Các đối tượng có liên hệ với ShinyHunters đang công khai đưa ra một loạt tuyên bố về Stripe, nhưng không có tuyên bố nào trong số đó được xác minh. Các tuyên bố tống tiền của ShinyHunters nhắm vào Stripe bao gồm một yêu cầu trị giá 1 triệu USD được báo cáo, các lỗ hổng zero-day RDP được cho là có thật, và dữ liệu được cho là có liên quan đến hai công ty khác, Backbase và Global-e. Vì tình hình đang diễn biến và bằng chứng còn mỏng, nên cần phân tách rõ giữa những gì đang được cáo buộc và những gì thực sự được biết.
Những gì các đối tượng có liên hệ với ShinyHunters đang tuyên bố
Theo báo cáo từ TechNadu, các tuyên bố được quy cho các đối tượng có liên hệ với ShinyHunters thuộc một vài nhóm:
- Một yêu cầu tống tiền 1 triệu USD nhắm vào Stripe.
- Quyền truy cập được cho là vào hàng triệu tài khoản, như được nêu trong tiêu đề của báo cáo nguồn.
- Các lỗ hổng zero-day RDP được cho là có thật. RDP là Remote Desktop Protocol, công nghệ cho phép mọi người kết nối và điều khiển máy tính từ xa. Zero-day là một lỗ hổng mà nhà cung cấp chưa biết đến hoặc chưa vá.
- Dữ liệu được cho là từ Backbase và Global-e, hai công ty khác được nêu tên trong các tuyên bố.
Bản tóm tắt nguồn nói rõ một điểm: không có tuyên bố nào trong số này được xác nhận. Điều đó quan trọng, bởi vì các nhóm tống tiền thường đưa ra những tuyên bố công khai táo bạo để tạo áp lực, và những tuyên bố đó không phải lúc nào cũng khớp với những gì thực sự đã xảy ra.
Những gì đã được xác nhận và những gì chưa
Dưới đây là phân tích rõ ràng dựa trên thông tin hiện có.
Đã xác nhận: Chỉ có việc các tuyên bố đang lan truyền công khai và chúng được quy cho các đối tượng có liên hệ với ShinyHunters.
Chưa được xác nhận:
- Liệu Stripe có thực sự bị xâm phạm hay không
- Liệu có yêu cầu tống tiền nào thực sự được gửi đi hay không, hoặc số tiền của nó
- Liệu các lỗ hổng zero-day RDP có tồn tại hay không
- Liệu dữ liệu của Backbase và Global-e có xác thực hay không
- Có bao nhiêu tài khoản, nếu có, bị ảnh hưởng
Không có quy mô tác động nào được xác minh, không có chi tiết kỹ thuật nào được xác nhận, và không có tuyên bố nào được xác nhận mà chúng ta có thể dựa vào để mô tả dữ liệu nào có thể đã bị lộ. Chúng tôi không lặp lại bất kỳ con số nào ngoài những con số trong báo cáo nguồn, và độc giả nên thận trọng với bất kỳ con số nào khác đang lan truyền.
Cũng đáng lưu ý sự khác biệt giữa tuyên bố về một công ty và tuyên bố về khách hàng của công ty đó. Một tác nhân đe dọa có thể tuyên bố có quyền truy cập vào một nền tảng, vào một nhà cung cấp bên thứ ba, hoặc đơn giản là vào một tập dữ liệu trông có vẻ thuyết phục. Mỗi trường hợp trong số đó mang lại rủi ro rất khác nhau đối với người dân thông thường.
Tại sao các tuyên bố về xâm phạm nền tảng thanh toán lại quan trọng đối với người tiêu dùng
Các nền tảng thanh toán nằm phía sau một lượng lớn các giao dịch thanh toán trực tuyến, nghĩa là một tuyên bố liên quan đến một nền tảng như vậy có thể ảnh hưởng đến những người chưa từng nghe đến công ty đó. Hầu hết người tiêu dùng không tự chọn nhà xử lý thanh toán của mình; người bán mới là người chọn. Điều đó khiến việc biết liệu bạn có nằm trong vùng ảnh hưởng tiềm tàng hay không trở nên khó khăn.
