Exposição de chaves da Stripe colocou 688.363 registros de clientes em risco

Os registros abrangeriam o período de janeiro de 2022 a junho de 2026.

A exposição também representava um risco direto para as operações financeiras: 519 das 659 contas teriam permissão tanto para aceitar pagamentos quanto para realizar repasses. Se as credenciais continuassem ativas, essa combinação poderia permitir cobranças fraudulentas ou tentativas de desviar recursos.

Os maiores grupos de comerciantes afetados estariam nos Estados Unidos, com 212 contas, seguidos pelo Reino Unido, com 81, e pela França, com 57.

Quem publicou os dados?

O material foi atribuído ao agente de ameaça “Satanic”, que teria feito a publicação no pwnforums em 18 de agosto. O conjunto foi descrito como disponível para download, e não como um arquivo colocado à venda.

Ainda assim, os números da publicação inicial não coincidem exatamente com os do conjunto posteriormente validado. Uma análise relacionada da Hudson Rock descreveu 669 pastas de fornecedores, 1.033 chaves de API comprometidas e um arquivo anunciado com 33 GB.

As diferenças podem refletir fases distintas da divulgação, métodos de contagem diferentes ou critérios de validação distintos. Portanto, não devem ser somadas como se formassem um único total confirmado. A afirmação de que o agente teria cerca de 20 mil chaves adicionais da Stripe para futuras publicações não foi verificada de forma independente.

A Hudson Rock também relatou que a postagem anunciava 33 GB, enquanto o arquivo disponível para download tinha aproximadamente 2,37 GB. Essa discrepância é compatível com — mas não comprova — a alegação de que existiria material adicional fora do primeiro arquivo.

Por que o caso não é descrito como uma invasão da Stripe?

As informações disponíveis indicam que os invasores podem ter usado chaves secretas roubadas de comerciantes para fazer solicitações comuns à API da Stripe. Nesse cenário, os dados teriam sido coletados por meio de credenciais com acesso a contas individuais, e não a partir da exploração dos sistemas centrais da empresa. Os pesquisadores não relataram evidências de comprometimento da infraestrutura principal da Stripe.

Entre os possíveis caminhos de exposição das chaves estão:

• Registros de infostealers, ou ladrões de informações;
• Commits em códigos públicos;
• Arquivos .env expostos;
• Backups inseguros;
• Logs de pipelines de CI/CD;
• Servidores web mal configurados;
• Varreduras automatizadas em busca de variáveis de ambiente e outros segredos mal protegidos.

Até o momento da análise, os pesquisadores não haviam associado uma infecção específica por infostealer aos domínios dos comerciantes listados no conjunto. A origem exata das credenciais, portanto, continuava sem confirmação.

Essa distinção é importante para a resposta ao incidente. Um comprometimento da infraestrutura da Stripe indicaria um evento de segurança que poderia afetar a plataforma como um todo. Já a exposição de chaves de comerciantes aponta para o vazamento de vários segredos independentes, posteriormente usados contra as contas que eles controlavam.

O que uma única chave ativa poderia permitir?

Os pesquisadores afirmaram que uma única chave ativa foi suficiente para acessar a lista de clientes de um comerciante, criar um Payment Link fraudulento e realizar uma cobrança de teste em um intervalo de 17 horas.

A demonstração ajuda a dimensionar o risco de uma chave secreta ativa e com permissões amplas: o invasor não precisa necessariamente invadir a Stripe quando a própria credencial já autoriza o acesso a dados de clientes e a funções de pagamento.

Dependendo das permissões da chave e da configuração da conta, o acesso não autorizado poderia expor registros de pagamentos ou permitir ações envolvendo links de pagamento, cobranças, reembolsos e repasses. O conjunto analisado continha várias dessas categorias de transação, mas as informações disponíveis não comprovam que todas as contas listadas tenham sofrido atividades fraudulentas.

O problema de confiar apenas na varredura do GitHub

O caso também mostra por que verificar apenas repositórios públicos não basta para proteger credenciais de pagamento. Os pesquisadores identificaram possíveis pontos de exposição em logs do GitHub Actions, artefatos históricos, arquivos .env públicos, backups e servidores mal configurados — locais que podem não ser cobertos por uma varredura simples do repositório.

Uma reportagem separada afirmou que os pesquisadores encontraram mais de 50 mil segredos da Stripe em códigos públicos, logs do GitHub Actions e servidores mal configurados. Esse número representa o problema mais amplo de descoberta de credenciais, e não necessariamente chaves confirmadas como parte do conjunto publicado em 18 de agosto.

Para as empresas, a lição prática é direta: apagar um segredo do repositório atual não o torna seguro. Cópias podem permanecer no histórico de commits, em logs de compilação, artefatos, backups ou sistemas já implantados. Uma chave potencialmente exposta deve ser revogada ou substituída, e os sistemas relacionados precisam ser investigados.

O que os comerciantes da Stripe devem fazer agora

Empresas que possam ter exposto credenciais devem priorizar a contenção:

1. Revogue ou substitua imediatamente as chaves secretas ativas potencialmente expostas. Remover um arquivo ou uma entrada do repositório, por si só, não invalida a chave.
2. Analise a atividade da API e da conta na Stripe em busca de endereços IP desconhecidos, acesso à lista de clientes, exportações de dados, criação de Payment Links, tentativas de pagamento, reembolsos e operações de repasse.
3. Confirme os dados da conta bancária usada para os repasses e alterações recentes. Quando apropriado, aumente o monitoramento ou adote controles temporários para transferências.
4. Substitua chaves amplas por chaves restritas, permitindo apenas as operações de API necessárias para cada aplicação.
5. Armazene os segredos em um gerenciador dedicado e remova-os do código-fonte, de arquivos de ambiente, logs e backups sem proteção adequada.
6. Pesquise repositórios históricos, logs de CI/CD, artefatos, servidores e backups, em vez de verificar apenas o código público mais recente.

As evidências disponíveis sustentam a existência de uma exposição grave de credenciais de comerciantes, com risco significativo para dados de clientes e operações de pagamento. Elas não sustentam a afirmação de que a infraestrutura central da Stripe tenha sido invadida. Além disso, as contagens conflitantes indicam que os totais devem ser tratados como estimativas específicas de cada conjunto de dados, e não como um inventário definitivo.