Утечка ключей Stripe: под угрозой оказались данные 688 363 клиентов

Публикацию от 18 августа 2026 года корректнее считать утечкой учетных данных продавцов, а не подтвержденным взломом самой платформы Stripe. По сообщениям исследователей, в открытый доступ на криминальном форуме попал бесплатный архив объемом около 35 ГБ. В нем находились 17 654 файла из 659 аккаунтов продавцов и данные, связанные с оценочно 688 363 клиентами в 42 странах. Эти показатели остаются оценками, а более масштабные заявления автора утечки независимо не подтверждены.

Какие данные могли попасть в архив

Сообщается, что материалы охватывали период с января 2022 года по июнь 2026 года. В архиве, по имеющимся данным, были:

• объекты клиентов Stripe и контактная информация;
• платежи, Payment Intents, сессии Checkout, счета, возвраты и споры;
• выплаты и операции с балансом;
• подписки, товары и цены;
• платежные метаданные: бренд карты, последние четыре цифры, срок действия, тип финансирования, страна банка-эмитента и платежный fingerprint.

Данных о полных номерах банковских карт в опубликованных материалах не обнаружено. Это снижает риск некоторых видов прямого хищения средств, но не устраняет угрозу: раскрытые ключи API в сочетании с подробными сведениями о клиентах и транзакциях могут использоваться для мошенничества и атак на пользователей.

Исследователи заявили, что обнаружили 650 действующих секретных ключей sk_live и девять ограниченных ключей. Из затронутых аккаунтов 573 могли принимать платежи, 531 — осуществлять выплаты, а 519 обладали обеими возможностями.

Почему одного действующего ключа могло быть достаточно

Секретный ключ Stripe — это полноценное удостоверение для доступа к API, а не просто идентификатор аккаунта. Его реальные возможности зависят от прав ключа и настроек продавца, однако скомпрометированные учетные данные могут открыть доступ к ресурсам бизнеса и платежным операциям.

В рамках описанного тестирования один активный ключ позволял просматривать списки клиентов, создавать мошеннические платежные ссылки и проводить тестовые списания. Потенциальные последствия включают:

• сбор и перечисление клиентских данных;
• злоупотребление платежными инструментами;
• несанкционированные возвраты;
• фишинг и социальную инженерию, ориентированные на клиентов и сотрудников;
• проверку или изменение настроек, связанных с выплатами.

Для аккаунтов с возможностью вывода средств особенно важно проверить реквизиты банковских счетов и направления выплат.

Главная проблема — скорость реакции. Утекший серверный ключ может превратить ошибку в управлении секретами в полноценное расследование мошенничества еще до того, как бизнес заметит подозрительную активность.

Почему исследователи не считают это взломом Stripe

Доступные свидетельства указывают, что злоумышленники использовали действующие ключи продавцов и получали данные через легитимный API Stripe. Исследователи, изучавшие опубликованные файлы офлайн, отметили, что структура каталогов и объекты в формате Stripe похожи на выгрузки, полученные через API. При этом они не входили с помощью раскрытых ключей в рабочие окружения продавцов и не проводили самостоятельный доступ к ним.

Таким образом, вероятная точка отказа находится не в основных системах Stripe, а там, где продавцы хранят секреты. Среди возможных путей утечки:

• заражение устройств разработчиков или администраторов инфостилерами;
• публичные репозитории и история Git;
• открытые файлы .env и конфигурации серверов;
• облачные хранилища, резервные копии и слои контейнеров;
• системы CI/CD и журналы GitHub Actions;
• неправильно настроенные серверы и автоматический поиск раскрытых переменных.

Точный путь, которым были похищены ключи 659 продавцов, пока не установлен. Перечисленные варианты являются возможными сценариями, а не доказанным единым источником всей базы.

Связанный релиз и почему цифры нельзя складывать

Hudson Rock связала с тем же злоумышленником публикацию на другом форуме. В ней упоминались 669 папок продавцов и 1 033 скомпрометированных ключа API; заявленный объем составлял 33 ГБ, хотя связанный с публикацией файл, по сообщениям, был меньше. Кроме того, автор утверждал, что располагает еще примерно 20 000 скомпрометированных ключей Stripe и может опубликовать новые партии.

Эти числа не следует объединять в один подтвержденный итог. Разница между 659 аккаунтами, 669 папками и 1 033 ключами может объясняться разными наборами данных, несколькими ключами на один аккаунт, дубликатами и различиями в методике подсчета. Оценка в 20 000 ключей остается неподтвержденным заявлением самого злоумышленника.

Где находилось больше всего затронутых продавцов

В доступных отчетах чаще всего упоминались следующие страны:

• США — 212 продавцов;
• Великобритания — 81;
• Франция — 57;
• Канада — 38;
• Бразилия — 30;
• Австралия — 27.

Эти значения отражают распределение продавцов в изученной выборке и должны рассматриваться с учетом того, что окончательный масштаб утечки еще оценивался.

Что компаниям, использующим Stripe, нужно сделать

1. Немедленно заменить действующие секретные ключи

Отзовите и выпустите заново все активные ключи, которые могли попасть в исходный код, журналы, резервные копии, телеметрию конечных устройств, образы контейнеров или публичную инфраструктуру. Не стоит ждать подтверждения мошенничества, если ключ потенциально раскрыт.

2. Проверить активность API и платежные операции

Изучите журналы API и безопасности на предмет незнакомых запросов, новых платежных ссылок, тестовых или несанкционированных списаний, неожиданных возвратов, изменений прав и необычных IP-адресов. Важные журналы следует сохранить, чтобы восстановить хронологию событий.

3. Проверить настройки выплат

Проверьте параметры выплат, реквизиты подключенных банковских счетов и конечные направления перечислений. Подозрительные изменения нужно оперативно передать в Stripe и финансовым организациям в соответствии с внутренними процедурами реагирования на инциденты.

4. Перейти на ключи с ограниченными правами

Используйте restricted keys, которым разрешены только необходимые конкретному сервису операции API. Разделяйте производственные системы, тестовые среды и операционные роли вместо использования одного широкого секрета в нескольких приложениях.

5. Проверить все места, где могли сохраниться секреты

Ищите значения sk_live в текущих и старых репозиториях, истории Git, выводе CI/CD, журналах GitHub Actions, файлах .env, слоях контейнеров, облачных хранилищах, документации и резервных копиях. Любой найденный ключ следует отозвать и заменить, даже если его уже нет в последней версии кода.

6. Не полагаться только на сканирование GitHub

GitHub автоматически выполняет сканирование публичных репозиториев, однако для закрытых и внутренних репозиториев организаций требуется подключить GitHub Secret Protection на подходящих тарифах. Кроме того, такое сканирование не обнаружит секреты, которые уже попали в журналы, резервные копии, телеметрию устройств или скачанные архивы. Оно должно дополнять централизованное управление секретами, короткий срок их действия, разграничение доступа и постоянный мониторинг.

Главный вывод для продавцов

Опубликованные материалы не подтверждают взлом инфраструктуры Stripe. Но они наглядно показывают, как раскрытый активный ключ API может открыть путь к данным клиентов и злоупотреблению платежными функциями. Производственные секреты нужно считать учетными данными высокого риска: не хранить их в коде и журналах, ограничивать их права, быстро заменять и расследовать каждую неожиданную операцию API или выплату.