A ShinyHuntershez köthető szereplők nyilvánosan sorozatos állításokat tesznek a Stripe-ról, de egyiket sem ellenőrizték. A Stripe ShinyHunters zsarolási állítások egy állítólagos 1 millió dolláros követelést, állítólagos RDP nulladik napi sebezhetőségeket és két másik céghez, a Backbase-hez és a Global-e-hez kötődő állítólagos adatokat tartalmaznak. Mivel a helyzet mozgásban van és a bizonyítékok gyérek, érdemes szétválasztani, mit állítanak és mit tudunk valójában.

Mit állítanak a ShinyHuntershez köthető szereplők

A TechNadu beszámolója szerint a ShinyHuntershez köthető szereplőknek tulajdonított állítások néhány kategóriába sorolhatók:

  • Egy 1 millió dolláros zsarolási követelés a Stripe felé.
  • Állítólagos hozzáférés milliós nagyságrendű fiókhoz, ahogy a forrásjelentés címe megfogalmazza.
  • Állítólagos RDP nulladik napi sebezhetőségek. Az RDP a Remote Desktop Protocol, az a technológia, amely lehetővé teszi, hogy az emberek távolról csatlakozzanak egy számítógéphez és irányítsák azt. A nulladik napi sebezhetőség egy olyan hiba, amelyről a gyártó még nem tud, vagy amelyet még nem javított.
  • Állítólagos adatok a Backbase-től és a Global-e-től, a két másik, az állításokban megnevezett cégtől.

A forrás összefoglalója egy ponton egyértelmű: egyik állítást sem erősítették meg. Ez számít, mert a zsaroló csoportok gyakran merész nyilvános kijelentéseket tesznek a nyomásgyakorlás érdekében, és ezek a kijelentések nem mindig felelnek meg annak, ami valójában történt.

Mi megerősített és mi nem

Íme a rendelkezésre álló információk alapján készült egyszerű áttekintés.

Megerősített: Csak az, hogy az állítások nyilvánosan keringenek, és hogy azokat ShinyHuntershez köthető szereplőknek tulajdonítják.

Nem megerősített:

  • Hogy a Stripe-ot ténylegesen feltörték-e
  • Hogy valóban küldtek-e zsarolási követelést, vagy annak összegét
  • Hogy léteznek-e az RDP nulladik napi sebezhetőségek
  • Hogy a Backbase és a Global-e adatai hitelesek-e
  • Hogy hány fiókot érintettek, ha egyáltalán érintettek valamit

Nincs ellenőrzött hatásmérték, nincsenek megerősített technikai részletek, és nincs megerősített nyilatkozat, amelyre támaszkodhatnánk annak leírásához, milyen adatok szivároghattak ki. Nem ismételjük a forrásbeszámolóban szereplő számokon túl semmilyen adatot, és az olvasóknak óvatosan kell kezelniük bármilyen más, keringő számot.

Érdemes megjegyezni a különbséget egy cégre vonatkozó állítás és az ügyfeleire vonatkozó állítás között is. Egy fenyegető szereplő állíthatja, hogy hozzáfért egy platformhoz, egy harmadik fél szolgáltatóhoz, vagy egyszerűen egy meggyőzőnek tűnő adathalmazhoz. Ezek mindegyike nagyon eltérő kockázatot jelent a hétköznapi emberek számára.

Miért számítanak a fizetési platform elleni támadási állítások a fogyasztóknak

A fizetési platformok rengeteg online fizetési folyamat mögött állnak, ami azt jelenti, hogy az egyiket érintő állítás olyan embereket is érinthet, akik soha nem hallottak a cégről. A legtöbb fogyasztó nem választja ki a fizetési feldolgozóját; a kereskedő teszi ezt. Ez megnehezíti annak megállapítását, hogy egyáltalán a lehetséges érintettek körében vagy-e.

