คำตอบการวิจัย
ประเด็นสำคัญ ข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ดูเหมือนเป็นคีย์ลับของร้านค้า Stripe รายบุคคล ไม่ใช่หลักฐานว่าระบบหลักของ Stripe ถูกเจาะ โดยข้อมูลเชื่อมโยงกับบัญชีร้านค้า 659 บัญชี ลูกค้า 688,363 ราย และ 42 ประเทศ ชุดข้อมูลมีรายงานว่าขนาดประมาณ 35 GB ครอบคลุม 17,654 ไฟล์ และข้อมูลลูกค้า รวมถึงธุรกรรมตั้งแต่เดือนมกราคม 2022 ถึงมิถุนายน 2026 โดย 519 บัญชีสามารถรับชำระเงินและสั่งจ่ายเงินได้ นักวิจัยระบุว่าคีย์ที่ยังใช้งานได้เพียงหนึ่งรายการก็อาจใช้เข้าถึงรายชื่อลูกค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ จึงควรยกเลิกหรือเปลี่ยนคีย์และตรวจสอบบันทึก API ทันที What happened in the August 18, 2026 exposure of Stripe merchant credentials—including who posted the dataset and where, how many live API k The reported exposure involved merchant credentials and data retrieved through Stripe APIs, not confirmed access to Stripe’s core infrastructure. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What happened in the August 18, 2026 exposure of Stripe merchant credentials—including who posted the dataset and where, how many live API k. Article summary: This appears to have been a large-scale exposure and abuse of individual Stripe merchants’ secret credentials—not a confirmed compromise of Stripe’s own infrastructure. The most detailed reported analysis is consistent w. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "คีย์ Stripe รั่ว เสี่ยงกระทบข้อมูลลูกค้า 688,363 รายจาก 659 บัญชีร้านค้า" คืออะไร ข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ดูเหมือนเป็นคีย์ลับของร้านค้า Stripe รายบุคคล ไม่ใช่หลักฐานว่าระบบหลักของ Stripe ถูกเจาะ โดยข้อมูลเชื่อมโยงกับบัญชีร้านค้า 659 บัญชี ลูกค้า 688,363 ราย และ 42 ประเทศ
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ดูเหมือนเป็นคีย์ลับของร้านค้า Stripe รายบุคคล ไม่ใช่หลักฐานว่าระบบหลักของ Stripe ถูกเจาะ โดยข้อมูลเชื่อมโยงกับบัญชีร้านค้า 659 บัญชี ลูกค้า 688,363 ราย และ 42 ประเทศ ชุดข้อมูลมีรายงานว่าขนาดประมาณ 35 GB ครอบคลุม 17,654 ไฟล์ และข้อมูลลูกค้า รวมถึงธุรกรรมตั้งแต่เดือนมกราคม 2022 ถึงมิถุนายน 2026 โดย 519 บัญชีสามารถรับชำระเงินและสั่งจ่ายเงินได้
