Podmioty powiązane z ShinyHunters publicznie wysuwają szereg twierdzeń dotyczących Stripe, ale żadne z nich nie zostało zweryfikowane. Rzekome roszczenia ekstorsyjne Stripe ShinyHunters obejmują zgłoszone żądanie 1 miliona dolarów, rzekome zero-day w RDP oraz domniemane dane powiązane z dwiema innymi firmami, Backbase i Global-e. Ponieważ sytuacja się rozwija, a dowody są skąpe, warto oddzielić to, co jest twierdzone, od tego, co faktycznie wiadomo.

Co twierdzą podmioty powiązane z ShinyHunters

Zgodnie z reportażem TechNadu, twierdzenia przypisywane podmiotom powiązanym z ShinyHunters można podzielić na kilka kategorii:

  • Żądanie ekstorsyjne na 1 milion dolarów skierowane do Stripe.
  • Rzekomy dostęp do milionów kont, jak ujęto w nagłówku raportu źródłowego.
  • Rzekome zero-day w RDP. RDP to Remote Desktop Protocol, technologia umożliwiająca zdalne łączenie się z komputerem i kontrolowanie go. Zero-day to luka, o której dostawca jeszcze nie wie lub której nie załatał.
  • Domniemane dane od Backbase i Global-e, dwóch innych firm wymienionych w twierdzeniach.

Podsumowanie źródła jest jednoznaczne w jednym punkcie: żadne z tych twierdzeń nie zostało potwierdzone. To ma znaczenie, ponieważ grupy ekstorsyjne często wygłaszają śmiałe publiczne oświadczenia, aby wywrzeć presję, a te oświadczenia nie zawsze odpowiadają temu, co faktycznie się wydarzyło.

Co jest potwierdzone, a co nie

Oto prosty podział oparty na dostępnych informacjach.

Potwierdzone: Jedynie to, że twierdzenia krążą publicznie i że zostały przypisane podmiotom powiązanym z ShinyHunters.

Niepotwierdzone:

  • Czy Stripe rzeczywiście zostało zhakowane
  • Czy jakiekolwiek żądanie ekstorsyjne zostało naprawdę wysłane, ani jego kwota
  • Czy zero-day w RDP istnieją
  • Czy dane Backbase i Global-e są autentyczne
  • Ile kont, jeśli w ogóle, zostało dotkniętych

Nie ma zweryfikowanej skali wpływu, potwierdzonych szczegółów technicznych ani potwierdzonego oświadczenia, na którym moglibyśmy się oprzeć, opisując, jakie dane mogły zostać ujawnione. Nie powtarzamy żadnych liczb poza tymi z raportu źródłowego, a czytelnicy powinni ostrożnie podchodzić do wszelkich innych krążących liczb.

Warto również zauważyć różnicę między twierdzeniem o firmie a twierdzeniem o jej klientach. Podmiot atakujący może twierdzić, że ma dostęp do platformy, do zewnętrznego dostawcy lub po prostu do zbioru danych, który wygląda przekonująco. Każde z tych twierdzeń niesie ze sobą bardzo różne ryzyko dla zwykłych ludzi.

Dlaczego twierdzenia o naruszeniach platform płatniczych mają znaczenie dla konsumentów

Platformy płatnicze stoją za ogromną liczbą transakcji w internecie, co oznacza, że twierdzenie dotyczące jednej z nich może dotyczyć osób, które nigdy nie słyszały o tej firmie. Większość konsumentów nie wybiera swojego operatora płatności; robi to sprzedawca. To sprawia, że trudno jest wiedzieć, czy w ogóle znajdujesz się w potencjalnym zasięgu skutków.

Nawet gdy twierdzenie o naruszeniu okaże się przesadzone, uwaga, którą przyciąga, zwykle jest użyteczna dla oszustów. Przestępcy nie potrzebują, aby twoje dane znalazły się w prawdziwym wycieku, by wykorzystać nagłówki. Wiadomości, które rzekomo dotyczą „incydentu bezpieczeństwa", „zwrotu pieniędzy" lub „nieudanej płatności", mogą dobrze trafić, gdy ludzie już słyszą o firmie płatniczej w wiadomościach.