Még ha egy támadási állítás túlzónak is bizonyul, a keltett figyelem általában hasznos a csalók számára. A bűnözőknek nem kell ahhoz, hogy az adataid valódi szivárgásban legyenek, hogy kihasználják a címlapokat. Azok az üzenetek, amelyek azt állítják, hogy egy „biztonsági incidensről", „visszatérítésről" vagy „sikertelen fizetésről" szólnak, jól célba találhatnak, amikor az emberek már úgyis hallanak egy fizetési cégről a hírekben.

Amikor a személyes adatok valóban ellopják, a legtöbb kár a nyomkövető csalás során keletkezik. A Florida DMV adatszivárgásról szóló tudósításunk jó példa arra, hogyan táplálhatják a kiszivárgott személyes adatok a későbbi csalásokat, jóval azután, hogy az eredeti incidens kikerül a hírekből.

Gyakorlati lépések, amíg az állítások nem ellenőrzöttek

Nem kell pánikba esned, és nem kell megvárnod egy megerősítést ahhoz, hogy ésszerű, alacsony költségű óvintézkedéseket tegyél.

  1. Figyeld a kártya- és bankszámlakivonataidat. Ellenőrizd a kicsi, ismeretlen terheléseket éppúgy, mint a nagyokat. A kis tesztügyletek gyakori első lépései a kártyacsalásnak. Kapcsold be a tranzakciós értesítéseket a banki alkalmazásodban, ha elérhető.
  2. Engedélyezd a kétfaktoros hitelesítést (2FA). Részesítsd előnyben az e-mailjeidet, a bankodat és minden fizetéseket kezelő fiókot. Az alkalmazásalapú hitelesítő vagy egy hardverkulcs általában erősebb, mint az SMS-kódok.
  3. Légy szkeptikus a kereskedőkkel kapcsolatos üzenetekkel. Legyél óvatos a fizetési problémákról, visszatérítésekről vagy fiókellenőrzésről szóló e-mailekkel és szöveges üzenetekkel. Ne kattints a linkre; nyisd meg a kereskedő alkalmazását, vagy írd be a címét magad.
  4. Használj egyedi jelszavakat. Egy jelszókezelő ezt megvalósíthatóvá teszi. Ha egy fiók kiszivárog, az egyedi jelszavak megakadályozzák a probléma terjedését.
  5. Várj a hivatalos értesítésekre. Ha egy cég megerősít egy incidenst és értesít téged, kövesd az utasításait, és ellenőrizd, hogy az értesítés valódi-e, közvetlenül a hivatalos weboldalra menve.

Mit jelent ez számodra

A legtöbb ember számára a helyes hozzáállás a tudatosság, nem a riadalom. Az állítások nem ellenőrzöttek, és nem mutattak be megerősített bizonyítékot arra, hogy az adataidat eltulajdonították. A fenti óvintézkedések azonban kevésbe kerülnek, és védenek téged, akár igaznak, részben igaznak vagy hamisnak bizonyul ez a történet.

Ha olyan vállalkozást vezetsz, amely fizetési platformot használ, ésszerű áttekinteni, ki fér hozzá a fiókodhoz, megerősíteni, hogy a 2FA be van kapcsolva minden munkatársnál, és figyelni a szolgáltatóid hivatalos kommunikációját. Tartsd észben azt is, hogy a Backbase-hez és a Global-e-hez hasonló harmadik feleket említő állítások rávilágítanak arra, hogy milyen sok cég lehet egyetlen fizetési láncban.

A lényeg

A Stripe ShinyHunters zsarolási állítások egyelőre csak állítások. Amíg a Stripe vagy a többi megnevezett cég meg nem erősíti a részleteket, vagy független bizonyíték nem kerül elő, a felelős megközelítés az, hogy követed a történetet anélkül, hogy a legrosszabbat feltételeznéd. Addig is figyeld a kártyakivonataidat, kapcsold be a 2FA-t, és kezeld gyanakvással a kereskedőkkel kapcsolatos üzeneteket. Ha szeretnéd látni, hogyan táplálja az ellopott személyes adat a későbbi csalásokat, olvasd el a Florida DMV adatszivárgásról szóló jelentésünket, és nézz vissza ide frissítésekért, ha az állításokat megerősítik vagy cáfolják.