Attori legati a ShinyHunters stanno pubblicamente avanzando una serie di rivendicazioni su Stripe, ma nessuna di esse è stata verificata. Le rivendicazioni di estorsione di ShinyHunters ai danni di Stripe includono una presunta richiesta di 1 milione di dollari, presunti zero-day RDP e presunti dati riconducibili ad altre due aziende, Backbase e Global-e. Poiché la situazione è in evoluzione e le prove sono scarse, vale la pena separare ciò che viene asserito da ciò che è effettivamente noto.

Cosa stanno rivendicando gli attori legati a ShinyHunters

Secondo quanto riportato da TechNadu, le rivendicazioni attribuite ad attori legati a ShinyHunters si suddividono in alcune categorie:

  • Una richiesta di estorsione da 1 milione di dollari rivolta a Stripe.
  • Presunto accesso a milioni di account, come formulato nel titolo del report di origine.
  • Presunti zero-day RDP. RDP è il Remote Desktop Protocol, la tecnologia che consente alle persone di connettersi e controllare un computer da remoto. Uno zero-day è una vulnerabilità che il fornitore non conosce ancora o non ha ancora corretto.
  • Presunti dati di Backbase e Global-e, altre due aziende nominate nelle rivendicazioni.

Il riepilogo della fonte è esplicito su un punto: nessuna di queste rivendicazioni è stata confermata. Questo è importante, perché i gruppi di estorsione spesso rilasciano dichiarazioni pubbliche audaci per aumentare la pressione, e tali dichiarazioni non sempre corrispondono a ciò che è realmente accaduto.

Cosa è confermato e cosa non lo è

Ecco la suddivisione chiara basata sulle informazioni disponibili.

Confermato: Solo che le rivendicazioni circolano pubblicamente e che sono state attribuite ad attori legati a ShinyHunters.

Non confermato:

  • Se Stripe sia stata effettivamente violata
  • Se sia stata realmente inviata una richiesta di estorsione, o il suo importo
  • Se gli zero-day RDP esistano
  • Se i dati di Backbase e Global-e siano autentici
  • Quanti account, se ve ne sono, siano stati interessati

Non esiste una scala di impatto verificata, né dettagli tecnici confermati, né una dichiarazione confermata su cui possiamo basarci per descrivere quali dati potrebbero essere stati esposti. Non ripetiamo alcuna cifra al di là di quelle riportate nella fonte, e i lettori dovrebbero trattare con cautela qualsiasi altro numero in circolazione.

Vale anche la pena notare la differenza tra una rivendicazione riguardante un'azienda e una riguardante i suoi clienti. Un attore malevolo può rivendicare l'accesso a una piattaforma, a un fornitore terzo o semplicemente a un set di dati che sembra convincente. Ognuno di questi comporta rischi molto diversi per le persone comuni.

Perché le rivendicazioni di violazione di piattaforme di pagamento contano per i consumatori

Le piattaforme di pagamento sono alla base di un numero enorme di checkout online, il che significa che una rivendicazione che coinvolge una di esse può toccare persone che non hanno mai sentito parlare dell'azienda. La maggior parte dei consumatori non sceglie il proprio processore di pagamento; lo fa il commerciante. Questo rende difficile sapere se si è persino nel potenziale raggio d'azione.

Anche quando una rivendicazione di violazione si rivela esagerata, l'attenzione che genera tende a essere utile ai truffatori. I criminali non hanno bisogno che i tuoi dati siano in una fuga di dati reale per sfruttare i titoli dei giornali. Messaggi che affermano di riguardare un "incidente di sicurezza", un "rimborso" o un "pagamento fallito" possono funzionare bene quando le persone hanno già sentito parlare di un'azienda di pagamenti nelle notizie.

Quando i dati personali vengono realmente rubati, è nelle frodi successive che si verifica la maggior parte del danno. La nostra copertura della violazione dei dati del DMV della Florida è un buon esempio di come i dettagli personali esposti possano alimentare truffe successive, molto tempo dopo che l'incidente iniziale è svanito dalle notizie.

Passi pratici mentre le rivendicazioni non sono verificate

Non è necessario farsi prendere dal panico, e non è necessario attendere una conferma per adottare precauzioni sensate e a basso costo.

  1. Controlla gli estratti conto della carta e della banca. Cerca addebiti piccoli e insoliti oltre a quelli grandi. Le piccole transazioni di prova sono un primo passo comune nelle frodi con carta. Attiva gli avvisi di transazione nella tua app bancaria, se disponibili.
  2. Abilita l'autenticazione a due fattori (2FA). Dai priorità alla tua email, alla banca e a qualsiasi account che gestisce pagamenti. Un autenticatore basato su app o una chiave hardware è generalmente più robusto dei codici SMS.
  3. Sii scettico nei confronti dei messaggi a tema commerciante. Diffida delle email o dei messaggi di testo riguardanti problemi di pagamento, rimborsi o verifica dell'account. Non cliccare sul link; apri l'app del commerciante o digita tu stesso l'indirizzo.
  4. Usa password uniche. Un gestore di password rende tutto questo realistico. Se un account viene esposto, le password uniche impediscono al problema di propagarsi.
  5. Attendi le comunicazioni ufficiali. Se un'azienda conferma un incidente e ti notifica, segui le sue istruzioni e verifica che la notifica sia reale visitando direttamente il sito ufficiale.

Cosa significa questo per te

Per la maggior parte delle persone, l'atteggiamento giusto è la consapevolezza, non l'allarme. Le rivendicazioni non sono verificate e non è stata presentata alcuna prova confermata che i tuoi dati siano stati sottratti. Ma le precauzioni sopra costano poco e ti proteggono sia che questa storia si riveli vera, parzialmente vera o falsa.

Se gestisci un'azienda che utilizza una piattaforma di pagamento, è ragionevole verificare chi ha accesso al tuo account, confermare che la 2FA sia attiva per tutto il personale e prestare attenzione alle comunicazioni ufficiali dei tuoi fornitori. Tieni anche presente che le rivendicazioni che fanno riferimento a società terze come Backbase e Global-e sottolineano quante aziende possono trovarsi in un'unica catena di pagamento.

In conclusione

Le rivendicazioni di estorsione di ShinyHunters ai danni di Stripe sono, per ora, solo rivendicazioni. Finché Stripe o le altre aziende nominate non confermano i dettagli, o non emergono prove indipendenti, l'approccio responsabile è seguire la vicenda senza presumere il peggio. Nel frattempo, monitora gli estratti conto della tua carta, attiva la 2FA e tratta con sospetto qualsiasi messaggio a tema commerciante. Per uno sguardo su come i dati personali rubati alimentino le truffe nel tempo, leggi il nostro report sulla violazione del DMV della Florida, e torna qui per aggiornamenti se le rivendicazioni saranno verificate o smentite.