin lukuihin.
On myös syytä huomata ero yritystä koskevan väitteen ja sen asiakkaita koskevan väitteen välillä. Uhkaaja voi väittää päässeensä alustaan, kolmannen osapuolen toimittajaan tai yksinkertaisesti uskottavalta näyttävään tietoaineistoon. Jokainen näistä merkitsee hyvin erilaista riskiä tavallisille ihmisille.
Miksi maksualustojen tietomurtoväitteet ovat merkityksellisiä kuluttajille
Maksualustat ovat valtavan monen verkkokassan taustalla, mikä tarkoittaa, että yhtä koskeva väite voi koskettaa ihmisiä, jotka eivät ole koskaan kuulleetkaan yrityksestä. Useimmat kuluttajat eivät valitse maksupalveluntarjoajaansa; kauppias valitsee. Tämä tekee vaikeaksi tietää, oletko edes mahdollisella vaikutusalueella.
Vaikka tietomurtoväite osoittautuisi liioitelluksi, sen herättämä huomio on yleensä hyödyllistä huijareille. Rikolliset eivät tarvitse tietojasi oikeaan vuotoon hyödyntääkseen otsikoita. Viestit, jotka väittävät liittyvänsä "tietoturvahäiriöön", "hyvitykseen" tai "epäonnistuneeseen maksuun", voivat uponnut hyvin, kun ihmiset ovat jo kuulleet maksuyrityksestä uutisissa.
Kun henkilötietoja todella varastetaan, suurin osa haitoista syntyy seurannaispetoksissa. Juttumme Floridan DMV:n tietomurrosta on hyvä esimerkki siitä, miten paljastuneet henkilötiedot voivat ruokkia myöhempiä huijauksia kauan sen jälkeen, kun alkuperäinen tapaus on hiipunut uutisista.
Käytännön toimenpiteet, kun väitteet ovat vahvistamattomia
Sinun ei tarvitse panikoida, eikä sinun tarvitse odottaa vahvistusta ryhtyäksesi järkeviin, edullisiin varotoimiin.
- Seuraa kortti- ja pankkitiliotteitasi. Tarkista sekä pienet että suuret tuntemattomat veloitukset. Pienet testitapahtumat ovat yleinen ensimmäinen askel korttipetoksessa. Ota käyttöön tapahtumahälytykset pankkisovelluksessasi, jos mahdollista.
- Ota käyttöön kaksivaiheinen tunnistautuminen (2FA). Priorisoi sähköpostisi, pankkisi ja kaikki maksuja käsittelevät tilit. Sovelluspohjainen tunnistautuja tai laitteistopohjainen avain on yleensä vahvempi kuin SMS-koodit.
- Suhtaudu skeptisesti kauppiaaseen liittyviin viesteihin. Varo sähköposteja tai tekstiviestejä maksuongelmista, hyvityksistä tai tilin vahvistamisesta. Älä napsauta linkkiä; avaa kauppiaan sovellus tai kirjoita sen osoite itse.
- Käytä yksilöllisiä salasanoja. Salasananhallintaohjelma tekee tästä realistista. Jos yksi tili paljastuu, yksilölliset salasanat estävät ongelman leviämisen.
- Odota virallisia ilmoituksia. Jos yritys vahvistaa tapauksen ja ilmoittaa sinulle, noudata sen ohjeita ja varmista ilmoituksen aitous menemällä suoraan viralliselle sivustolle.
Mitä tämä tarkoittaa sinulle
Useimmille ihmisille oikea asenne on tietoisuus, ei hälytys. Väitteet ovat vahvistamattomia, eikä ole esitetty vahvistettua näyttöä siitä, että tietosi olisi viety. Yllä olevat varotoimet kuitenkin maksavat vähän ja suojaavat sinua riippumatta siitä, osoittautuuko tarina todeksi, osittain todeksi vai valheeksi.
Jos pyörität yritystä, joka käyttää maksualustaa, on järkevää tarkistaa, kellä on pääsy tiliisi, varmistaa, että 2FA on käytössä kaikilla henkilöstön jäsenillä, ja seurata palveluntarjoajiesi virallisia viestejä. Pidä myös mielessä, että väitteet, jotka viittaavat kolmannen osapuolen yrityksiin kuten Backbaseen ja Global-e:hen, korostavat, kuinka monta yritystä voi olla yhdessä maksuketjussa.
Yhteenveto
Stripen ShinyHunters-kiristysväitteet ovat toistaiseksi vain väitteitä. Kunnes Stripe tai muut nimetyt yritykset vahvistavat yksityiskohdat tai riippumatonta näyttöä ilmaantuu, vastuullinen lähestymistapa on seurata tarinaa olettamatta pahinta. Sillä välin seuraa korttitiliotteitasi, ota 2FA käyttöön ja suhtaudu epäluuloisesti kaikkiin kauppiaaseen liittyviin viesteihin. Katso, miten varastetut henkilötiedot ruokkivat huijauksia myöhemmin, lukemalla raporttimme Floridan DMV:n tietomurrosta, ja palaa tänne päivityksiä varten, jos väitteet vahvistetaan tai kumotaan.
