与ShinyHunters有关联的行为者正公开对Stripe提出一系列指控，但无一得到验证。Stripe ShinyHunters 勒索指控包括据报道的100万美元勒索要求、所谓的RDP零日漏洞，以及据称与另外两家公司Backbase和Global-e相关的数据。由于事态仍在发展且证据薄弱，有必要将指控内容与实际已知情况区分开来。
ShinyHunters关联行为者声称了什么
根据TechNadu的报道，归因于ShinyHunters关联行为者的指控可分为以下几类：
- 针对Stripe的100万美元勒索要求。
- 据称可访问数百万账户，如来源报道标题所述。
- 所谓的RDP零日漏洞。 RDP即远程桌面协议，是一种允许人们远程连接和控制计算机的技术。零日漏洞是指供应商尚不知晓或尚未修补的缺陷。
- 据称来自Backbase和Global-e的数据，这是指控中提到的另外两家公司。
来源摘要明确指出了一点：这些指控均未得到确认。这一点很重要，因为勒索团伙经常发表大胆的公开声明以施加压力，而这些声明并不总是与实际发生的情况相符。
哪些已确认，哪些未确认
以下是基于现有信息的简明分析。
已确认： 仅有指控正在公开流传，且被归因于ShinyHunters关联行为者。
未确认：
- Stripe是否确实遭到入侵
- 是否确实发送了任何勒索要求，或其金额
- RDP零日漏洞是否存在
- Backbase和Global-e的数据是否真实
- 有多少账户（如有）受到影响
没有经过验证的影响规模，没有确认的技术细节，也没有可依赖的确认声明来描述可能暴露了哪些数据。我们不会重复来源报道之外的任何数字，读者应谨慎对待流传的其他数字。
还值得注意的是一项关于公司的指控与一项关于其客户的指控之间的区别。威胁行为者可以声称访问了某个平台、某个第三方供应商，或仅仅是一个看起来可信的数据集。每一种情况对普通人构成的风险截然不同。
为什么支付平台入侵指控对消费者很重要
支付平台位于大量在线结账环节的背后，这意味着涉及其中一家的指控可能波及从未听说过该公司的用户。大多数消费者并不选择他们的支付处理商；选择权在商家手中。这使得人们很难知道自己是否处于潜在的受影响范围内。
即使入侵指控最终被证明夸大其词，其引发的关注往往对诈骗者有利。犯罪分子不需要你的数据出现在真实泄露中，就能利用头条新闻。声称涉及"安全事件"、"退款"或"支付失败"的消息，在人们已经从新闻中听说某家支付公司时，往往能奏效。
当个人数据确实被盗时，后续欺诈才是大部分危害发生的地方。我们对佛罗里达州DMV数据泄露的报道就是一个很好的例子，说明暴露的个人信息如何在初始事件从新闻中淡去很久之后，仍为后续诈骗提供素材。
指控未经验证时的实用步骤
你不需要恐慌，也不需要等待确认才采取明智、低成本的预防措施。
- 关注你的信用卡和银行对账单。 留意小额陌生扣款以及大额扣款。小额测试交易是信用卡欺诈常见的第一步。如果可用，在银行应用中开启交易提醒。
- 启用双重身份验证（2FA）。 优先保护你的电子邮件、银行以及任何处理支付的账户。基于应用的身份验证器或硬件密钥通常比短信验证码更强。
- 对商家主题的消息保持怀疑。 警惕关于支付问题、退款或账户验证的电子邮件或短信。不要点击链接；打开商家的应用或自行输入其网址。
- 使用唯一密码。 密码管理器使这变得可行。如果一个账户被暴露，唯一密码可以阻止问题扩散。
- 等待官方通知。 如果公司确认了事件并通知你，请遵循其指示，并直接访问官方网站核实通知的真实性。
这对你意味着什么
对大多数人来说，正确的姿态是保持警觉，而非惊慌。这些指控未经验证，也没有已确认的证据表明你的数据被盗。但上述预防措施成本很低，无论此事被证明为真、部分为真还是虚假，都能保护你。
如果你经营的企业使用支付平台，合理的做法是审查谁有权访问你的账户、确认所有员工都已启用2FA，并留意来自服务商的官方通信。此外请记住，涉及Backbase和Global-e等第三方公司的指控凸显了一条支付链中可能涉及多少家公司。
底线
Stripe ShinyHunters 勒索指控目前仅仅是指控。在Stripe或其他被点名公司确认细节，或出现独立证据之前，负责任的做法是关注事态发展而不预设最坏情况。与此同时，监控你的信用卡对账单、开启2FA，并对任何商家主题的消息保持怀疑。如需了解被盗个人数据如何助长后续诈骗，请阅读我们关于佛罗里达州DMV泄露的报告，并在此查看更新，了解这些指控是否得到验证或遭到驳斥。
