Пов'язані з ShinyHunters особи публічно роблять низку заяв про Stripe, але жодна з них не була підтверджена. Заяви про вимагання ShinyHunters щодо Stripe включають повідомлену вимогу в 1 мільйон доларів, нібито RDP zero-day вразливості та дані, які нібито стосуються двох інших компаній — Backbase і Global-e. Оскільки ситуація розвивається, а доказів мало, варто відокремити те, що стверджується, від того, що насправді відомо.
Що стверджують пов'язані з ShinyHunters особи
Згідно з репортажем TechNadu, заяви, приписувані пов'язаним з ShinyHunters особам, поділяються на кілька категорій:
- Вимога викупу в 1 мільйон доларів, спрямована на Stripe.
- Нібито доступ до мільйонів акаунтів, як це сформульовано в заголовку вихідного звіту.
- Нібито RDP zero-day вразливості. RDP — це Remote Desktop Protocol, технологія, яка дозволяє людям віддалено підключатися до комп'ютера та керувати ним. Zero-day — це вразливість, про яку постачальник ще не знає або яку він не виправив.
- Дані, які нібито походять від Backbase і Global-e, двох інших компаній, названих у заявах.
У вихідному резюме чітко зазначено одне: жодна з цих заяв не була підтверджена. Це важливо, оскільки угруповання, що займаються вимаганням, часто роблять гучні публічні заяви, щоб чинити тиск, і ці заяви не завжди відповідають тому, що насправді сталося.
Що підтверджено, а що ні
Ось простий розподіл на основі наявної інформації.
Підтверджено: Лише те, що заяви публічно циркулюють і що їх приписують пов'язаним з ShinyHunters особам.
Не підтверджено:
- Чи був Stripe насправді зламаний
- Чи була насправді надіслана якась вимога викупу, чи її сума
- Чи існують RDP zero-day вразливості
- Чи є дані Backbase і Global-e автентичними
- Скільки акаунтів, якщо взагалі були, постраждали
Немає підтвердженого масштабу впливу, немає підтверджених технічних деталей і немає підтвердженої заяви, на яку ми можемо спертися, щоб описати, які дані могли бути розкриті. Ми не повторюємо жодних цифр, окрім тих, що містяться у вихідному репортажі, і читачам слід з обережністю ставитися до будь-яких інших цифр, що ширяють навколо.
Також варто відзначити різницю між заявою про компанію та заявою про її клієнтів. Загроза може стверджувати про доступ до платформи, до стороннього постачальника або просто до набору даних, який виглядає переконливо. Кожен із цих випадків несе дуже різний ризик для звичайних людей.
Чому заяви про злам платіжних платформ важливі для споживачів
Платіжні платформи стоять за величезною кількістю онлайн-кас, що означає, що заява щодо однієї з них може торкнутися людей, які ніколи не чули про цю компанію. Більшість споживачів не обирають свого платіжного процесора; це робить продавець. Тому важко дізнатися, чи ви взагалі перебуваєте в потенційній зоні ураження.
Навіть коли заява про злам виявляється перебільшеною, увага, яку вона привертає, зазвичай корисна для шахраїв. Злочинцям не потрібно, щоб ваші дані були в реальному витоку, щоб скористатися заголовками. Повідомлення, які нібито стосуються "інциденту безпеки", "повернення коштів" або "невдалого платежу", можуть добре спрацьовувати, коли люди вже чують у новинах про платіжну компанію.
Коли особисті дані справді викрадені, саме подальше шахрайство завдає найбільшої шкоди. Наше висвітлення витоку даних Florida DMV є хорошим прикладом того, як розкриті особисті дані можуть живити пізніші шахрайства, задовго після того, як початковий інцидент зникає з новин.
Практичні кроки, поки заяви не підтверджені
Вам не потрібно панікувати, і вам не потрібно чекати на підтвердження, щоб вжити розумних і недорогих запобіжних заходів.
- Стежте за виписками по картці та банківському рахунку. Перевіряйте як на невеликі незнайомі списання, так і на великі. Невеликі тестові транзакції — це поширений перший крок карткового шахрайства. Увімкніть сповіщення про транзакції у своєму банківському застосунку, якщо це доступно.
- Увімкніть двофакторну автентифікацію (2FA). Насамперед для електронної пошти, банку та будь-якого акаунта, пов'язаного з платежами. Автентифікатор на основі застосунку або апаратний ключ, як правило, надійніший за SMS-коди.
- Ставтеся зі скепсисом до повідомлень на тему продавців. Будьте обережні з електронними листами чи SMS про проблеми з оплатою, повернення коштів або перевірку акаунта. Не переходьте за посиланням; відкрийте застосунок продавця або введіть його адресу самостійно.
- Використовуйте унікальні паролі. Менеджер паролів робить це реальним. Якщо один акаунт розкрито, унікальні паролі не дають проблемі поширитися.
- Чекайте на офіційні повідомлення. Якщо компанія підтвердить інцидент і повідомить вас, дотримуйтеся її інструкцій і переконайтеся, що повідомлення справжнє, перейшовши безпосередньо на офіційний сайт.
Що це означає для вас
Для більшості людей правильна позиція — це обізнаність, а не паніка. Заяви не підтверджені, і не було надано жодних підтверджених доказів того, що ваші дані були викрадені. Але наведені вище запобіжні заходи коштують небагато і захищають вас незалежно від того, чи ця історія виявиться правдивою, частково правдивою чи хибною.
Якщо ви керуєте бізнесом, який використовує платіжну платформу, розумно перевірити, хто має доступ до вашого акаунта, переконатися, що 2FA увімкнено для всіх співробітників, і стежити за офіційними повідомленнями від ваших постачальників. Також майте на увазі, що заяви, які згадують сторонні фірми, як-от Backbase і Global-e, підкреслюють, скільки компаній може стояти в одному платіжному ланцюжку.
Головне
Заяви про вимагання ShinyHunters щодо Stripe наразі є лише заявами. Поки Stripe або інші названі компанії не підтвердять деталі, або не з'являться незалежні докази, відповідальний підхід — стежити за історією, не припускаючи найгіршого. Тим часом слідкуйте за виписками по картці, увімкніть 2FA і ставтеся з підозрою до будь-якого повідомлення на тему продавців. Щоб дізнатися, як викрадені особисті дані живлять шахрайство згодом, прочитайте наш звіт про витік даних Florida DMV, і перевіряйте тут оновлення, якщо заяви будуть підтверджені або спростовані.
