Связанные с ShinyHunters субъекты публично выдвигают ряд заявлений о Stripe, но ни одно из них не подтверждено. Заявления ShinyHunters о вымогательстве у Stripe включают сообщения о требовании в $1 млн, предполагаемые zero-day уязвимости RDP и данные, якобы связанные с двумя другими компаниями — Backbase и Global-e. Поскольку ситуация развивается, а доказательства скудны, стоит отделить то, что утверждается, от того, что действительно известно.

Что утверждают связанные с ShinyHunters субъекты

Согласно репортажу TechNadu, заявления, приписываемые связанным с ShinyHunters субъектам, делятся на несколько категорий:

  • Требование выкупа в $1 млн, адресованное Stripe.
  • Предполагаемый доступ к миллионам аккаунтов, как сформулировано в заголовке исходного репортажа.
  • Предполагаемые zero-day уязвимости RDP. RDP — это протокол удалённого рабочего стола, технология, позволяющая подключаться к компьютеру и управлять им удалённо. Zero-day — это уязвимость, о которой поставщик ещё не знает или которую он не исправил.
  • Данные, якобы полученные от Backbase и Global-e, двух других компаний, упомянутых в заявлениях.

В резюме источника прямо указано одно: ни одно из этих заявлений не подтверждено. Это важно, поскольку группировки, занимающиеся вымогательством, часто делают громкие публичные заявления, чтобы усилить давление, и эти заявления не всегда соответствуют тому, что произошло на самом деле.

Что подтверждено, а что нет

Вот простое разграничение на основе имеющейся информации.

Подтверждено: только то, что заявления публично циркулируют и что их приписывают связанным с ShinyHunters субъектам.

Не подтверждено:

  • Была ли Stripe действительно взломана
  • Было ли требование выкупа действительно отправлено и какова его сумма
  • Существуют ли zero-day уязвимости RDP
  • Являются ли данные Backbase и Global-e подлинными
  • Сколько аккаунтов, если таковые имеются, было затронуто

Нет подтверждённого масштаба воздействия, нет подтверждённых технических деталей и нет подтверждённого заявления, на которое мы могли бы опереться, описывая, какие данные могли быть раскрыты. Мы не повторяем никаких цифр, кроме тех, что приведены в исходном репортаже, и читателям следует с осторожностью относиться к любым другим числам, гуляющим вокруг.

Стоит также отметить разницу между заявлением о компании и заявлением о её клиентах. Субъект угрозы может заявлять о доступе к платформе, к стороннему поставщику или просто к набору данных, который выглядит убедительно. Каждый из этих вариантов несёт совершенно разные риски для обычных людей.

Почему заявления о взломе платёжных платформ важны для потребителей

Платёжные платформы стоят за огромным количеством онлайн-платежей, а значит, заявление, касающееся одной из них, может затронуть людей, которые никогда не слышали об этой компании. Большинство потребителей не выбирают своего платёжного процессора — это делает продавец. Из-за этого трудно понять, находитесь ли вы вообще в потенциальной зоне поражения.

Даже когда заявление о взломе оказывается преувеличенным, вызванное им внимание обычно полезно мошенникам. Преступникам не нужно, чтобы ваши данные оказались в реальной утечке, чтобы воспользоваться заголовками. Сообщения, которые якобы касаются «инцидента безопасности», «возврата средств» или «неудачного платежа», могут хорошо срабатывать, когда люди уже слышат о платёжной компании в новостях.

Когда персональные данные действительно украдены, большая часть ущерба приходится на последующее мошенничество. Наш материал об утечке данных DMV Флориды — хороший пример того, как раскрытые личные данные могут питать последующие мошеннические схемы спустя долгое время после того, как первоначальный инцидент исчезает из новостей.

Практические шаги, пока заявления не подтверждены

Вам не нужно паниковать, и вам не нужно ждать подтверждения, чтобы принять разумные и недорогие меры предосторожности.

  1. Следите за выписками по карте и банковскому счёту. Проверяйте как мелкие, так и крупные незнакомые списания. Небольшие тестовые транзакции — распространённый первый шаг карточного мошенничества. Включите уведомления о транзакциях в банковском приложении, если это возможно.
  2. Включите двухфакторную аутентификацию (2FA). В первую очередь для электронной почты, банка и любого аккаунта, связанного с платежами. Аутентификатор на основе приложения или аппаратный ключ, как правило, надёжнее SMS-кодов.
  3. Скептически относитесь к сообщениям от имени продавцов. Остерегайтесь писем или сообщений о проблемах с оплатой, возвратах средств или проверке аккаунта. Не переходите по ссылке; откройте приложение продавца или введите его адрес самостоятельно.
  4. Используйте уникальные пароли. Менеджер паролей делает это реалистичным. Если один аккаунт раскрыт, уникальные пароли не дают проблеме распространиться.
  5. Дождитесь официальных уведомлений. Если компания подтвердит инцидент и уведомит вас, следуйте её инструкциям и проверьте подлинность уведомления, зайдя напрямую на официальный сайт.

Что это значит для вас

Для большинства людей правильная позиция — осведомлённость, а не тревога. Заявления не подтверждены, и не представлено никаких подтверждённых доказательств того, что ваши данные были похищены. Но перечисленные выше меры предосторожности стоят немного и защищают вас независимо от того, окажется ли эта история правдивой, частично правдивой или ложной.

Если вы руководите бизнесом, использующим платёжную платформу, разумно проверить, у кого есть доступ к вашему аккаунту, убедиться, что 2FA включена для всех сотрудников, и следить за официальными сообщениями от ваших поставщиков. Также имейте в виду, что заявления, упоминающие сторонние фирмы вроде Backbase и Global-e, подчёркивают, сколько компаний может стоять в одной платёжной цепочке.

Главное

Заявления ShinyHunters о вымогательстве у Stripe на данный момент остаются лишь заявлениями. Пока Stripe или другие названные компании не подтвердят детали или не появятся независимые доказательства, ответственный подход — следить за историей, не предполагая худшего. Тем временем проверяйте выписки по карте, включайте 2FA и относитесь с подозрением к любым сообщениям от имени продавцов. Чтобы узнать, как украденные персональные данные питают мошенничество в дальнейшем, прочитайте наш отчёт об утечке данных DMV Флориды, и заглядывайте сюда за обновлениями, если заявления будут подтверждены или опровергнуты.