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? นักวิจัยระบุว่าคีย์ที่ยังใช้งานได้เพียงหนึ่งรายการก็อาจใช้เข้าถึงรายชื่อลูกค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ จึงควรยกเลิกหรือเปลี่ยนคีย์และตรวจสอบบันทึก API ทันที
คำตอบการวิจัย
ประเด็นสำคัญ ข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ดูเหมือนเป็นคีย์ลับของร้านค้า Stripe รายบุคคล ไม่ใช่หลักฐานว่าระบบหลักของ Stripe ถูกเจาะ โดยข้อมูลเชื่อมโยงกับบัญชีร้านค้า 659 บัญชี ลูกค้า 688,363 ราย และ 42 ประเทศ ชุดข้อมูลมีรายงานว่าขนาดประมาณ 35 GB ครอบคลุม 17,654 ไฟล์ และข้อมูลลูกค้า รวมถึงธุรกรรมตั้งแต่เดือนมกราคม 2022 ถึงมิถุนายน 2026 โดย 519 บัญชีสามารถรับชำระเงินและสั่งจ่ายเงินได้ นักวิจัยระบุว่าคีย์ที่ยังใช้งานได้เพียงหนึ่งรายการก็อาจใช้เข้าถึงรายชื่อลูกค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ จึงควรยกเลิกหรือเปลี่ยนคีย์และตรวจสอบบันทึก API ทันที What happened in the August 18, 2026 exposure of Stripe merchant credentials—including who posted the dataset and where, how many live API k The reported exposure involved merchant credentials and data retrieved through Stripe APIs, not confirmed access to Stripe’s core infrastructure. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What happened in the August 18, 2026 exposure of Stripe merchant credentials—including who posted the dataset and where, how many live API k. Article summary: This appears to have been a large-scale exposure and abuse of individual Stripe merchants’ secret credentials—not a confirmed compromise of Stripe’s own infrastructure. The most detailed reported analysis is consistent w. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "คีย์ Stripe รั่ว เสี่ยงกระทบข้อมูลลูกค้า 688,363 รายจาก 659 บัญชีร้านค้า" คืออะไร ข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ดูเหมือนเป็นคีย์ลับของร้านค้า Stripe รายบุคคล ไม่ใช่หลักฐานว่าระบบหลักของ Stripe ถูกเจาะ โดยข้อมูลเชื่อมโยงกับบัญชีร้านค้า 659 บัญชี ลูกค้า 688,363 ราย และ 42 ประเทศ
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ดูเหมือนเป็นคีย์ลับของร้านค้า Stripe รายบุคคล ไม่ใช่หลักฐานว่าระบบหลักของ Stripe ถูกเจาะ โดยข้อมูลเชื่อมโยงกับบัญชีร้านค้า 659 บัญชี ลูกค้า 688,363 ราย และ 42 ประเทศ ชุดข้อมูลมีรายงานว่าขนาดประมาณ 35 GB ครอบคลุม 17,654 ไฟล์ และข้อมูลลูกค้า รวมถึงธุรกรรมตั้งแต่เดือนมกราคม 2022 ถึงมิถุนายน 2026 โดย 519 บัญชีสามารถรับชำระเงินและสั่งจ่ายเงินได้
