Aktörer kopplade till ShinyHunters kommer offentligt med en rad påståenden om Stripe, men inget av dem har verifierats. Stripes ShinyHunters-utpressningspåståenden omfattar ett rapporterat krav på 1 miljon dollar, påstådda RDP-nolldagar och uppgivna data kopplade till två andra företag, Backbase och Global-e. Eftersom situationen är i rörelse och bevisen är tunna är det värt att skilja på vad som påstås och vad som faktiskt är känt.

Vad aktörer kopplade till ShinyHunters påstår

Enligt rapportering från TechNadu faller påståendena som tillskrivs aktörer kopplade till ShinyHunters i några få kategorier:

  • Ett utpressningskrav på 1 miljon dollar riktat mot Stripe.
  • Påstådd åtkomst till miljoner konton, såsom det formuleras i rubriken för källrapporten.
  • Påstådda RDP-nolldagar. RDP är Remote Desktop Protocol, tekniken som låter människor ansluta till och kontrollera en dator på distans. En nolldag är en sårbarhet som leverantören ännu inte känner till eller inte har åtgärdat.
  • Uppgivna data från Backbase och Global-e, två andra företag som namnges i påståendena.

Källsammanfattningen är tydlig på en punkt: inget av dessa påståenden har bekräftats. Det spelar roll, eftersom utpressningsgrupper ofta kommer med djärva offentliga uttalanden för att bygga upp press, och dessa uttalanden stämmer inte alltid med vad som faktiskt har hänt.

Vad som är bekräftat och vad som inte är det

Här är den enkla genomgången baserad på den tillgängliga informationen.

Bekräftat: Endast att påståenden cirkulerar offentligt och att de har tillskrivits aktörer kopplade till ShinyHunters.

Inte bekräftat:

  • Huruvida Stripe faktiskt har utsatts för intrång
  • Huruvida något utpressningskrav verkligen har skickats, eller dess belopp
  • Huruvida RDP-nolldagarna existerar
  • Huruvida datan från Backbase och Global-e är autentisk
  • Hur många konton, om några, som har påverkats

Det finns ingen verifierad omfattning av påverkan, inga bekräftade tekniska detaljer och inget bekräftat uttalande som vi kan lita på för att beskriva vilka data som kan ha exponerats. Vi upprepar inte några siffror utöver dem i källrapporteringen, och läsare bör behandla alla andra siffror som cirkulerar med försiktighet.

Det är också värt att notera skillnaden mellan ett påstående om ett företag och ett påstående om dess kunder. En hotaktör kan påstå åtkomst till en plattform, till en tredjepartsleverantör eller helt enkelt till en datauppsättning som ser övertygande ut. Var och en av dessa innebär mycket olika risk för vanliga människor.

Varför påståenden om intrång hos betalningsplattformar spelar roll för konsumenter

Betalningsplattformar ligger bakom ett enormt antal onlinekassor, vilket innebär att ett påstående som rör en av dem kan beröra människor som aldrig har hört talas om företaget. De flesta konsumenter väljer inte sin betalningsleverantör; det gör handlaren. Det gör det svårt att veta om du ens befinner dig inom den potentiella riskzonen.

Även när ett intrångspåstående visar sig vara överdrivet tenderar uppmärksamheten det genererar att vara användbar för bedragare. Kriminella behöver inte att dina data finns i en verklig läcka för att dra nytta av rubrikerna. Meddelanden som påstår sig handla om en "säkerhetsincident", en "återbetalning" eller en "misslyckad betalning" kan landa väl när människor redan hör talas om ett betalningsföretag i nyheterna.

När personuppgifter verkligen stjäls är det uppföljningsbedrägerierna där det mesta av skadan sker. Vår rapportering om Florida DMV-dataintrånget är ett bra exempel på hur exponerade personuppgifter kan driva senare bedrägerier, långt efter att den initiala incidenten har bleknat från nyheterna.

Praktiska steg medan påståendena är overifierade

Du behöver inte få panik, och du behöver inte vänta på en bekräftelse för att vidta förnuftiga, billiga försiktighetsåtgärder.

  1. Håll koll på dina kontoutdrag och bankutdrag. Leta efter små, obekanta debiteringar såväl som stora. Små testtransaktioner är ett vanligt första steg i kortbedrägerier. Aktivera transaktionsaviseringar i din bankapp om det är möjligt.
  2. Aktivera tvåfaktorsautentisering (2FA). Prioritera din e-post, din bank och alla konton som hanterar betalningar. En appbaserad autentiserare eller en hårdvarunyckel är i allmänhet starkare än SMS-koder.
  3. Var skeptisk till handlartematiska meddelanden. Var försiktig med e-post eller sms om betalningsproblem, återbetalningar eller kontoverifiering. Klicka inte på länken; öppna handlarens app eller skriv in adressen själv.
  4. Använd unika lösenord. En lösenordshanterare gör detta realistiskt. Om ett konto exponeras hindrar unika lösenord problemet från att spridas.
  5. Vänta på officiella meddelanden. Om ett företag bekräftar en incident och meddelar dig, följ dess instruktioner och verifiera att meddelandet är äkta genom att gå direkt till den officiella webbplatsen.

Vad detta innebär för dig

För de flesta är rätt hållning medvetenhet, inte alarm. Påståendena är overifierade, och inga bekräftade bevis har lagts fram för att dina data skulle ha tagits. Men försiktighetsåtgärderna ovan kostar lite och skyddar dig oavsett om den här historien visar sig vara sann, delvis sann eller falsk.

Om du driver ett företag som använder en betalningsplattform är det rimligt att granska vem som har åtkomst till ditt konto, bekräfta att 2FA är aktiverat för all personal och hålla utkik efter officiell kommunikation från dina leverantörer. Tänk också på att påståenden som refererar till tredjepartsföretag som Backbase och Global-e understryker hur många företag som kan ingå i en enda betalkedja.

Sammanfattning

Stripes ShinyHunters-utpressningspåståenden är för närvarande bara påståenden. Tills Stripe eller de andra namngivna företagen bekräftar detaljer, eller oberoende bevis framkommer, är det ansvarsfulla tillvägagångssättet att följa historien utan att anta det värsta. Under tiden bör du övervaka dina kontoutdrag, aktivera 2FA och behandla alla handlartematiska meddelanden med misstänksamhet. För en inblick i hur stulna personuppgifter driver bedrägerier längre fram, läs vår rapport om Florida DMV-intrånget, och kom tillbaka hit för uppdateringar om påståendena verifieras eller motbevisas.