คีย์ API ของร้านค้า Stripe รั่ว เสี่ยงเปิดข้อมูลลูกค้า 688,363 ราย

นักวิจัยรายงานว่าพบคีย์ลับแบบ live หรือ sk_live จำนวน 650 คีย์ และคีย์แบบจำกัดสิทธิ์อีก 9 คีย์ ในบรรดาบัญชีที่ได้รับผลกระทบ มี 573 บัญชีที่รับชำระเงินได้ 531 บัญชีที่สั่งจ่ายเงินได้ และ 519 บัญชีที่ทำได้ทั้งสองอย่าง ตามการวิเคราะห์ที่สื่อรายงาน

ทำไมคีย์ live เพียงคีย์เดียวจึงอันตราย

คีย์ลับของ Stripe เป็นข้อมูลรับรองสำหรับเรียกใช้ API ไม่ใช่เพียงรหัสระบุบัญชี ขอบเขตการเข้าถึงจริงขึ้นอยู่กับสิทธิ์ของคีย์และการตั้งค่าบัญชีร้านค้า แต่คีย์ที่ถูกขโมยอาจเปิดทางให้เข้าถึงทรัพยากรของร้านค้าและทำธุรกรรมโดยไม่ได้รับอนุญาต

การทดสอบที่ถูกรายงานระบุว่า คีย์ที่ยังใช้งานได้เพียงหนึ่งคีย์สามารถนำไปใช้ดูรายชื่อลูกค้า สร้างลิงก์ชำระเงินปลอม และทำรายการทดสอบได้ ความเสี่ยงที่ตามมาอาจรวมถึงการไล่เก็บข้อมูลลูกค้า การนำระบบชำระเงินไปใช้หลอกลวง การคืนเงินโดยมิชอบ ฟิชชิงแบบเจาะจงเป้าหมาย และการหลอกลวงทางสังคมที่เกี่ยวข้องกับการจ่ายเงิน

บัญชีที่มีสิทธิ์จ่ายเงินออกยังต้องตรวจสอบการตั้งค่าการจ่ายเงินและรายละเอียดปลายทางเพิ่มเติม เพราะผู้โจมตีอาจใช้ข้อมูลรับรองที่รั่วเพื่อสร้างความเสียหายทางการเงินได้โดยไม่ต้องมีหมายเลขบัตรเต็มรูปแบบ

เหตุใดจึงยังไม่จัดว่าเป็นการเจาะระบบ Stripe

หลักฐานที่มีอยู่ชี้ว่า ผู้โจมตีใช้คีย์ของร้านค้าที่ถูกต้องเพื่อดึงข้อมูลผ่าน API ของ Stripe ตามช่องทางปกติ นักวิจัยที่ตรวจสอบไฟล์ซึ่งถูกเผยแพร่แบบออฟไลน์ระบุว่า โครงสร้างออบเจ็กต์และโฟลเดอร์ในข้อมูลสอดคล้องกับการส่งออกข้อมูลจาก API อย่างไรก็ตาม พวกเขาไม่ได้ยืนยันตัวตนด้วยคีย์ที่รั่วหรือเข้าถึงสภาพแวดล้อมจริงของร้านค้าในระหว่างการตรวจสอบดังกล่าว

ความแตกต่างนี้มีความสำคัญ เพราะจุดบกพร่องที่เป็นไปได้จึงอยู่ฝั่งการจัดเก็บและดูแลความลับของร้านค้า มากกว่าระบบแกนกลางของ Stripe ช่องทางที่อาจทำให้คีย์รั่ว ได้แก่

• อุปกรณ์ของนักพัฒนาหรือผู้ดูแลระบบติดมัลแวร์ขโมยข้อมูล หรือ infostealer
• รีโพซิทอรีสาธารณะและประวัติ Git
• ไฟล์ .env หรือการตั้งค่าเซิร์ฟเวอร์ที่เปิดเผยต่อสาธารณะ
• พื้นที่จัดเก็บบนคลาวด์ ไฟล์สำรอง และเลเยอร์ของคอนเทนเนอร์
• ระบบ CI/CD และบันทึกของ GitHub Actions
• เซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด หรือการสแกนอัตโนมัติเพื่อค้นหาตัวแปรลับที่เปิดเผย