Gdy dane osobowe naprawdę zostaną skradzione, większość szkód powstaje w wyniku późniejszych oszustw. Nasze omówienie naruszenia danych Florida DMV jest dobrym przykładem tego, jak ujawnione dane osobowe mogą zasilać późniejsze oszustwa, długo po tym, jak początkowy incydent zniknie z wiadomości.

Praktyczne kroki, gdy twierdzenia są niezweryfikowane

Nie musisz panikować i nie musisz czekać na potwierdzenie, aby podjąć rozsądne, niskokosztowe środki ostrożności.

  1. Obserwuj wyciągi z karty i konta bankowego. Sprawdzaj zarówno małe, nieznane obciążenia, jak i duże. Małe transakcje testowe są częstym pierwszym krokiem oszustwa kartowego. Włącz powiadomienia o transakcjach w aplikacji bankowej, jeśli są dostępne.
  2. Włącz uwierzytelnianie dwuskładnikowe (2FA). Priorytetowo traktuj swój e-mail, bank i wszelkie konta obsługujące płatności. Authenticator oparty na aplikacji lub klucz sprzętowy jest zazwyczaj silniejszy niż kody SMS.
  3. Bądź sceptyczny wobec wiadomości dotyczących sprzedawców. Uważaj na e-maile lub SMS-y o problemach z płatnościami, zwrotach lub weryfikacji konta. Nie klikaj linku; otwórz aplikację sprzedawcy lub sam wpisz jego adres.
  4. Używaj unikalnych haseł. Menedżer haseł czyni to realistycznym. Jeśli jedno konto zostanie ujawnione, unikalne hasła powstrzymują rozprzestrzenianie się problemu.
  5. Czekaj na oficjalne powiadomienia. Jeśli firma potwierdzi incydent i powiadomi cię, postępuj zgodnie z jej instrukcjami i zweryfikuj, że powiadomienie jest prawdziwe, wchodząc bezpośrednio na oficjalną stronę.

Co to oznacza dla ciebie

Dla większości ludzi właściwą postawą jest świadomość, a nie alarm. Twierdzenia są niezweryfikowane i nie przedstawiono żadnych potwierdzonych dowodów na to, że twoje dane zostały skradzione. Ale powyższe środki ostrożności niewiele kosztują i chronią cię niezależnie od tego, czy ta historia okaże się prawdziwa, częściowo prawdziwa, czy fałszywa.

Jeśli prowadzisz firmę korzystającą z platformy płatniczej, rozsądne jest sprawdzenie, kto ma dostęp do twojego konta, potwierdzenie, że 2FA jest włączone dla wszystkich pracowników, i obserwowanie oficjalnych komunikacji od twoich dostawców. Pamiętaj też, że twierdzenia odwołujące się do firm zewnętrznych, takich jak Backbase i Global-e, podkreślają, ile firm może znajdować się w jednym łańcuchu płatności.

Podsumowanie

Rzekome roszczenia ekstorsyjne Stripe ShinyHunters są na razie tylko twierdzeniami. Dopóki Stripe lub inne wymienione firmy nie potwierdzą szczegółów albo nie pojawią się niezależne dowody, odpowiedzialnym podejściem jest śledzenie historii bez zakładania najgorszego. W międzyczasie monitoruj wyciągi z karty, włącz 2FA i podchodź z podejrzliwością do wszelkich wiadomości dotyczących sprzedawców. Aby zobaczyć, jak skradzione dane osobowe napędzają późniejsze oszustwa, przeczytaj nasz raport o naruszeniu Florida DMV i zaglądaj tutaj po aktualizacje, jeśli twierdzenia zostaną potwierdzone lub odrzucone.