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? นักวิจัยระบุว่าคีย์ที่ยังใช้งานได้เพียงหนึ่งรายการก็อาจใช้เข้าถึงรายชื่อลูกค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ จึงควรยกเลิกหรือเปลี่ยนคีย์และตรวจสอบบันทึก API ทันที
ขอบเขตของข้อมูลที่ถูกรายงานว่ารั่วไหล การวิเคราะห์ที่มีรายละเอียดมากที่สุดระบุว่าชุดข้อมูลเชื่อมโยงกับ:
บัญชีร้านค้า 659 บัญชี
คีย์ลับ sk_live ที่ยังใช้งานได้ประมาณ 650 รายการ
ระเบียนลูกค้าประมาณ 688,363 รายการ
ร้านค้าใน 42 ประเทศ
ข้อมูลราว 35 GB ใน 17,654 ไฟล์
ข้อมูลที่ถูกรายงานว่ารวมอยู่ในชุดดังกล่าว ได้แก่:
รายการเรียกเก็บเงิน (Charges)
Payment Intents หรือคำขอชำระเงิน
ใบแจ้งหนี้
การจ่ายเงินให้ร้านค้า (Payouts)
การคืนเงิน
รายการเคลื่อนไหวของยอดคงเหลือ
ข้อมูลมีช่วงเวลาตั้งแต่ เดือนมกราคม 2022 ถึงเดือนมิถุนายน 2026
ความเสี่ยงไม่ได้จำกัดอยู่แค่การเปิดเผยข้อมูลส่วนบุคคล เพราะมีรายงานว่า 519 จาก 659 บัญชี สามารถทั้งรับชำระเงินและสั่งจ่ายเงินได้ หากคีย์เหล่านี้ยังไม่ถูกยกเลิก ผู้โจมตีอาจนำไปใช้สร้างธุรกรรมทุจริตหรือพยายามเปลี่ยนเส้นทางเงินได้
ประเทศที่มีร้านค้าได้รับผลกระทบมากที่สุดตามรายงาน ได้แก่ สหรัฐฯ 212 บัญชี ตามด้วย สหราชอาณาจักร 81 บัญชี และ ฝรั่งเศส 57 บัญชี
ใครเป็นผู้เผยแพร่ข้อมูล อย่างไรก็ตาม ตัวเลขจากการเผยแพร่ระยะแรกไม่ตรงกับชุดข้อมูลที่ผ่านการตรวจสอบในภายหลังทั้งหมด Hudson Rock ระบุว่าการเผยแพร่ที่เกี่ยวข้องมีโฟลเดอร์ของผู้ให้บริการ 669 ราย คีย์ API ที่ถูกบุกรุก 1,033 รายการ และมีการอ้างว่าข้อมูลมีขนาด 33 GB
ความแตกต่างนี้อาจเกิดจากการนับคนละวิธี การเผยแพร่คนละช่วง หรือเกณฑ์การตรวจสอบที่ต่างกัน จึงไม่ควรนำตัวเลขทั้งหมดมารวมเป็นยอดยืนยันเดียวกัน
Hudson Rock ยังรายงานว่าโพสต์บนฟอรัมระบุขนาดข้อมูล 33 GB แต่ไฟล์ที่ดาวน์โหลดได้จริงมีขนาดประมาณ 2.37 GB ความไม่ตรงกันนี้สอดคล้องกับข้ออ้างว่าอาจมีข้อมูลส่วนอื่นอยู่นอกชุดดาวน์โหลดแรก แต่ยังไม่ใช่หลักฐานยืนยันว่ามีข้อมูลเพิ่มเติมจริง
ส่วนข้ออ้างว่าผู้โจมตีมีคีย์ Stripe API เพิ่มอีกประมาณ 20,000 รายการ เพื่อทยอยเผยแพร่ในอนาคตนั้น ยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ
