Des acteurs liés à ShinyHunters formulent publiquement une série d'allégations concernant Stripe, mais aucune d'entre elles n'a été vérifiée. Les allégations d'extorsion de Stripe par ShinyHunters incluent une demande rapportée d'un million de dollars, de prétendus zero-days RDP et des données supposées liées à deux autres entreprises, Backbase et Global-e. Comme la situation évolue et que les preuves sont minces, il convient de distinguer ce qui est allégué de ce qui est réellement connu.

Ce que les acteurs liés à ShinyHunters allèguent

Selon les informations rapportées par TechNadu, les allégations attribuées à des acteurs liés à ShinyHunters se répartissent en quelques catégories :

  • Une demande d'extorsion d'un million de dollars visant Stripe.
  • Un accès allégué à des millions de comptes, tel que présenté dans le titre du rapport source.
  • De prétendus zero-days RDP. Le RDP est le Remote Desktop Protocol, la technologie qui permet de se connecter à un ordinateur et de le contrôler à distance. Un zero-day est une faille que le fournisseur ne connaît pas encore ou n'a pas corrigée.
  • Des données supposées provenir de Backbase et Global-e, deux autres entreprises nommées dans les allégations.

Le résumé de la source est explicite sur un point : aucune de ces allégations n'a été confirmée. Cela compte, car les groupes d'extorsion font souvent des déclarations publiques audacieuses pour faire monter la pression, et ces déclarations ne correspondent pas toujours à ce qui s'est réellement passé.

Ce qui est confirmé et ce qui ne l'est pas

Voici la ventilation simple basée sur les informations disponibles.

Confirmé : uniquement que des allégations circulent publiquement et qu'elles ont été attribuées à des acteurs liés à ShinyHunters.

Non confirmé :

  • Si Stripe a réellement été compromis
  • Si une demande d'extorsion a réellement été envoyée, ou son montant
  • Si les zero-days RDP existent
  • Si les données de Backbase et Global-e sont authentiques
  • Combien de comptes, le cas échéant, ont été affectés

Il n'existe aucune ampleur d'impact vérifiée, aucun détail technique confirmé et aucune déclaration confirmée sur laquelle nous pouvons nous appuyer pour décrire quelles données auraient pu être exposées. Nous ne répétons aucun chiffre au-delà de ceux du rapport source, et les lecteurs doivent traiter avec prudence tout autre chiffre qui circulerait.

Il convient également de noter la différence entre une allégation concernant une entreprise et une allégation concernant ses clients. Un acteur malveillant peut revendiquer l'accès à une plateforme, à un fournisseur tiers, ou simplement à un ensemble de données qui semble convaincant. Chacun de ces cas présente des risques très différents pour les personnes ordinaires.

Pourquoi les allégations de violation de plateformes de paiement importent pour les consommateurs

Les plateformes de paiement se trouvent derrière un nombre considérable de paiements en ligne, ce qui signifie qu'une allégation impliquant l'une d'elles peut toucher des personnes qui n'ont jamais entendu parler de l'entreprise. La plupart des consommateurs ne choisissent pas leur processeur de paiement ; c'est le commerçant qui le fait. Il est donc difficile de savoir si vous êtes même dans le rayon d'impact potentiel.

Même lorsqu'une allégation de violation s'avère exagérée, l'attention qu'elle génère tend à être utile aux escrocs. Les criminels n'ont pas besoin que vos données figurent dans une véritable fuite pour profiter des gros titres. Les messages prétendant concerner un « incident de sécurité », un « remboursement » ou un « paiement échoué » peuvent bien fonctionner lorsque les gens entendent déjà parler d'une entreprise de paiement dans l'actualité.

Lorsque des données personnelles sont réellement dérobées, c'est dans la fraude secondaire que se produit l'essentiel des dommages. Notre couverture de la violation de données du DMV de Floride est un bon exemple de la façon dont des détails personnels exposés peuvent alimenter des arnaques ultérieures, longtemps après que l'incident initial s'est estompé de l'actualité.

Mesures pratiques tant que les allégations ne sont pas vérifiées

Vous n'avez pas besoin de paniquer, et vous n'avez pas besoin d'attendre une confirmation pour prendre des précautions sensées et peu coûteuses.

  1. Surveillez vos relevés de carte et de banque. Recherchez les petits débits inhabituels autant que les gros. Les petites transactions de test sont souvent la première étape de la fraude à la carte. Activez les alertes de transaction dans votre application bancaire si elles sont disponibles.
  2. Activez l'authentification à deux facteurs (2FA). Donnez la priorité à votre e-mail, votre banque et tout compte qui gère des paiements. Un authentificateur basé sur une application ou une clé matérielle est généralement plus robuste que les codes SMS.
  3. Soyez sceptique face aux messages liés à un commerçant. Méfiez-vous des e-mails ou SMS concernant des problèmes de paiement, des remboursements ou une vérification de compte. Ne cliquez pas sur le lien ; ouvrez l'application du commerçant ou saisissez son adresse vous-même.
  4. Utilisez des mots de passe uniques. Un gestionnaire de mots de passe rend cela réaliste. Si un compte est exposé, des mots de passe uniques empêchent le problème de se propager.
  5. Attendez les avis officiels. Si une entreprise confirme un incident et vous notifie, suivez ses instructions, et vérifiez que l'avis est réel en vous rendant directement sur le site officiel.

Ce que cela signifie pour vous

Pour la plupart des gens, la bonne posture est la vigilance, pas l'alarme. Les allégations ne sont pas vérifiées, et aucune preuve confirmée n'a été présentée selon laquelle vos données auraient été dérobées. Mais les précautions ci-dessus coûtent peu et vous protègent, que cette histoire s'avère vraie, partiellement vraie ou fausse.

Si vous dirigez une entreprise qui utilise une plateforme de paiement, il est raisonnable de vérifier qui a accès à votre compte, de confirmer que la 2FA est activée pour tout le personnel et de surveiller les communications officielles de vos fournisseurs. Gardez également à l'esprit que les allégations mentionnant des entreprises tierces comme Backbase et Global-e soulignent combien d'entreprises peuvent se trouver dans une même chaîne de paiement.

L'essentiel

Les allégations d'extorsion de Stripe par ShinyHunters ne sont, pour l'instant, que des allégations. Tant que Stripe ou les autres entreprises nommées n'auront pas confirmé les détails, ou que des preuves indépendantes n'auront pas émergé, l'approche responsable est de suivre l'affaire sans présumer le pire. En attendant, surveillez vos relevés de carte, activez la 2FA et traitez avec suspicion tout message lié à un commerçant. Pour un aperçu de la façon dont les données personnelles volées alimentent les arnaques par la suite, lisez notre rapport sur la violation du DMV de Floride, et revenez ici pour des mises à jour si les allégations sont vérifiées ou réfutées.