Is Stripe daadwerkelijk gehackt door ShinyHunters?

Nee, dat is niet bevestigd. Het artikel stelt dat alleen het bestaan van publiekelijk circulerende claims die worden toegeschreven aan aan ShinyHunters gelinkte actoren is bevestigd, niet of Stripe daadwerkelijk is gehackt.

Waar gaat de afpersingseis van $1 miljoen over?

Aan ShinyHunters gelinkte actoren zouden een afpersingseis van $1 miljoen aan Stripe stellen. Het artikel merkt echter op dat het onbevestigd is of er echt een afpersingseis is verzonden, of wat het bedrag daarvan is.

Wat zijn de beweerde RDP-zero-days?

De claims omvatten beweerde RDP-zero-days, waarbij RDP (Remote Desktop Protocol) mensen in staat stelt op afstand verbinding te maken met een computer en deze te besturen, en een zero-day een kwetsbaarheid is die de leverancier nog niet kent of nog niet heeft gepatcht. Of deze zero-days daadwerkelijk bestaan, is niet bevestigd.

Wat is de rol van Backbase en Global-e in deze claims?

Backbase en Global-e zijn twee andere bedrijven die in de claims worden genoemd, met vermeende data die aan hen wordt toegeschreven. Of die data authentiek is, is niet bevestigd.

Waarom zouden consumenten zich druk maken om claims over datalekken bij betaalplatformen, zelfs als deze onbevestigd zijn?

Betaalplatformen zitten achter een enorm aantal online afrekenprocessen, en de meeste consumenten kiezen hun betaalverwerker niet, waardoor het moeilijk is om te weten of je binnen de mogelijke gevarenzone valt. Zelfs overdreven lekclaims zijn doorgaans nuttig voor oplichters, die krantenkoppen kunnen uitbuiten met berichten over een 'beveiligingsincident', 'terugbetaling' of 'mislukte betaling'.

Stripe ShinyHunters-afpersingsclaims: eis van $1 mln onbevestigd

Aan ShinyHunters gelinkte actoren doen publiekelijk een reeks beweringen over Stripe, maar geen daarvan is geverifieerd. De Stripe ShinyHunters-afpersingsclaims omvatten een gemelde eis van $1 miljoen, beweerde RDP-zero-days en vermeende data die verband houdt met twee andere bedrijven, Backbase en Global-e. Omdat de situatie in beweging is en het bewijs dun is, loont het om te scheiden wat er wordt beweerd van wat er daadwerkelijk bekend is.

Wat aan ShinyHunters gelinkte actoren beweren

Volgens berichtgeving van TechNadu vallen de claims die worden toegeschreven aan aan ShinyHunters gelinkte actoren in een paar categorieën:

Een afpersingseis van $1 miljoen gericht aan Stripe.
Beweerde toegang tot miljoenen accounts, zoals verwoord in de kop van het bronrapport.
Beweerde RDP-zero-days. RDP is Remote Desktop Protocol, de technologie waarmee mensen op afstand verbinding kunnen maken met een computer en deze kunnen besturen. Een zero-day is een kwetsbaarheid die de leverancier nog niet kent of nog niet heeft gepatcht.
Vermeende data van Backbase en Global-e, twee andere bedrijven die in de claims worden genoemd.

De samenvatting van de bron is expliciet op één punt: geen van deze claims is bevestigd. Dat is belangrijk, omdat afpersingsgroepen vaak gedurfde publieke verklaringen afleggen om druk op te bouwen, en die verklaringen niet altijd overeenkomen met wat er werkelijk is gebeurd.

Wat wel en niet is bevestigd

Hier is de eenvoudige uiteenzetting op basis van de beschikbare informatie.

Bevestigd: Alleen dat er publiekelijk claims circuleren en dat deze zijn toegeschreven aan aan ShinyHunters gelinkte actoren.

Niet bevestigd:

Of Stripe daadwerkelijk is gehackt
Of er echt een afpersingseis is verzonden, of het bedrag daarvan
Of de RDP-zero-days bestaan
Of de data van Backbase en Global-e authentiek is
Hoeveel accounts, indien überhaupt, zijn getroffen

Er is geen geverifieerde omvang van de impact, geen bevestigde technische details en geen bevestigde verklaring waarop we kunnen vertrouwen om te beschrijven welke data mogelijk is blootgelegd. We herhalen geen andere cijfers dan die in de bronberichtgeving, en lezers moeten voorzichtig omgaan met alle andere getallen die rondgaan.