เหตุใดจึงยังไม่ควรเรียกว่า Stripe ถูกเจาะระบบ ช่องทางที่คีย์ของร้านค้าอาจรั่วไหล ได้แก่:
บันทึกจากมัลแวร์ขโมยข้อมูล (Infostealer)
การคอมมิตคีย์ไว้ในโค้ดสาธารณะ
ไฟล์ .env ที่เปิดเผยต่อสาธารณะ
ไฟล์สำรองที่รักษาความปลอดภัยไม่เพียงพอ
บันทึกจากระบบ CI/CD
เว็บเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด
บอตที่สแกนหาตัวแปรสภาพแวดล้อมและข้อมูลลับที่ป้องกันไม่ดี
ในเวลาที่มีการรายงาน นักวิจัยยังไม่สามารถเชื่อมโยงการติดมัลแวร์ขโมยข้อมูลเข้ากับโดเมนร้านค้าเฉพาะรายที่อยู่ในชุดข้อมูลได้ จึงยังไม่ทราบต้นทางที่แน่ชัดของคีย์เหล่านี้
ความแตกต่างนี้สำคัญต่อการรับมือเหตุการณ์ หากเป็นการเจาะโครงสร้างพื้นฐานของ Stripe จะหมายถึงเหตุการณ์ระดับแพลตฟอร์ม แต่หากเป็นคีย์ร้านค้ารั่วไหล ก็หมายถึงมีข้อมูลลับของร้านค้าหลายรายถูกเปิดเผย แล้วถูกนำไปใช้เข้าถึงเฉพาะบัญชีที่คีย์เหล่านั้นมีสิทธิ์ควบคุม
คีย์ที่ยังใช้งานได้เพียงหนึ่งรายการอาจทำอะไรได้บ้าง นักวิจัยรายงานว่า คีย์ที่ยังใช้งานได้เพียงรายการเดียวก็เพียงพอที่จะเข้าถึงรายชื่อลูกค้าของร้านค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ภายในเวลา 17 ชั่วโมง
การทดสอบนี้สะท้อนว่า คีย์ลับที่ยังใช้งานได้และมีสิทธิ์กว้างควรถูกจัดเป็นเหตุการณ์ด้านความปลอดภัยของบัญชีทันที ผู้โจมตีไม่จำเป็นต้องเจาะระบบ Stripe หากคีย์นั้นอนุญาตให้เข้าถึงข้อมูลลูกค้าและฟังก์ชันการชำระเงินอยู่แล้ว
ผลกระทบที่อาจเกิดขึ้นจึงมีมากกว่าการเปิดเผยข้อมูล ขึ้นอยู่กับสิทธิ์ของคีย์และการตั้งค่าบัญชี ผู้ไม่หวังดีอาจเข้าถึงประวัติการชำระเงินหรือดำเนินการเกี่ยวกับ Payment Link การเรียกเก็บเงิน การคืนเงิน และการจ่ายเงินได้ อย่างไรก็ตาม รายงานที่มีอยู่ยังไม่ได้ยืนยันว่าทุกบัญชีในชุดข้อมูลถูกนำไปใช้ทำธุรกรรมทุจริตจริง
ทำไมการสแกนความลับบน GitHub อย่างเดียวจึงไม่พอ เหตุการณ์นี้ชี้ให้เห็นข้อจำกัดของการตรวจหาคีย์รั่วไหลด้วยการสแกนเฉพาะพื้นที่เก็บโค้ดสาธารณะ เพราะคีย์อาจหลงเหลืออยู่ใน บันทึก GitHub Actions อาร์ติแฟกต์เก่า ไฟล์ .env สาธารณะ เซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด และไฟล์สำรอง ซึ่งอาจไม่ถูกครอบคลุมด้วยการสแกนรีโพซิทอรีทั่วไป
รายงานอีกฉบับระบุว่า นักวิจัยพบความลับของ Stripe มากกว่า 50,000 รายการ ในโค้ดสาธารณะ บันทึก GitHub Actions และเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด ตัวเลขนี้สะท้อนปัญหาการค้นพบคีย์รั่วไหลในวงกว้าง ไม่ได้หมายความว่าคีย์ทั้งหมดอยู่ในชุดข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม
