ShinyHuntersに関連する人物らがStripeについて一連の主張を公に行っているが、そのいずれも確認されていない。Stripeに対するShinyHuntersの恐喝主張には、報じられている100万ドルの要求、RDPゼロデイの主張、そしてBackbaseとGlobal-eという他2社に関連するとされるデータが含まれている。状況は流動的で証拠も乏しいため、何が主張されているのかと、実際に何が分かっているのかを切り分ける価値がある。

ShinyHuntersに関連する人物らが主張していること

TechNaduの報道によると、ShinyHuntersに関連する人物らに帰属される主張は、いくつかのカテゴリーに分けられる:

  • Stripeを標的とした100万ドルの恐喝要求。
  • 数百万のアカウントへのアクセスと主張されている（報道元の見出しでの表現）。
  • RDPゼロデイの主張。 RDPとはRemote Desktop Protocolのことで、コンピュータにリモートで接続して操作できる技術である。ゼロデイとは、ベンダーがまだ把握していない、またはパッチを適用していない脆弱性のことである。
  • BackbaseとGlobal-eから得たとされるデータ（主張で名前が挙げられている他2社）。

報道元の要約は一点について明確である。これらの主張はいずれも確認されていないということだ。これは重要である。恐喝グループは圧力をかけるために大胆な公開声明を出すことが多く、そうした声明が実際に起きたことと一致するとは限らないからだ。

確認されていることと、そうでないこと

入手可能な情報に基づく率直な内訳は以下のとおりである。

確認されていること： 主張が公に流布しており、それがShinyHuntersに関連する人物らに帰属されているということのみ。

確認されていないこと：

  • Stripeが実際に侵害されたかどうか
  • 恐喝要求が実際に送られたかどうか、またその金額
  • RDPゼロデイが実在するかどうか
  • BackbaseとGlobal-eのデータが本物かどうか
  • 影響を受けたアカウント数（あるとしても）

検証された影響規模も、確認された技術的詳細も、どのようなデータが流出した可能性があるかを説明するために依拠できる確認済みの声明も存在しない。本記事では報道元の数値以外は繰り返さず、読者は流布している他の数値についても慎重に扱うべきである。

また、企業に関する主張とその顧客に関する主張の違いにも留意すべきである。脅威アクターは、プラットフォームへのアクセス、第三者ベンダーへのアクセス、あるいは単に説得力のあるデータセットへのアクセスを主張することができる。それぞれが一般の人々にとって異なるリスクをもたらす。

決済プラットフォームの侵害主張が消費者にとって重要な理由

決済プラットフォームは膨大な数のオンラインチェックアウトの背後に位置しているため、1社に関する主張が、その企業名を聞いたことすらない人々に影響を及ぼす可能性がある。ほとんどの消費者は決済プロセッサを選んでおらず、選ぶのは加盟店である。そのため、自分が潜在的な影響範囲に入っているかどうかを知ることは難しい。

侵害主張が誇張であると判明した場合でも、それが生み出す注目は詐欺師にとって有用となりがちである。犯罪者は、実際の漏洩にあなたのデータが含まれている必要はなく、見出しを利用するだけでよい。「セキュリティインシデント」「返金」「決済失敗」をうたうメッセージは、人々がすでに決済企業のニュースを耳にしているときに効果を発揮しうる。

個人データが実際に窃取された場合、被害の大部分は後続の詐欺で発生する。フロリダ州DMVのデータ侵害に関する我々の報道は、流出した個人情報が、最初のインシデントがニュースから消えたずっと後になって、後の詐欺を助長しうる好例である。

主張が未確認である間の実践的な対策

慌てる必要はなく、確認を待ってから賢明で低コストの予防策を講じる必要もない。

  1. カードと銀行の明細を確認する。 高額な請求だけでなく、少額の不審な請求にも注意する。少額のテスト取引はカード詐欺の最初のステップとしてよくある。銀行アプリで取引通知があれば有効にする。
  2. 二要素認証（2FA）を有効にする。 メール、銀行、そして決済を扱うあらゆるアカウントを優先する。アプリベースの認証器やハードウェアキーは、一般的にSMSコードより強固である。
  3. 加盟店を題材にしたメッセージを疑う。 決済の問題、返金、アカウント確認に関するメールやテキストに注意する。リンクをクリックせず、加盟店のアプリを開くか、アドレスを自分で入力する。
  4. 固有のパスワードを使う。 パスワードマネージャーを使えば現実的になる。1つのアカウントが流出しても、固有のパスワードであれば問題の拡大を防げる。
  5. 公式の通知を待つ。 企業がインシデントを確認して通知してきた場合は、その指示に従い、公式サイトに直接アクセスして通知が本物であることを確認する。

あなたにとっての意味

ほとんどの人にとって、取るべき姿勢は警戒ではなく認識である。主張は未確認であり、あなたのデータが窃取されたという確認された証拠は提示されていない。しかし上記の対策はほとんどコストがかからず、この話が真実であれ、一部真実であれ、虚偽であれ、あなたを守ってくれる。

決済プラットフォームを利用する事業を営んでいる場合は、アカウントに誰がアクセスできるかを確認し、全スタッフに対して2FAが有効であることを確かめ、プロバイダーからの公式通信に注意を払うことは合理的である。また、BackbaseやGlobal-eのような第三者企業に言及する主張は、1つの決済チェーンにどれほど多くの企業が関わりうるかを浮き彫りにしていることにも留意されたい。

結論

Stripeに対するShinyHuntersの恐喝主張は、現時点では主張にすぎない。Stripeや他の名指しされた企業が詳細を確認するか、独立した証拠が現れるまでは、最悪の事態を想定せずに話を追うのが責任ある対応である。それまでの間は、カードの明細を監視し、2FAを有効にし、加盟店を題材にしたあらゆるメッセージを疑ってかかること。窃取された個人データが後にどのように詐欺を助長するかについては、フロリダ州DMV侵害に関する我々の報告をお読みいただき、主張が確認または反証された場合は最新情報のためにここを再確認してほしい。