Ngay cả khi một tuyên bố về xâm phạm hóa ra là phóng đại, sự chú ý mà nó tạo ra thường có lợi cho những kẻ lừa đảo. Tội phạm không cần dữ liệu của bạn nằm trong một vụ rò rỉ thực sự để lợi dụng các tiêu đề tin tức. Những tin nhắn tự nhận là về một "sự cố bảo mật", một "khoản hoàn tiền" hoặc một "thanh toán thất bại" có thể phát huy hiệu quả khi mọi người đã nghe nói về một công ty thanh toán trên tin tức.
Khi dữ liệu cá nhân thực sự bị đánh cắp, gian lận tiếp theo mới là nơi phần lớn thiệt hại xảy ra. Bài đưa tin của chúng tôi về vụ xâm phạm dữ liệu của DMV Florida là một ví dụ điển hình về cách các chi tiết cá nhân bị lộ có thể nuôi dưỡng các vụ lừa đảo sau này, rất lâu sau khi sự cố ban đầu phai nhạt khỏi tin tức.
Các bước thực tế trong khi các tuyên bố chưa được xác minh
Bạn không cần phải hoảng sợ, và bạn cũng không cần phải chờ xác nhận để thực hiện các biện pháp phòng ngừa hợp lý, ít tốn kém.
- Theo dõi sao kê thẻ và ngân hàng của bạn. Kiểm tra các khoản phí nhỏ, không quen thuộc cũng như các khoản lớn. Các giao dịch thử nghiệm nhỏ là bước đầu tiên phổ biến trong gian lận thẻ. Bật thông báo giao dịch trong ứng dụng ngân hàng của bạn nếu có.
- Bật xác thực hai yếu tố (2FA). Ưu tiên email, ngân hàng và bất kỳ tài khoản nào xử lý thanh toán. Ứng dụng xác thực hoặc khóa phần cứng thường mạnh hơn mã SMS.
- Hãy hoài nghi với các tin nhắn mang chủ đề người bán. Cẩn thận với email hoặc tin nhắn văn bản về sự cố thanh toán, hoàn tiền hoặc xác minh tài khoản. Không nhấp vào liên kết; hãy mở ứng dụng của người bán hoặc tự gõ địa chỉ của họ.
- Sử dụng mật khẩu duy nhất. Trình quản lý mật khẩu giúp việc này trở nên khả thi. Nếu một tài khoản bị lộ, mật khẩu duy nhất sẽ ngăn vấn đề lan rộng.
- Chờ thông báo chính thức. Nếu một công ty xác nhận sự cố và thông báo cho bạn, hãy làm theo hướng dẫn của họ, và xác minh rằng thông báo đó là thật bằng cách truy cập trực tiếp vào trang web chính thức.
Điều này có nghĩa gì đối với bạn
Đối với hầu hết mọi người, thái độ đúng đắn là nhận thức, không phải báo động. Các tuyên bố chưa được xác minh, và không có bằng chứng nào được xác nhận rằng dữ liệu của bạn đã bị lấy đi. Nhưng các biện pháp phòng ngừa ở trên tốn rất ít và bảo vệ bạn dù câu chuyện này hóa ra là đúng, đúng một phần hay sai.
Nếu bạn điều hành một doanh nghiệp sử dụng nền tảng thanh toán, việc xem xét ai có quyền truy cập vào tài khoản của bạn, xác nhận rằng 2FA được bật cho tất cả nhân viên, và theo dõi các thông tin liên lạc chính thức từ các nhà cung cấp của bạn là hợp lý. Cũng cần lưu ý rằng các tuyên bố đề cập đến các công ty bên thứ ba như Backbase và Global-e nhấn mạnh rằng có bao nhiêu công ty có thể nằm trong một chuỗi thanh toán duy nhất.
Kết luận
Các tuyên bố tống tiền của ShinyHunters nhắm vào Stripe hiện tại chỉ là những tuyên bố. Cho đến khi Stripe hoặc các công ty được nêu tên khác xác nhận chi tiết, hoặc bằng chứng độc lập xuất hiện, cách tiếp cận có trách nhiệm là theo dõi câu chuyện mà không giả định điều tồi tệ nhất. Trong thời gian chờ đợi, hãy theo dõi sao kê thẻ của bạn, bật 2FA, và đối xử với bất kỳ tin nhắn mang chủ đề người bán nào bằng sự nghi ngờ. Để xem cách dữ liệu cá nhân bị đánh cắp thúc đẩy các vụ lừa đảo về sau, hãy đọc báo cáo của chúng tôi về vụ xâm phạm DMV Florida, và quay lại đây để cập nhật nếu các tuyên bố được xác minh hoặc bác bỏ.