สำหรับธุรกิจ การลบคีย์ออกจากรีโพซิทอรีปัจจุบันไม่ได้ทำให้คีย์ปลอดภัยโดยอัตโนมัติ สำเนาอาจยังอยู่ในประวัติการคอมมิต บันทึกการสร้างระบบ อาร์ติแฟกต์ ไฟล์สำรอง หรือระบบที่นำไปใช้งานแล้ว หากสงสัยว่าคีย์ถูกเปิดเผย ต้องยกเลิกหรือเปลี่ยนคีย์ พร้อมตรวจสอบระบบที่เกี่ยวข้องทั้งหมด
ร้านค้าที่ใช้ Stripe ควรทำอะไรทันที
ยกเลิกหรือเปลี่ยนคีย์ลับที่ยังใช้งานได้ทันที หากมีความเสี่ยงว่าจะถูกเปิดเผย การลบไฟล์หรือรายการออกจากรีโพซิทอรีเพียงอย่างเดียวไม่ได้ทำให้คีย์หมดอายุ ตรวจสอบบันทึกการใช้งาน Stripe API และบัญชี โดยมองหาที่อยู่ IP ที่ไม่คุ้นเคย การเข้าถึงรายชื่อลูกค้า การส่งออกข้อมูล การสร้าง Payment Link การพยายามเรียกเก็บเงิน การคืนเงิน และกิจกรรมการจ่ายเงิน ตรวจสอบข้อมูลบัญชีธนาคารสำหรับรับเงินและการเปลี่ยนแปลงการจ่ายเงินล่าสุด พร้อมเพิ่มการเฝ้าระวังหรือมาตรการควบคุมชั่วคราวสำหรับการโอนเงินตามความเหมาะสม เปลี่ยนจากคีย์ที่มีสิทธิ์กว้างเป็นคีย์แบบจำกัดสิทธิ์ โดยอนุญาตเฉพาะการทำงานที่แอปพลิเคชันจำเป็นต้องใช้ จัดเก็บข้อมูลลับในระบบจัดการความลับโดยเฉพาะ และนำออกจากซอร์สโค้ด ไฟล์สภาพแวดล้อม บันทึกระบบ และไฟล์สำรองที่ไม่มีการป้องกัน ค้นหาคีย์ในรีโพซิทอรีเก่า บันทึก CI/CD อาร์ติแฟกต์ เซิร์ฟเวอร์ และไฟล์สำรอง ไม่ใช่ตรวจเฉพาะโค้ดสาธารณะเวอร์ชันล่าสุด gbhackers.com
659 Stripe Merchant API Keys Leaked Online, Exposing ...
ขอบเขตของข้อมูลที่ถูกรายงานว่ารั่วไหล การวิเคราะห์ที่มีรายละเอียดมากที่สุดระบุว่าชุดข้อมูลเชื่อมโยงกับ:
บัญชีร้านค้า 659 บัญชี
คีย์ลับ sk_live ที่ยังใช้งานได้ประมาณ 650 รายการ
ระเบียนลูกค้าประมาณ 688,363 รายการ
ร้านค้าใน 42 ประเทศ
ข้อมูลราว 35 GB ใน 17,654 ไฟล์
ข้อมูลที่ถูกรายงานว่ารวมอยู่ในชุดดังกล่าว ได้แก่:
รายการเรียกเก็บเงิน (Charges)
Payment Intents หรือคำขอชำระเงิน
ใบแจ้งหนี้
การจ่ายเงินให้ร้านค้า (Payouts)
การคืนเงิน
รายการเคลื่อนไหวของยอดคงเหลือ
ข้อมูลมีช่วงเวลาตั้งแต่ เดือนมกราคม 2022 ถึงเดือนมิถุนายน 2026
ความเสี่ยงไม่ได้จำกัดอยู่แค่การเปิดเผยข้อมูลส่วนบุคคล เพราะมีรายงานว่า 519 จาก 659 บัญชี สามารถทั้งรับชำระเงินและสั่งจ่ายเงินได้ หากคีย์เหล่านี้ยังไม่ถูกยกเลิก ผู้โจมตีอาจนำไปใช้สร้างธุรกรรมทุจริตหรือพยายามเปลี่ยนเส้นทางเงินได้
ประเทศที่มีร้านค้าได้รับผลกระทบมากที่สุดตามรายงาน ได้แก่ สหรัฐฯ 212 บัญชี ตามด้วย สหราชอาณาจักร 81 บัญชี และ ฝรั่งเศส 57 บัญชี
