ShinyHunters 연계 행위자들이 Stripe에 대해 일련의 주장을 공개적으로 제기하고 있으나, 어느 것도 검증되지 않았다. Stripe ShinyHunters 갈취 주장에는 보도된 100만 달러 요구, RDP 제로데이 주장, 그리고 Backbase와 Global-e라는 두 다른 회사와 관련된 것으로 주장되는 데이터가 포함된다. 상황이 계속 변화하고 증거가 빈약하기 때문에, 주장되는 것과 실제로 알려진 것을 구분할 가치가 있다.

ShinyHunters 연계 행위자들이 주장하는 것

TechNadu의 보도에 따르면, ShinyHunters 연계 행위자들에게 귀속된 주장은 몇 가지 범주로 나뉜다:

  • Stripe를 겨냥한 100만 달러 갈취 요구.
  • 원 보도 기사의 헤드라인에 표현된 수백만 계정에 대한 접근 주장.
  • RDP 제로데이 주장. RDP는 원격 데스크톱 프로토콜(Remote Desktop Protocol)로, 사람이 컴퓨터에 원격으로 연결하여 제어할 수 있게 하는 기술이다. 제로데이는 벤더가 아직 알지 못하거나 패치하지 않은 취약점이다.
  • 주장에 이름이 언급된 두 다른 회사인 Backbase와 Global-e의 것으로 주장되는 데이터.

원 출처 요약은 한 가지 점에서 명확하다: 이러한 주장 중 어느 것도 확인되지 않았다. 이는 중요하다. 갈취 집단은 압박을 가하기 위해 대담한 공개 성명을 자주 내놓으며, 그러한 성명이 실제로 일어난 일과 항상 일치하지는 않기 때문이다.

확인된 것과 확인되지 않은 것

이용 가능한 정보를 바탕으로 한 명확한 분석은 다음과 같다.

확인된 것: 주장이 공개적으로 유포되고 있으며, 그것이 ShinyHunters 연계 행위자들에게 귀속되었다는 점뿐이다.

확인되지 않은 것:

  • Stripe가 실제로 침해당했는지 여부
  • 갈취 요구가 실제로 전송되었는지, 또는 그 금액
  • RDP 제로데이가 존재하는지 여부
  • Backbase와 Global-e 데이터가 진본인지 여부
  • 영향을 받은 계정이 있다면 그 수

검증된 영향 규모도, 확인된 기술적 세부사항도, 어떤 데이터가 노출되었을 수 있는지 설명하기 위해 의존할 수 있는 확인된 성명도 없다. 우리는 원 보도에 있는 수치 외에는 어떤 수치도 반복하지 않으며, 독자들은 떠돌아다니는 다른 숫자들을 주의해서 다루어야 한다.

또한 회사에 대한 주장과 그 고객에 대한 주장의 차이를 주목할 가치가 있다. 위협 행위자는 플랫폼, 제3자 벤더, 또는 단순히 설득력 있어 보이는 데이터 세트에 대한 접근을 주장할 수 있다. 각각은 일반인에게 매우 다른 위험을 안긴다.

결제 플랫폼 침해 주장이 소비자에게 중요한 이유

결제 플랫폼은 수많은 온라인 결제의 배후에 있으며, 이는 하나에 관한 주장이 그 회사를 들어본 적 없는 사람들에게도 영향을 미칠 수 있음을 의미한다. 대부분의 소비자는 결제 처리를 선택하지 않는다; 판매자가 선택한다. 그렇기 때문에 자신이 잠재적 영향 범위 안에 있는지조차 알기 어렵다.

침해 주장이 과장된 것으로 밝혀지더라도, 그것이 만들어내는 관심은 사기꾼들에게 유용한 경향이 있다. 범죄자들은 실제 유출에 당신의 데이터가 있을 필요 없이 헤드라인을 악용할 수 있다. "보안 사고", "환불", 또는 "결제 실패"에 관한 것이라고 주장하는 메시지는 사람들이 이미 뉴스에서 결제 회사에 대해 듣고 있을 때 효과적으로 도달할 수 있다.

개인 데이터가 실제로 도난당했을 때, 대부분의 피해는 후속 사기에서 발생한다. 플로리다 DMV 데이터 침해에 대한 우리의 보도는 노출된 개인 정보가 초기 사건이 뉴스에서 사라진 훨씬 후에도 어떻게 이후의 사기에 영향을 미칠 수 있는지를 보여주는 좋은 예이다.

주장이 미검증인 동안의 실질적 조치

공황에 빠질 필요도 없고, 확인을 기다릴 필요도 없이 현명하고 저비용의 예방 조치를 취할 수 있다.

  1. 카드 및 은행 명세서를 주시하라. 소액의 낯선 청구와 큰 청구를 모두 확인하라. 소액 테스트 거래는 카드 사기의 흔한 첫 단계이다. 가능하다면 은행 앱에서 거래 알림을 켜라.
  2. 2단계 인증(2FA)을 활성화하라. 이메일, 은행, 결제를 처리하는 모든 계정을 우선하라. 앱 기반 인증기 또는 하드웨어 키가 일반적으로 SMS 코드보다 강력하다.
  3. 판매자 테마 메시지에 회의적이어라. 결제 문제, 환불, 또는 계정 확인에 관한 이메일이나 문자를 경계하라. 링크를 클릭하지 말고, 판매자의 앱을 열거나 주소를 직접 입력하라.
  4. 고유한 비밀번호를 사용하라. 비밀번호 관리자가 이를 현실적으로 만들어 준다. 하나의 계정이 노출되더라도 고유한 비밀번호는 문제가 확산되는 것을 막는다.
  5. 공식 통지를 기다려라. 회사가 사건을 확인하고 당신에게 통지하면, 그 지침을 따르고, 공식 사이트에 직접 접속하여 통지가 진짜인지 확인하라.

이것이 당신에게 의미하는 것

대부분의 사람에게 올바른 자세는 경계이지 경보가 아니다. 주장은 미검증이며, 당신의 데이터가 탈취되었다는 확인된 증거는 제시되지 않았다. 그러나 위의 예방 조치는 비용이 거의 들지 않으며, 이 이야기가 사실로 밝혀지든, 부분적으로 사실이든, 거짓이든 당신을 보호한다.

결제 플랫폼을 사용하는 사업을 운영한다면, 누가 당신의 계정에 접근할 수 있는지 검토하고, 모든 직원에 대해 2FA가 켜져 있는지 확인하며, 제공업체의 공식 커뮤니케이션을 주시하는 것이 합리적이다. 또한 Backbase와 Global-e 같은 제3자 회사를 언급하는 주장은 단일 결제 체인에 얼마나 많은 회사가 존재할 수 있는지를 부각시킨다는 점을 명심하라.

핵심 요약

Stripe ShinyHunters 갈취 주장은 현재로서는 주장일 뿐이다. Stripe 또는 다른 지목된 회사들이 세부사항을 확인하거나 독립적인 증거가 나오기 전까지, 책임 있는 접근 방식은 최악의 상황을 가정하지 않고 이야기를 따라가는 것이다. 그동안 카드 명세서를 모니터링하고, 2FA를 켜고, 판매자 테마의 모든 메시지를 의심스럽게 대하라. 도난당한 개인 데이터가 이후 사기를 어떻게 부추기는지 살펴보려면 플로리다 DMV 침해에 관한 우리의 보고서를 읽고, 주장이 검증되거나 반박되면 업데이트를 위해 이곳을 다시 확인하라.