Atores ligados ao ShinyHunters estão fazendo publicamente uma série de alegações sobre o Stripe, mas nenhuma delas foi verificada. As alegações de extorsão do Stripe ShinyHunters incluem uma exigência reportada de US$ 1 milhão, supostos zero-days de RDP e supostos dados ligados a duas outras empresas, Backbase e Global-e. Como a situação está em movimento e as evidências são escassas, vale a pena separar o que está sendo alegado do que é realmente conhecido.
O que os atores ligados ao ShinyHunters estão alegando
De acordo com reportagem do TechNadu, as alegações atribuídas a atores ligados ao ShinyHunters se dividem em algumas categorias:
- Uma exigência de extorsão de US$ 1 milhão direcionada ao Stripe.
- Suposto acesso a milhões de contas, conforme enquadrado na manchete do relatório de origem.
- Supostos zero-days de RDP. RDP é o Remote Desktop Protocol, a tecnologia que permite às pessoas se conectarem e controlarem um computador remotamente. Um zero-day é uma falha que o fornecedor ainda não conhece ou não corrigiu.
- Supostos dados da Backbase e da Global-e, duas outras empresas citadas nas alegações.
O resumo da fonte é explícito em um ponto: nenhuma dessas alegações foi confirmada. Isso importa, porque grupos de extorsão frequentemente fazem declarações públicas ousadas para criar pressão, e essas declarações nem sempre correspondem ao que realmente aconteceu.
O que está confirmado e o que não está
Aqui está a divisão simples com base nas informações disponíveis.
Confirmado: Apenas que alegações estão circulando publicamente e que foram atribuídas a atores ligados ao ShinyHunters.
Não confirmado:
- Se o Stripe foi realmente invadido
- Se alguma exigência de extorsão foi realmente enviada, ou seu valor
- Se os zero-days de RDP existem
- Se os dados da Backbase e da Global-e são autênticos
- Quantas contas, se alguma, foram afetadas
Não há escala de impacto verificada, nenhum detalhe técnico confirmado e nenhuma declaração confirmada em que possamos nos basear para descrever quais dados podem ter sido expostos. Não estamos repetindo nenhum número além dos presentes na reportagem de origem, e os leitores devem tratar com cautela quaisquer outros números que estejam circulando.
Também vale notar a diferença entre uma alegação sobre uma empresa e uma alegação sobre seus clientes. Um ator de ameaça pode alegar acesso a uma plataforma, a um fornecedor terceirizado ou simplesmente a um conjunto de dados que parece convincente. Cada um desses cenários carrega riscos muito diferentes para pessoas comuns.
Por que alegações de invasão de plataformas de pagamento importam para os consumidores
Plataformas de pagamento estão por trás de um enorme número de checkouts online, o que significa que uma alegação envolvendo uma delas pode atingir pessoas que nunca ouviram falar da empresa. A maioria dos consumidores não escolhe seu processador de pagamentos; o comerciante escolhe. Isso torna difícil saber se você está sequer no possível raio de impacto.
Mesmo quando uma alegação de invasão se revela exagerada, a atenção que ela gera tende a ser útil para golpistas. Criminosos não precisam que seus dados estejam em um vazamento real para tirar proveito das manchetes. Mensagens que alegam tratar de um "incidente de segurança", um "reembolso" ou um "pagamento falhou" podem funcionar bem quando as pessoas já estão ouvindo falar de uma empresa de pagamentos nas notícias.
Quando dados pessoais realmente são roubados, a fraude subsequente é onde ocorre a maior parte do dano. Nossa cobertura da violação de dados do DMV da Flórida é um bom exemplo de como detalhes pessoais expostos podem alimentar golpes posteriores, muito tempo depois de o incidente inicial desaparecer das notícias.
Medidas práticas enquanto as alegações não são verificadas
Você não precisa entrar em pânico, e não precisa esperar por uma confirmação para tomar precauções sensatas e de baixo custo.
- Acompanhe suas faturas de cartão e extratos bancários. Verifique cobranças pequenas e desconhecidas, assim como as grandes. Pequenas transações de teste são um primeiro passo comum na fraude de cartão. Ative alertas de transação no aplicativo do seu banco, se disponível.
- Ative a autenticação de dois fatores (2FA). Priorize seu e-mail, banco e qualquer conta que lide com pagamentos. Um autenticador baseado em aplicativo ou uma chave de hardware geralmente é mais forte que códigos por SMS.
- Desconfie de mensagens com tema de comerciante. Tenha cautela com e-mails ou textos sobre problemas de pagamento, reembolsos ou verificação de conta. Não clique no link; abra o aplicativo do comerciante ou digite o endereço você mesmo.
- Use senhas exclusivas. Um gerenciador de senhas torna isso realista. Se uma conta for exposta, senhas exclusivas impedem que o problema se espalhe.
- Aguarde avisos oficiais. Se uma empresa confirmar um incidente e notificar você, siga suas instruções e verifique se o aviso é real acessando o site oficial diretamente.
O que isso significa para você
Para a maioria das pessoas, a postura correta é a conscientização, não o alarme. As alegações não são verificadas, e nenhuma evidência confirmada foi apresentada de que seus dados foram obtidos. Mas as precauções acima custam pouco e protegem você quer esta história se prove verdadeira, parcialmente verdadeira ou falsa.
Se você administra um negócio que usa uma plataforma de pagamento, é razoável revisar quem tem acesso à sua conta, confirmar que o 2FA está ativado para toda a equipe e ficar atento a comunicações oficiais dos seus provedores. Tenha também em mente que alegações referenciando empresas terceirizadas como Backbase e Global-e ressaltam quantas empresas podem estar em uma única cadeia de pagamento.
A conclusão
As alegações de extorsão do Stripe ShinyHunters são, por ora, apenas alegações. Até que o Stripe ou as outras empresas citadas confirmem detalhes, ou que evidências independentes surjam, a abordagem responsável é acompanhar a história sem assumir o pior. Enquanto isso, monitore suas faturas de cartão, ative o 2FA e trate qualquer mensagem com tema de comerciante com desconfiança. Para uma visão de como dados pessoais roubados alimentam golpes posteriormente, leia nosso relatório sobre a violação do DMV da Flórida, e volte aqui para atualizações caso as alegações sejam verificadas ou refutadas.
