Únik klíčů Stripe ohrozil data 688 363 zákazníků

Událost zveřejněná 18. srpna 2026 vypadá podle dostupných informací spíše jako rozsáhlé kompromitování přístupových údajů obchodníků než jako potvrzené napadení vlastní infrastruktury Stripe. Útočník vystupující pod přezdívkou „Satanic“ měl materiál zveřejnit na nelegálním fóru pwnforums. Součástí byly údajně stále aktivní tajné klíče a data získaná z jednotlivých obchodnických účtů.

Jaký byl rozsah úniku

Nejpodrobnější analýza popisuje soubor spojený s:

• 659 obchodnickými účty,
• 650 aktivními tajnými klíči sk_live,
• odhadem 688 363 záznamy zákazníků,
• obchodníky ze 42 zemí,
• přibližně 35 GB dat v 17 654 souborech.

Materiál měl podle výzkumníků obsahovat zákaznické informace a záznamy týkající se:

• plateb a poplatků,
• platebních záměrů,
• faktur,
• výplat obchodníkům,
• vratek,
• transakcí zůstatku.

Záznamy pocházely z období od ledna 2022 do června 2026.

Riziko se netýkalo jen úniku dat. U 519 z 659 účtů bylo údajně možné nejen přijímat platby, ale také provádět výplaty. Pokud by klíče zůstaly aktivní, mohlo to otevřít prostor pro podvodné platby nebo pokusy o přesměrování peněz.

Nejvíce zasažených obchodníků měly podle dostupného rozdělení Spojené státy (212 účtů), následovalo Spojené království (81) a Francie (57).

Kdo data zveřejnil

Materiál byl připsán aktérovi používajícímu přezdívku „Satanic“, který jej měl 18. srpna zveřejnit na fóru pwnforums. Podle zpráv byl balík nabízen ke stažení, nikoli prodáván.

Čísla z prvního zveřejnění se však přesně neshodují s později ověřovaným souborem. Analýza společnosti Hudson Rock popisovala 669 složek obchodníků, 1 033 kompromitovaných API klíčů a archiv deklarovaný jako 33 GB.

Rozdíly mohou souviset s různými fázemi zveřejnění, metodikou počítání nebo odlišnými kritérii ověření. Nelze je proto bez dalšího sloučit do jediného potvrzeného součtu. Tvrzení, že aktér drží přibližně 20 000 dalších klíčů Stripe API určených pro budoucí zveřejnění, nebylo nezávisle ověřeno.

Hudson Rock rovněž upozornil, že fórum uvádělo velikost 33 GB, zatímco skutečně stažitelný archiv měl přibližně 2,37 GB. Tento rozdíl odpovídá možnosti, že existoval další materiál mimo první balík, sám o sobě to však nepotvrzuje.

Proč nejde podle výzkumníků o průnik do Stripe

Dostupné zprávy naznačují, že útočníci mohli použít odcizené tajné klíče obchodníků k běžným požadavkům na rozhraní Stripe API. Data by tak získali prostřednictvím přístupových údajů k jednotlivým účtům, nikoli zneužitím chyby v centrálních systémech Stripe. Výzkumníci nehlásili důkazy o kompromitaci hlavní infrastruktury Stripe.

Možnými cestami úniku klíčů jsou například:

• záznamy z infostealerů, tedy malwaru kradoucího přihlašovací údaje,
• commity ve veřejných repozitářích,
• vystavené soubory .env,
• nezabezpečené zálohy,
• logy z prostředí CI/CD,
• špatně nastavené webové servery,
• automatizované skenování proměnných prostředí a dalších nedostatečně chráněných tajných údajů.

V době zveřejnění se výzkumníkům nepodařilo spojit konkrétní infekci infostealerem s doménami obchodníků uvedenými v souboru. Přesný původ klíčů tak zůstal neobjasněný.

