Aktører knyttet til ShinyHunters fremsetter offentlig en rekke påstander om Stripe, men ingen av dem er verifisert. Stripes ShinyHunters-utpressingspåstander omfatter et rapportert krav på 1 million dollar, påståtte RDP null-dager og påstått data knyttet til to andre selskaper, Backbase og Global-e. Fordi situasjonen er i bevegelse og bevisene er tynne, er det verdt å skille mellom det som påstås og det som faktisk er kjent.

Hva aktører knyttet til ShinyHunters påstår

Ifølge rapportering fra TechNadu faller påstandene som tilskrives aktører knyttet til ShinyHunters, i noen få kategorier:

  • Et utpressingskrav på 1 million dollar rettet mot Stripe.
  • Påstått tilgang til millioner av kontoer, slik det er formulert i overskriften til kildevurderingen.
  • Påståtte RDP null-dager. RDP er Remote Desktop Protocol, teknologien som lar folk koble til og kontrollere en datamaskin eksternt. En null-dag er en sårbarhet som leverandøren ennå ikke kjenner til eller ikke har lappet.
  • Påstått data fra Backbase og Global-e, to andre selskaper som nevnes i påstandene.

Kildesammendraget er eksplisitt på ett punkt: ingen av disse påstandene er bekreftet. Det er viktig, fordi utpressingsgrupper ofte kommer med dristige offentlige uttalelser for å bygge opp press, og disse uttalelsene stemmer ikke alltid med det som faktisk skjedde.

Hva er bekreftet og hva er ikke

Her er den enkle oversikten basert på informasjonen som er tilgjengelig.

Bekreftet: Bare at påstander sirkulerer offentlig, og at de er tilskrevet aktører knyttet til ShinyHunters.

Ikke bekreftet:

  • Om Stripe faktisk ble kompromittert
  • Om et utpressingskrav virkelig ble sendt, eller beløpet
  • Om RDP null-dagene eksisterer
  • Om dataene fra Backbase og Global-e er autentiske
  • Hvor mange kontoer, om noen, som ble påvirket

Det finnes ingen verifisert omfang av påvirkningen, ingen bekreftede tekniske detaljer og ingen bekreftet uttalelse vi kan stole på for å beskrive hvilke data som kan ha blitt eksponert. Vi gjentar ikke andre tall enn de i kildens rapportering, og lesere bør behandle alle andre tall som sirkulerer med forsiktighet.

Det er også verdt å merke seg forskjellen mellom en påstand om et selskap og en påstand om kundene deres. En trusselaktør kan hevde tilgang til en plattform, til en tredjepartsleverandør, eller rett og slett til et datasett som ser overbevisende ut. Hvert av disse innebærer svært forskjellig risiko for vanlige mennesker.

Hvorfor påstander om datainnbrudd i betalingsplattformer angår forbrukere

Betalingsplattformer ligger bak et enormt antall nettkasser, noe som betyr at en påstand som involverer én kan berøre personer som aldri har hørt om selskapet. De fleste forbrukere velger ikke sin betalingsbehandler; det gjør forhandleren. Det gjør det vanskelig å vite om du i det hele tatt er i den potensielle risikosonen.

Selv når en påstand om datainnbrudd viser seg å være overdrevet, har oppmerksomheten den skaper en tendens til å være nyttig for svindlere. Kriminelle trenger ikke at dataene dine er i en ekte lekkasje for å utnytte overskriftene. Meldinger som hevder å handle om en "sikkerhetshendelse", en "refusjon" eller en "mislykket betaling" kan treffe godt når folk allerede hører om et betalingsselskap i nyhetene.

Når personopplysninger virkelig blir stjålet, er oppfølgingssvindelen der mesteparten av skaden skjer. Vår dekning av datainnbruddet hos Florida DMV er et godt eksempel på hvordan eksponerte personopplysninger kan nære senere svindelforsøk, lenge etter at den opprinnelige hendelsen har forsvunnet fra nyhetene.

Praktiske tiltak mens påstandene er uverifiserte

Du trenger ikke å få panikk, og du trenger ikke å vente på en bekreftelse for å ta fornuftige, rimelige forholdsregler.

  1. Følg med på kontoutskrifter for kort og bank. Se etter små, ukjente belastninger så vel som store. Små testtransaksjoner er et vanlig første steg i kortsvindel. Slå på transaksjonsvarsler i bankappen din hvis det er tilgjengelig.
  2. Aktiver tofaktorautentisering (2FA). Prioriter e-posten din, banken og enhver konto som håndterer betalinger. En appbasert autentiseringsløsning eller en fysisk nøkkel er generelt sterkere enn SMS-koder.
  3. Vær skeptisk til meldinger med forhandler-tema. Vær forsiktig med e-poster eller tekstmeldinger om betalingsproblemer, refusjoner eller kontobekreftelse. Ikke klikk på lenken; åpne forhandlerens app eller skriv inn adressen selv.
  4. Bruk unike passord. En passordbehandler gjør dette realistisk. Hvis én konto blir eksponert, hindrer unike passord at problemet sprer seg.
  5. Vent på offisielle varsler. Hvis et selskap bekrefter en hendelse og varsler deg, følg instruksjonene, og bekreft at varselet er ekte ved å gå direkte til det offisielle nettstedet.

Hva dette betyr for deg

For de fleste er riktig holdning bevissthet, ikke alarm. Påstandene er uverifiserte, og det er ikke lagt frem bekreftede bevis på at dataene dine er tatt. Men forholdsreglene ovenfor koster lite og beskytter deg enten denne saken viser seg å være sann, delvis sann eller usann.

Hvis du driver en virksomhet som bruker en betalingsplattform, er det rimelig å gjennomgå hvem som har tilgang til kontoen din, bekrefte at 2FA er på for alle ansatte, og følge med på offisiell kommunikasjon fra leverandørene dine. Husk også at påstander som refererer til tredjepartsselskaper som Backbase og Global-e understreker hvor mange selskaper som kan være en del av en enkelt betalingskjede.

Konklusjonen

Stripes ShinyHunters-utpressingspåstander er foreløpig bare påstander. Inntil Stripe eller de andre navngitte selskapene bekrefter detaljer, eller uavhengige bevis dukker opp, er den ansvarlige tilnærmingen å følge saken uten å anta det verste. I mellomtiden bør du overvåke kontoutskriftene dine, slå på 2FA og behandle enhver melding med forhandler-tema med mistenksomhet. For en gjennomgang av hvordan stjålne personopplysninger driver svindel senere, les rapporten vår om Florida DMV-innbruddet, og sjekk tilbake her for oppdateringer hvis påstandene blir verifisert eller tilbakevist.