อย่างไรก็ตาม ยังไม่มีการยืนยันเส้นทางการขโมยคีย์ของร้านค้าทั้ง 659 บัญชี ช่องทางเหล่านี้จึงเป็นเพียงความเป็นไปได้ ไม่ใช่ต้นเหตุเดียวที่ได้รับการยืนยันสำหรับข้อมูลทั้งหมด

ชุดข้อมูลที่เกี่ยวข้องและข้อควรระวังเรื่องตัวเลข

รายงานของ Hudson Rock ระบุว่ามีการเผยแพร่ชุดข้อมูลที่เกี่ยวข้องในฟอรัมเดียวกัน และเชื่อมโยงกับผู้กระทำรายเดียวกัน ชุดดังกล่าวถูกอธิบายว่ามีโฟลเดอร์ของผู้ให้บริการ 669 ราย และคีย์ API ที่ถูกบุกรุก 1,033 คีย์ โดยมีขนาดที่โฆษณาไว้ 33GB แต่ไฟล์ดาวน์โหลดที่เชื่อมโยงมีขนาดเล็กกว่านั้นตามรายงาน

ผู้กระทำยังอ้างว่ามีคีย์ Stripe ที่ถูกบุกรุกเพิ่มเติมประมาณ 20,000 คีย์ และอาจเผยแพร่ชุดข้อมูลอื่นตามมา ตัวเลขนี้ยังเป็นคำกล่าวอ้างที่ไม่ได้รับการยืนยัน

ตัวเลข 659 บัญชีร้านค้า 669 โฟลเดอร์ผู้ให้บริการ และ 1,033 คีย์ ไม่ควรถูกนำมารวมเป็นยอดเดียวที่ยืนยันแล้ว ความแตกต่างอาจเกิดจากการนับคนละชุดข้อมูล การมีหลายคีย์ต่อหนึ่งบัญชี หรือวิธีนับที่ต่างกัน

ประเทศที่มีร้านค้าได้รับผลกระทบมากที่สุด

การกระจายตัวของร้านค้าที่ถูกรายงานในประเทศหลัก ๆ ได้แก่

• สหรัฐอเมริกา: 212 ร้านค้า
• สหราชอาณาจักร: 81 ร้านค้า
• ฝรั่งเศส: 57 ร้านค้า
• แคนาดา: 38 ร้านค้า
• บราซิล: 30 ร้านค้า
• ออสเตรเลีย: 27 ร้านค้า

ตัวเลขเหล่านี้สะท้อนการกระจายของร้านค้าในข้อมูลที่มีการรายงาน และควรอ่านควบคู่กับข้อจำกัดที่ขอบเขตของคลังข้อมูลยังอยู่ระหว่างการประเมิน

ธุรกิจที่ใช้ Stripe ควรทำอะไรทันที

1. ยกเลิกและสร้างคีย์ live ใหม่

ยกเลิกและสร้างคีย์ลับแบบ live ใหม่ทุกคีย์ที่อาจเคยปรากฏในซอร์สโค้ด บันทึกระบบ ไฟล์สำรอง ข้อมูลจากอุปกรณ์ปลายทาง อิมเมจคอนเทนเนอร์ หรือโครงสร้างพื้นฐานสาธารณะ ไม่ควรรอให้พบธุรกรรมผิดปกติก่อนจึงดำเนินการ

2. ตรวจสอบกิจกรรม API และธุรกรรมการเงิน

ตรวจสอบบันทึก API และบันทึกความปลอดภัยเพื่อค้นหาการเรียกใช้ที่ไม่คุ้นเคย ลิงก์ชำระเงินใหม่ รายการทดสอบหรือรายการเรียกเก็บเงินที่ไม่ได้รับอนุญาต การคืนเงินผิดปกติ การเปลี่ยนสิทธิ์ และ IP ต้นทางที่น่าสงสัย ควรเก็บรักษาบันทึกที่เกี่ยวข้องไว้เพื่อสร้างไทม์ไลน์การตรวจสอบ