Rozdíl je důležitý i pro řešení incidentu. Napadení infrastruktury Stripe by znamenalo plošný bezpečnostní problém platformy. Únik klíčů obchodníků naopak ukazuje na množství samostatně uniklých tajných údajů, které pak mohly být použity proti účtům, k nimž poskytovaly přístup.

Co mohl útočník udělat s jediným aktivním klíčem

Výzkumníci uvedli, že jediný aktivní klíč stačil k přístupu k seznamu zákazníků, vytvoření podvodného Payment Linku a provedení testovací platby — to vše během 17 hodin.

Ukázka ilustruje, proč je široce oprávněný aktivní tajný klíč nutné považovat za okamžitý bezpečnostní incident. Útočník nemusí prolomit samotný Stripe, pokud už klíč umožňuje přístup k zákaznickým údajům a platebním funkcím.

Dopad proto nemusí spočívat jen v odhalení dat. V závislosti na oprávněních klíče a nastavení účtu může neoprávněný přístup umožnit práci s platebními záznamy nebo operace spojené s platebními odkazy, platbami, vratkami a výplatami. Dostupné zprávy potvrzují přítomnost několika těchto typů záznamů v souboru, neprokazují však, že u každého uvedeného účtu skutečně došlo k podvodné aktivitě.

Problém se skenováním tajných údajů na GitHubu

Incident ukazuje, proč samotná kontrola veřejných repozitářů nestačí k ochraně platebních přihlašovacích údajů. Výzkumníci upozornili na možné úniky v logách GitHub Actions, historických artefaktech, veřejných souborech .env, zálohách a špatně nastavených serverech — tedy na místech, která běžná kontrola repozitáře nemusí pokrýt.

Samostatná zpráva uváděla, že výzkumníci našli více než 50 000 tajných údajů Stripe ve veřejném kódu, logách GitHub Actions a chybně nakonfigurovaných serverech. Toto číslo popisuje širší problém s odhalováním klíčů, nikoli počet klíčů potvrzeně zahrnutých do balíku zveřejněného 18. srpna.

Praktický závěr pro firmy je jednoznačný: odstranění klíče z aktuální verze repozitáře neznamená, že je bezpečný. Kopie mohou zůstat v historii commitů, sestavovacích logách, artefaktech, zálohách nebo nasazených systémech. Potenciálně odhalený klíč je nutné zneplatnit či vyměnit a současně prověřit související systémy.

Co by měli obchodníci Stripe udělat

Firmy, které mohly vystavit své přístupové údaje, by měly postupovat především takto:

1. Okamžitě zneplatnit nebo vyměnit potenciálně odhalené aktivní tajné klíče. Pouhé smazání souboru nebo záznamu z repozitáře klíč nezneplatní.
2. Prověřit aktivitu v API a účtu Stripe — zejména neznámé IP adresy, přístupy k seznamům zákazníků, exporty dat, vytváření Payment Linků, pokusy o platby, vratky a výplaty.
3. Ověřit bankovní údaje pro výplaty a poslední změny výplat. U převodů je podle situace vhodné dočasně posílit kontrolu nebo monitoring.
4. Nahradit široce oprávněné klíče omezenými klíči, které aplikaci dovolí jen skutečně potřebné operace.
5. Ukládat tajné údaje do spravovaného úložiště tajemství a odstranit je ze zdrojového kódu, souborů prostředí, logů i nezabezpečených záloh.
6. Prohledat historické repozitáře, CI/CD logy, artefakty, servery a zálohy, nikoli pouze nejnovější veřejný kód.

Dosavadní důkazy podporují závěr, že šlo o závažný únik přihlašovacích údajů obchodníků s významným rizikem pro zákaznická a platební data. Nepotvrzují však napadení centrální infrastruktury Stripe. Kvůli rozdílným údajům je také vhodné chápat uváděné počty jako odhady vztahující se ke konkrétním datovým souborům, nikoli jako jeden definitivní inventář.