Kunci API Stripe yang bocor dedahkan data 688,363 pelanggan

Rekod itu bertarikh dari Januari 2022 hingga Jun 2026.

Risikonya bukan sekadar kebocoran data. Sebanyak 519 daripada 659 akaun dilaporkan mempunyai keupayaan untuk menerima bayaran dan membuat pembayaran keluar. Jika kelayakan itu masih aktif, gabungan akses tersebut berpotensi digunakan untuk penipuan bayaran atau cubaan mengalihkan dana.

Amerika Syarikat mencatat jumlah pedagang terjejas tertinggi dengan 212 akaun, diikuti United Kingdom (81) dan Perancis (57).

Siapa yang menerbitkan dataset itu?

Bahan berkenaan dikaitkan dengan pelaku ancaman “Satanic”, yang dilaporkan memuat naiknya di pwnforums pada 18 Ogos. Dataset itu dikatakan disediakan untuk dimuat turun, bukan dijual.

Namun, angka bagi keluaran awal tidak sepadan sepenuhnya dengan dataset yang kemudiannya dianalisis. Hudson Rock melaporkan 669 folder vendor, 1,033 kunci API yang terjejas dan arkib yang didakwa berukuran 33 GB.

Perbezaan ini mungkin berpunca daripada peringkat keluaran yang berbeza, kaedah pengiraan berlainan atau kriteria pengesahan yang tidak sama. Oleh itu, angka tersebut tidak wajar dianggap sebagai satu jumlah muktamad yang telah disahkan. Dakwaan bahawa pelaku memiliki kira-kira 20,000 lagi kunci API Stripe untuk keluaran akan datang juga belum disahkan secara bebas.

Hudson Rock turut melaporkan bahawa iklan forum menyebut saiz 33 GB, sedangkan arkib yang boleh dimuat turun berukuran kira-kira 2.37 GB. Percanggahan itu selari dengan—tetapi tidak membuktikan—dakwaan bahawa terdapat bahan tambahan di luar muat turun awal.

Mengapa ini bukan kelihatan seperti pencerobohan infrastruktur Stripe?

Laporan yang tersedia menunjukkan penyerang mungkin menggunakan kunci rahsia pedagang yang dicuri untuk membuat permintaan API Stripe biasa. Dalam senario ini, data dikumpulkan menggunakan kelayakan yang mempunyai akses kepada akaun pedagang tertentu, bukannya melalui eksploit terhadap sistem pusat Stripe. Penyelidik tidak melaporkan bukti bahawa infrastruktur teras Stripe telah dikompromi.

Antara kemungkinan punca kunci pedagang terdedah ialah:

• Log perisian pencuri maklumat (infostealer)
• Komet dalam repositori kod awam
• Fail .env yang boleh diakses umum
• Sandaran yang tidak selamat
• Log CI/CD
• Pelayan web yang tersalah konfigurasi
• Imbasan automatik terhadap pemboleh ubah persekitaran dan rahsia lain yang tidak dilindungi dengan baik

Pada masa laporan diterbitkan, penyelidik belum mengaitkan jangkitan infostealer dengan domain pedagang tertentu yang disenaraikan dalam dataset. Punca asal kelayakan itu masih belum dapat dipastikan.

Perbezaan ini penting ketika mengendalikan insiden. Pencerobohan infrastruktur Stripe akan menandakan isu keselamatan pada peringkat platform, manakala kebocoran kunci pedagang menunjukkan banyak rahsia berasingan telah terdedah dan kemudiannya digunakan untuk mengakses akaun yang dikawalnya.

Apa yang boleh dilakukan dengan satu kunci aktif?

Penyelidik melaporkan bahawa satu kunci aktif sudah memadai untuk mengakses senarai pelanggan pedagang, mencipta Payment Link palsu dan membuat caj ujian dalam tempoh 17 jam.

Demonstrasi ini menunjukkan mengapa kunci rahsia aktif yang mempunyai kebenaran luas perlu dianggap sebagai insiden keselamatan akaun yang memerlukan tindakan segera. Penyerang tidak semestinya perlu memecah masuk ke Stripe jika kunci tersebut sudah memberikan kuasa untuk mengakses data pelanggan dan fungsi bayaran.

Kesan yang berpotensi juga melangkaui pendedahan maklumat. Bergantung pada kebenaran kunci dan konfigurasi akaun, akses tanpa kebenaran boleh mendedahkan rekod bayaran atau membolehkan tindakan melibatkan pautan bayaran, caj, bayaran balik dan pembayaran keluar. Dataset itu merangkumi beberapa kategori transaksi tersebut, tetapi laporan yang ada tidak membuktikan bahawa setiap akaun yang disenaraikan telah mengalami aktiviti penipuan.

Had pengimbasan rahsia berasaskan GitHub

Insiden ini mengingatkan organisasi bahawa mengimbas repositori awam sahaja tidak mencukupi untuk melindungi kelayakan bayaran. Penyelidik mengenal pasti kemungkinan titik pendedahan dalam log GitHub Actions, artifak lama, fail .env awam, sandaran dan pelayan yang tersalah konfigurasi—lokasi yang mungkin tidak diliputi oleh imbasan repositori biasa.

Laporan berasingan menyatakan penyelidik menemui lebih 50,000 rahsia Stripe dalam kod awam, log GitHub Actions dan pelayan yang tersalah konfigurasi. Angka itu menggambarkan masalah pendedahan yang lebih luas dan tidak semestinya merujuk kepada kunci yang disahkan sebagai sebahagian daripada dataset 18 Ogos.

Bagi perniagaan, pengajarannya jelas: memadam rahsia daripada repositori semasa tidak menjadikannya selamat. Salinan mungkin masih wujud dalam sejarah komit, log binaan, artifak, sandaran atau sistem yang telah digunakan. Kunci yang berpotensi terdedah perlu dibatalkan atau ditukar, diikuti siasatan terhadap sistem berkaitan.

Langkah yang perlu diambil pedagang Stripe

Pedagang yang mungkin mengalami pendedahan kelayakan perlu mengutamakan pembendungan risiko:

1. Batalkan atau tukar semua kunci rahsia aktif yang berpotensi terdedah dengan segera. Memadam fail atau entri repositori sahaja tidak membatalkan kunci tersebut.
2. Semak aktiviti API dan akaun Stripe bagi alamat IP yang tidak dikenali, akses senarai pelanggan, eksport data, penciptaan Payment Link, percubaan bayaran, bayaran balik dan aktiviti pembayaran keluar.
3. Sahkan butiran akaun bank penerima pembayaran keluar serta perubahan terkini. Tingkatkan pemantauan atau tambah kawalan sementara untuk pemindahan dana jika perlu.
4. Gantikan kunci luas dengan kunci terhad yang hanya membenarkan operasi API yang benar-benar diperlukan oleh aplikasi.
5. Simpan rahsia dalam pengurus rahsia khusus dan keluarkannya daripada kod sumber, fail persekitaran, log serta sandaran yang tidak selamat.
6. Cari dalam repositori lama, log CI/CD, artifak, pelayan dan sandaran, bukan sekadar kod awam terkini.

Bukti yang tersedia setakat ini menyokong kesimpulan bahawa berlaku pendedahan serius terhadap kelayakan pedagang, dengan risiko besar terhadap data pelanggan dan operasi bayaran. Ia tidak menyokong dakwaan bahawa infrastruktur pusat Stripe telah diceroboh. Disebabkan jumlah yang bercanggah, angka yang dilaporkan perlu dibaca sebagai anggaran khusus bagi dataset tertentu, bukan inventori muktamad.