ใครเป็นผู้เผยแพร่ข้อมูล อย่างไรก็ตาม ตัวเลขจากการเผยแพร่ระยะแรกไม่ตรงกับชุดข้อมูลที่ผ่านการตรวจสอบในภายหลังทั้งหมด Hudson Rock ระบุว่าการเผยแพร่ที่เกี่ยวข้องมีโฟลเดอร์ของผู้ให้บริการ 669 ราย คีย์ API ที่ถูกบุกรุก 1,033 รายการ และมีการอ้างว่าข้อมูลมีขนาด 33 GB
ความแตกต่างนี้อาจเกิดจากการนับคนละวิธี การเผยแพร่คนละช่วง หรือเกณฑ์การตรวจสอบที่ต่างกัน จึงไม่ควรนำตัวเลขทั้งหมดมารวมเป็นยอดยืนยันเดียวกัน
Hudson Rock ยังรายงานว่าโพสต์บนฟอรัมระบุขนาดข้อมูล 33 GB แต่ไฟล์ที่ดาวน์โหลดได้จริงมีขนาดประมาณ 2.37 GB ความไม่ตรงกันนี้สอดคล้องกับข้ออ้างว่าอาจมีข้อมูลส่วนอื่นอยู่นอกชุดดาวน์โหลดแรก แต่ยังไม่ใช่หลักฐานยืนยันว่ามีข้อมูลเพิ่มเติมจริง
ส่วนข้ออ้างว่าผู้โจมตีมีคีย์ Stripe API เพิ่มอีกประมาณ 20,000 รายการ เพื่อทยอยเผยแพร่ในอนาคตนั้น ยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ
เหตุใดจึงยังไม่ควรเรียกว่า Stripe ถูกเจาะระบบ ช่องทางที่คีย์ของร้านค้าอาจรั่วไหล ได้แก่:
บันทึกจากมัลแวร์ขโมยข้อมูล (Infostealer)
การคอมมิตคีย์ไว้ในโค้ดสาธารณะ
ไฟล์ .env ที่เปิดเผยต่อสาธารณะ
ไฟล์สำรองที่รักษาความปลอดภัยไม่เพียงพอ
บันทึกจากระบบ CI/CD
เว็บเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด
บอตที่สแกนหาตัวแปรสภาพแวดล้อมและข้อมูลลับที่ป้องกันไม่ดี
ในเวลาที่มีการรายงาน นักวิจัยยังไม่สามารถเชื่อมโยงการติดมัลแวร์ขโมยข้อมูลเข้ากับโดเมนร้านค้าเฉพาะรายที่อยู่ในชุดข้อมูลได้ จึงยังไม่ทราบต้นทางที่แน่ชัดของคีย์เหล่านี้
ความแตกต่างนี้สำคัญต่อการรับมือเหตุการณ์ หากเป็นการเจาะโครงสร้างพื้นฐานของ Stripe จะหมายถึงเหตุการณ์ระดับแพลตฟอร์ม แต่หากเป็นคีย์ร้านค้ารั่วไหล ก็หมายถึงมีข้อมูลลับของร้านค้าหลายรายถูกเปิดเผย แล้วถูกนำไปใช้เข้าถึงเฉพาะบัญชีที่คีย์เหล่านั้นมีสิทธิ์ควบคุม
คีย์ที่ยังใช้งานได้เพียงหนึ่งรายการอาจทำอะไรได้บ้าง นักวิจัยรายงานว่า คีย์ที่ยังใช้งานได้เพียงรายการเดียวก็เพียงพอที่จะเข้าถึงรายชื่อลูกค้าของร้านค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ภายในเวลา 17 ชั่วโมง
การทดสอบนี้สะท้อนว่า คีย์ลับที่ยังใช้งานได้และมีสิทธิ์กว้างควรถูกจัดเป็นเหตุการณ์ด้านความปลอดภัยของบัญชีทันที ผู้โจมตีไม่จำเป็นต้องเจาะระบบ Stripe หากคีย์นั้นอนุญาตให้เข้าถึงข้อมูลลูกค้าและฟังก์ชันการชำระเงินอยู่แล้ว