3. ตรวจสอบการตั้งค่าการจ่ายเงิน

ตรวจสอบการตั้งค่าการจ่ายเงิน รายละเอียดบัญชีธนาคารที่เชื่อมต่อ และปลายทางการจ่ายเงิน หากพบการเปลี่ยนแปลงที่น่าสงสัย ให้ประสานงานกับ Stripe และสถาบันการเงินโดยเร็วตามขั้นตอนรับมือเหตุการณ์และการรายงานที่เกี่ยวข้อง

4. เปลี่ยนจากคีย์กว้างเป็นคีย์แบบจำกัดสิทธิ์

ใช้ restricted keys ที่อนุญาตเฉพาะการทำงานของ API ที่แต่ละบริการจำเป็นต้องใช้ แยกระบบ production ออกจาก development และแยกสิทธิ์ตามบทบาทการทำงาน แทนการใช้ความลับชุดเดียวที่มีสิทธิ์กว้างกับหลายแอปพลิเคชัน

5. ค้นหาความลับในทุกจุดที่ข้อมูลอาจตกค้าง

ค้นหา sk_live ในรีโพซิทอรีปัจจุบันและประวัติ Git, ผลลัพธ์ของระบบ CI/CD, บันทึก GitHub Actions, ไฟล์ .env, เลเยอร์คอนเทนเนอร์, พื้นที่จัดเก็บบนคลาวด์, เอกสาร และไฟล์สำรอง หากพบคีย์ใดควรยกเลิกและสร้างใหม่ แม้คีย์นั้นจะไม่ปรากฏในโค้ดเวอร์ชันปัจจุบันแล้วก็ตาม

6. อย่าพึ่งการสแกนของ GitHub เพียงชั้นเดียว

GitHub ระบุว่า secret scanning ทำงานโดยอัตโนมัติสำหรับรีโพซิทอรีสาธารณะ ขณะที่รีโพซิทอรีส่วนตัวและรีโพซิทอรีภายในองค์กรต้องเปิดใช้ GitHub Secret Protection บนแพ็กเกจที่รองรับ นอกจากนี้ การสแกนไม่สามารถป้องกันความลับที่ถูกคัดลอกไปอยู่ในบันทึกระบบ ไฟล์สำรอง ข้อมูลจากอุปกรณ์ปลายทาง หรือไฟล์ที่ถูกดาวน์โหลดไปแล้วได้ จึงควรใช้ร่วมกับการจัดการความลับแบบรวมศูนย์ อายุการใช้งานคีย์ที่สั้น การควบคุมสิทธิ์ และการเฝ้าระวังอย่างต่อเนื่อง

บทเรียนสำคัญสำหรับร้านค้า

เหตุการณ์นี้ตอกย้ำว่า ความปลอดภัยของแพลตฟอร์มชำระเงินไม่ได้ขึ้นอยู่กับผู้ให้บริการเพียงฝ่ายเดียว รายงานที่มีอยู่ยังไม่ยืนยันว่าโครงสร้างพื้นฐานของ Stripe ถูกเจาะ แต่แสดงให้เห็นว่าคีย์ API แบบ live ที่รั่วสามารถเปิดทางสู่ข้อมูลลูกค้าและการทุจริตด้านการชำระเงินได้อย่างรวดเร็ว ธุรกิจควรปฏิบัติต่อคีย์ production ในฐานะข้อมูลรับรองที่มีผลกระทบสูง เก็บให้พ้นจากโค้ดและบันทึกระบบ จำกัดสิทธิ์เท่าที่จำเป็น หมุนเวียนคีย์โดยเร็ว และตรวจสอบทุกกิจกรรม API หรือการจ่ายเงินที่ผิดปกติ