Het is ook de moeite waard om het verschil op te merken tussen een claim over een bedrijf en een claim over zijn klanten. Een dreigingsactor kan beweren toegang te hebben tot een platform, tot een externe leverancier, of simpelweg tot een dataset die overtuigend lijkt. Elk daarvan brengt heel verschillende risico's met zich mee voor gewone mensen.

Waarom claims over datalekken bij betaalplatformen van belang zijn voor consumenten

Betaalplatformen zitten achter een enorm aantal online afrekenprocessen, wat betekent dat een claim over één ervan mensen kan raken die nog nooit van het bedrijf hebben gehoord. De meeste consumenten kiezen hun betaalverwerker niet; de handelaar doet dat. Dat maakt het moeilijk om te weten of je zelfs maar binnen de mogelijke gevarenzone valt.

Zelfs wanneer een lekclaim overdreven blijkt te zijn, is de aandacht die het genereert doorgaans nuttig voor oplichters. Criminelen hebben je data niet in een echt lek nodig om voordeel te trekken uit de krantenkoppen. Berichten die beweren over een "beveiligingsincident", een "terugbetaling" of een "mislukte betaling" te gaan, kunnen goed aankomen wanneer mensen al horen over een betaalbedrijf in het nieuws.

Wanneer persoonlijke data echt wordt gestolen, gebeurt de meeste schade bij de daaropvolgende fraude. Onze berichtgeving over het datalek bij de Florida DMV is een goed voorbeeld van hoe blootgestelde persoonlijke gegevens later oplichting kunnen voeden, lang nadat het oorspronkelijke incident uit het nieuws is verdwenen.

Praktische stappen zolang de claims onbevestigd zijn

Je hoeft niet in paniek te raken, en je hoeft niet te wachten op een bevestiging om verstandige, goedkope voorzorgsmaatregelen te nemen.

Houd je kaart- en bankafschriften in de gaten. Let op kleine, onbekende afschrijvingen naast grote. Kleine testtransacties zijn een veelvoorkomende eerste stap bij kaartfraude. Schakel transactiemeldingen in je bankapp in indien beschikbaar.
Schakel tweefactorauthenticatie (2FA) in. Geef prioriteit aan je e-mail, bank en elk account dat betalingen afhandelt. Een app-gebaseerde authenticator of een hardwarematige sleutel is over het algemeen sterker dan sms-codes.
Wees sceptisch over berichten namens handelaren. Wees voorzichtig met e-mails of sms'jes over betalingsproblemen, terugbetalingen of accountverificatie. Klik niet op de link; open de app van de handelaar of typ het adres zelf.
Gebruik unieke wachtwoorden. Een wachtwoordmanager maakt dit realistisch. Als één account wordt blootgelegd, voorkomen unieke wachtwoorden dat het probleem zich verspreidt.
Wacht op officiële berichten. Als een bedrijf een incident bevestigt en je op de hoogte stelt, volg dan de instructies op en verifieer dat het bericht echt is door rechtstreeks naar de officiële site te gaan.

Wat dit voor jou betekent

Voor de meeste mensen is de juiste houding bewustzijn, niet alarm. De claims zijn onbevestigd en er is geen bevestigd bewijs gepresenteerd dat je data is ontvreemd. Maar de bovenstaande voorzorgsmaatregelen kosten weinig en beschermen je of dit verhaal nu waar, gedeeltelijk waar of onwaar blijkt te zijn.

Als je een bedrijf runt dat een betaalplatform gebruikt, is het redelijk om te controleren wie toegang heeft tot je account, te bevestigen dat 2FA aan staat voor alle medewerkers en officiële communicatie van je providers in de gaten te houden. Houd er ook rekening mee dat claims die verwijzen naar externe bedrijven zoals Backbase en Global-e onderstrepen hoeveel bedrijven er in één betaalketen kunnen zitten.

De kern van de zaak

De Stripe ShinyHunters-afpersingsclaims zijn voorlopig alleen claims. Totdat Stripe of de andere genoemde bedrijven details bevestigen, of er onafhankelijk bewijs opduikt, is de verantwoorde aanpak om het verhaal te volgen zonder het ergste aan te nemen. Houd ondertussen je kaartafschriften in de gaten, schakel 2FA in en behandel elk bericht namens een handelaar met argwaan. Voor een blik op hoe gestolen persoonlijke data later oplichting aanwakkert, lees ons rapport over het datalek bij de Florida DMV, en kom hier terug voor updates als de claims worden bevestigd of weerlegd.