ผลกระทบที่อาจเกิดขึ้นจึงมีมากกว่าการเปิดเผยข้อมูล ขึ้นอยู่กับสิทธิ์ของคีย์และการตั้งค่าบัญชี ผู้ไม่หวังดีอาจเข้าถึงประวัติการชำระเงินหรือดำเนินการเกี่ยวกับ Payment Link การเรียกเก็บเงิน การคืนเงิน และการจ่ายเงินได้ อย่างไรก็ตาม รายงานที่มีอยู่ยังไม่ได้ยืนยันว่าทุกบัญชีในชุดข้อมูลถูกนำไปใช้ทำธุรกรรมทุจริตจริง
ทำไมการสแกนความลับบน GitHub อย่างเดียวจึงไม่พอ เหตุการณ์นี้ชี้ให้เห็นข้อจำกัดของการตรวจหาคีย์รั่วไหลด้วยการสแกนเฉพาะพื้นที่เก็บโค้ดสาธารณะ เพราะคีย์อาจหลงเหลืออยู่ใน บันทึก GitHub Actions อาร์ติแฟกต์เก่า ไฟล์ .env สาธารณะ เซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด และไฟล์สำรอง ซึ่งอาจไม่ถูกครอบคลุมด้วยการสแกนรีโพซิทอรีทั่วไป
รายงานอีกฉบับระบุว่า นักวิจัยพบความลับของ Stripe มากกว่า 50,000 รายการ ในโค้ดสาธารณะ บันทึก GitHub Actions และเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด ตัวเลขนี้สะท้อนปัญหาการค้นพบคีย์รั่วไหลในวงกว้าง ไม่ได้หมายความว่าคีย์ทั้งหมดอยู่ในชุดข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม
สำหรับธุรกิจ การลบคีย์ออกจากรีโพซิทอรีปัจจุบันไม่ได้ทำให้คีย์ปลอดภัยโดยอัตโนมัติ สำเนาอาจยังอยู่ในประวัติการคอมมิต บันทึกการสร้างระบบ อาร์ติแฟกต์ ไฟล์สำรอง หรือระบบที่นำไปใช้งานแล้ว หากสงสัยว่าคีย์ถูกเปิดเผย ต้องยกเลิกหรือเปลี่ยนคีย์ พร้อมตรวจสอบระบบที่เกี่ยวข้องทั้งหมด
ร้านค้าที่ใช้ Stripe ควรทำอะไรทันที
ยกเลิกหรือเปลี่ยนคีย์ลับที่ยังใช้งานได้ทันที หากมีความเสี่ยงว่าจะถูกเปิดเผย การลบไฟล์หรือรายการออกจากรีโพซิทอรีเพียงอย่างเดียวไม่ได้ทำให้คีย์หมดอายุ ตรวจสอบบันทึกการใช้งาน Stripe API และบัญชี โดยมองหาที่อยู่ IP ที่ไม่คุ้นเคย การเข้าถึงรายชื่อลูกค้า การส่งออกข้อมูล การสร้าง Payment Link การพยายามเรียกเก็บเงิน การคืนเงิน และกิจกรรมการจ่ายเงิน ตรวจสอบข้อมูลบัญชีธนาคารสำหรับรับเงินและการเปลี่ยนแปลงการจ่ายเงินล่าสุด พร้อมเพิ่มการเฝ้าระวังหรือมาตรการควบคุมชั่วคราวสำหรับการโอนเงินตามความเหมาะสม เปลี่ยนจากคีย์ที่มีสิทธิ์กว้างเป็นคีย์แบบจำกัดสิทธิ์ โดยอนุญาตเฉพาะการทำงานที่แอปพลิเคชันจำเป็นต้องใช้ จัดเก็บข้อมูลลับในระบบจัดการความลับโดยเฉพาะ และนำออกจากซอร์สโค้ด ไฟล์สภาพแวดล้อม บันทึกระบบ และไฟล์สำรองที่ไม่มีการป้องกัน ค้นหาคีย์ในรีโพซิทอรีเก่า บันทึก CI/CD อาร์ติแฟกต์ เซิร์ฟเวอร์ และไฟล์สำรอง ไม่ใช่ตรวจเฉพาะโค้ดสาธารณะเวอร์ชันล่าสุด gbhackers.com
659 Stripe Merchant API Keys Leaked Online, Exposing ...
