Akteri povezani sa ShinyHuntersom javno iznose niz tvrdnji o Stripeu, ali nijedna od njih nije potvrđena. Tvrdnje o iznudi Stripe ShinyHunters uključuju navodni zahtjev od milijun dolara, navodne RDP zero-day ranjivosti i navodne podatke povezane s još dvije tvrtke, Backbase i Global-e. Budući da se situacija razvija i da su dokazi slabi, vrijedi razlučiti što se tvrdi od onoga što se doista zna.

Što tvrde akteri povezani sa ShinyHuntersom

Prema izvješću TechNadu, tvrdnje koje se pripisuju akterima povezanima sa ShinyHuntersom mogu se svrstati u nekoliko kategorija:

  • Zahtjev za iznudu od milijun dolara usmjeren na Stripe.
  • Navodni pristup milijunima računa, kako je formulirano u naslovu izvornog izvješća.
  • Navodne RDP zero-day ranjivosti. RDP je Remote Desktop Protocol, tehnologija koja omogućuje udaljeno povezivanje s računalom i upravljanje njime. Zero-day je ranjivost za koju proizvođač još ne zna ili je nije zakrpao.
  • Navodni podaci iz Backbasea i Global-e, dviju drugih tvrtki navedenih u tvrdnjama.

Sažetak izvora eksplicitan je u jednoj stvari: nijedna od tih tvrdnji nije potvrđena. To je važno jer skupine koje se bave iznudom često daju smjele javne izjave kako bi izvršile pritisak, a te izjave ne odgovaraju uvijek stvarnom stanju.

Što je potvrđeno, a što nije

Ovo je jednostavan pregled na temelju dostupnih informacija.

Potvrđeno: Samo to da tvrdnje javno kruže i da se pripisuju akterima povezanima sa ShinyHuntersom.

Nije potvrđeno:

  • Je li Stripe doista bio kompromitiran
  • Je li ikakav zahtjev za iznudu doista poslan, ni njegov iznos
  • Postoje li RDP zero-day ranjivosti
  • Jesu li podaci Backbasea i Global-e autentični
  • Koliko je računa, ako ih je uopće bilo, zahvaćeno

Ne postoji potvrđen razmjer utjecaja, potvrđeni tehnički detalji ni potvrđena izjava na koju se možemo osloniti pri opisu moguće izloženih podataka. Ne ponavljamo nikakve brojke osim onih iz izvornog izvješća, a čitatelji bi svaki drugi broj koji kruži trebali uzeti s oprezom.

Također vrijedi istaknuti razliku između tvrdnje o nekoj tvrtki i tvrdnje o njezinim korisnicima. Napadač može tvrditi da ima pristup platformi, trećem dobavljaču ili jednostavno skupu podataka koji izgleda uvjerljivo. Svaki od tih scenarija nosi vrlo različit rizik za obične ljude.

Zašto su tvrdnje o upadu na platne platforme važne za potrošače

Platne platforme stoje iza ogromnog broja internetskih naplata, što znači da tvrdnja koja uključuje jednu od njih može dotaknuti ljude koji nikada nisu čuli za tu tvrtku. Većina potrošača ne bira svojeg obrađivača plaćanja; bira ga trgovac. Zbog toga je teško znati nalazite li se uopće u mogućem krugu ugroženih.

Čak i kada se tvrdnja o upadu pokaže pretjeranom, pozornost koju generira obično koristi prevarantima. Kriminalcima nije potrebno da vaši podaci budu u stvarnom curenju kako bi iskoristili naslove. Poruke koje tvrde da se odnose na "sigurnosni incident", "povrat" ili "neuspjelo plaćanje" mogu dobro proći kada ljudi već slušaju o platnoj tvrtki u vijestima.

Kada osobni podaci doista budu ukradeni, naknadne prijevare mjesto su gdje se događa najveći dio štete. Naše izvješće o curenju podataka Florida DMV dobar je primjer kako izloženi osobni podaci mogu hraniti kasnije prijevare, dugo nakon što početni incident izblijedi iz vijesti.

Praktični koraci dok su tvrdnje nepotvrđene

Ne trebate paničariti i ne trebate čekati potvrdu kako biste poduzeli razumne mjere opreza koje malo koštaju.

  1. Pratite izvatke kartice i banke. Provjeravajte male, nepoznate naplate kao i velike. Mala probna plaćanja čest su prvi korak u prijevari karticom. Uključite obavijesti o transakcijama u svojoj bankovnoj aplikaciji ako je dostupno.
  2. Omogućite dvofaktorsku autentifikaciju (2FA). Prioritizirajte e-poštu, banku i svaki račun koji obrađuje plaćanja. Aplikacijski autentifikator ili hardverski ključ općenito su jači od SMS kodova.
  3. Budite skeptični prema porukama u ime trgovaca. Čuvajte se e-poruka ili SMS-ova o problemima s plaćanjem, povratima ili provjeri računa. Ne klikajte na poveznicu; otvorite aplikaciju trgovca ili sami upišite njegovu adresu.
  4. Koristite jedinstvene zaporke. Upravitelj zaporkama čini to izvedivim. Ako jedan račun bude izložen, jedinstvene zaporke sprječavaju širenje problema.
  5. Pričekajte službene obavijesti. Ako tvrtka potvrdi incident i obavijesti vas, slijedite njezine upute i provjerite je li obavijest stvarna tako da izravno odete na službenu stranicu.

Što to znači za vas

Za većinu ljudi ispravan je pristup svjesnost, a ne uzbuna. Tvrdnje su nepotvrđene i nisu predstavljeni nikakvi potvrđeni dokazi da su vaši podaci uzeti. No gore navedene mjere opreza malo koštaju i štite vas bez obzira na to pokaže li se ova priča istinitom, djelomično istinitom ili lažnom.

Ako vodite tvrtku koja koristi platnu platformu, razumno je pregledati tko ima pristup vašem računu, potvrditi da je 2FA uključena za sve zaposlenike i paziti na službene komunikacije svojih dobavljača. Također imajte na umu da tvrdnje koje se pozivaju na treće tvrtke poput Backbasea i Global-e naglašavaju koliko tvrtki može stajati u jednom platnom lancu.

Zaključak

Tvrdnje o iznudi Stripe ShinyHunters za sada su samo tvrdnje. Dok Stripe ili druge navedene tvrtke ne potvrde detalje ili se ne pojave neovisni dokazi, odgovoran je pristup pratiti priču bez pretpostavljanja najgoreg. U međuvremenu pratite izvatke svoje kartice, uključite 2FA i svaku poruku u ime trgovca tretirajte sa sumnjom. Za pregled toga kako ukradeni osobni podaci potiču prijevare kasnije, pročitajte naše izvješće o curenju podataka Florida DMV i provjerite ovdje za ažuriranja ako tvrdnje budu potvrđene ili opovrgnute.