คีย์ Stripe รั่ว เสี่ยงกระทบข้อมูลลูกค้า 688,363 รายจาก 659 บัญชีร้านค้า

ข้อมูลมีช่วงเวลาตั้งแต่ เดือนมกราคม 2022 ถึงเดือนมิถุนายน 2026

ความเสี่ยงไม่ได้จำกัดอยู่แค่การเปิดเผยข้อมูลส่วนบุคคล เพราะมีรายงานว่า 519 จาก 659 บัญชี สามารถทั้งรับชำระเงินและสั่งจ่ายเงินได้ หากคีย์เหล่านี้ยังไม่ถูกยกเลิก ผู้โจมตีอาจนำไปใช้สร้างธุรกรรมทุจริตหรือพยายามเปลี่ยนเส้นทางเงินได้

ประเทศที่มีร้านค้าได้รับผลกระทบมากที่สุดตามรายงาน ได้แก่ สหรัฐฯ 212 บัญชี ตามด้วย สหราชอาณาจักร 81 บัญชี และ ฝรั่งเศส 57 บัญชี

ใครเป็นผู้เผยแพร่ข้อมูล

ข้อมูลดังกล่าวถูกระบุว่าโพสต์โดยผู้โจมตีชื่อ “Satanic” บนฟอรัม pwnforums เมื่อวันที่ 18 สิงหาคม โดยรายงานระบุว่าเปิดให้ดาวน์โหลด ไม่ได้เสนอขาย

อย่างไรก็ตาม ตัวเลขจากการเผยแพร่ระยะแรกไม่ตรงกับชุดข้อมูลที่ผ่านการตรวจสอบในภายหลังทั้งหมด Hudson Rock ระบุว่าการเผยแพร่ที่เกี่ยวข้องมีโฟลเดอร์ของผู้ให้บริการ 669 ราย คีย์ API ที่ถูกบุกรุก 1,033 รายการ และมีการอ้างว่าข้อมูลมีขนาด 33 GB

ความแตกต่างนี้อาจเกิดจากการนับคนละวิธี การเผยแพร่คนละช่วง หรือเกณฑ์การตรวจสอบที่ต่างกัน จึงไม่ควรนำตัวเลขทั้งหมดมารวมเป็นยอดยืนยันเดียวกัน

Hudson Rock ยังรายงานว่าโพสต์บนฟอรัมระบุขนาดข้อมูล 33 GB แต่ไฟล์ที่ดาวน์โหลดได้จริงมีขนาดประมาณ 2.37 GB ความไม่ตรงกันนี้สอดคล้องกับข้ออ้างว่าอาจมีข้อมูลส่วนอื่นอยู่นอกชุดดาวน์โหลดแรก แต่ยังไม่ใช่หลักฐานยืนยันว่ามีข้อมูลเพิ่มเติมจริง

ส่วนข้ออ้างว่าผู้โจมตีมีคีย์ Stripe API เพิ่มอีกประมาณ 20,000 รายการ เพื่อทยอยเผยแพร่ในอนาคตนั้น ยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ

เหตุใดจึงยังไม่ควรเรียกว่า Stripe ถูกเจาะระบบ

รายงานที่มีอยู่ชี้ว่า ผู้โจมตีอาจใช้คีย์ลับของร้านค้าที่ขโมยมาเพื่อส่งคำขอ API ตามปกติของ Stripe ในกรณีนี้ ข้อมูลถูกดึงผ่านสิทธิ์ของคีย์ที่เข้าถึงบัญชีร้านค้าแต่ละราย ไม่ใช่ผ่านช่องโหว่ของระบบศูนย์กลาง Stripe นักวิจัยยังไม่พบหลักฐานว่าโครงสร้างพื้นฐานหลักของ Stripe ถูกบุกรุก

ช่องทางที่คีย์ของร้านค้าอาจรั่วไหล ได้แก่:

• บันทึกจากมัลแวร์ขโมยข้อมูล (Infostealer)
• การคอมมิตคีย์ไว้ในโค้ดสาธารณะ
• ไฟล์ .env ที่เปิดเผยต่อสาธารณะ
• ไฟล์สำรองที่รักษาความปลอดภัยไม่เพียงพอ
• บันทึกจากระบบ CI/CD
• เว็บเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด
• บอตที่สแกนหาตัวแปรสภาพแวดล้อมและข้อมูลลับที่ป้องกันไม่ดี

ในเวลาที่มีการรายงาน นักวิจัยยังไม่สามารถเชื่อมโยงการติดมัลแวร์ขโมยข้อมูลเข้ากับโดเมนร้านค้าเฉพาะรายที่อยู่ในชุดข้อมูลได้ จึงยังไม่ทราบต้นทางที่แน่ชัดของคีย์เหล่านี้

ความแตกต่างนี้สำคัญต่อการรับมือเหตุการณ์ หากเป็นการเจาะโครงสร้างพื้นฐานของ Stripe จะหมายถึงเหตุการณ์ระดับแพลตฟอร์ม แต่หากเป็นคีย์ร้านค้ารั่วไหล ก็หมายถึงมีข้อมูลลับของร้านค้าหลายรายถูกเปิดเผย แล้วถูกนำไปใช้เข้าถึงเฉพาะบัญชีที่คีย์เหล่านั้นมีสิทธิ์ควบคุม

คีย์ที่ยังใช้งานได้เพียงหนึ่งรายการอาจทำอะไรได้บ้าง

นักวิจัยรายงานว่า คีย์ที่ยังใช้งานได้เพียงรายการเดียวก็เพียงพอที่จะเข้าถึงรายชื่อลูกค้าของร้านค้า สร้าง Payment Link ปลอม และทดลองเรียกเก็บเงินได้ภายในเวลา 17 ชั่วโมง

การทดสอบนี้สะท้อนว่า คีย์ลับที่ยังใช้งานได้และมีสิทธิ์กว้างควรถูกจัดเป็นเหตุการณ์ด้านความปลอดภัยของบัญชีทันที ผู้โจมตีไม่จำเป็นต้องเจาะระบบ Stripe หากคีย์นั้นอนุญาตให้เข้าถึงข้อมูลลูกค้าและฟังก์ชันการชำระเงินอยู่แล้ว

ผลกระทบที่อาจเกิดขึ้นจึงมีมากกว่าการเปิดเผยข้อมูล ขึ้นอยู่กับสิทธิ์ของคีย์และการตั้งค่าบัญชี ผู้ไม่หวังดีอาจเข้าถึงประวัติการชำระเงินหรือดำเนินการเกี่ยวกับ Payment Link การเรียกเก็บเงิน การคืนเงิน และการจ่ายเงินได้ อย่างไรก็ตาม รายงานที่มีอยู่ยังไม่ได้ยืนยันว่าทุกบัญชีในชุดข้อมูลถูกนำไปใช้ทำธุรกรรมทุจริตจริง

ทำไมการสแกนความลับบน GitHub อย่างเดียวจึงไม่พอ

เหตุการณ์นี้ชี้ให้เห็นข้อจำกัดของการตรวจหาคีย์รั่วไหลด้วยการสแกนเฉพาะพื้นที่เก็บโค้ดสาธารณะ เพราะคีย์อาจหลงเหลืออยู่ใน บันทึก GitHub Actions อาร์ติแฟกต์เก่า ไฟล์ .env สาธารณะ เซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด และไฟล์สำรอง ซึ่งอาจไม่ถูกครอบคลุมด้วยการสแกนรีโพซิทอรีทั่วไป

รายงานอีกฉบับระบุว่า นักวิจัยพบความลับของ Stripe มากกว่า 50,000 รายการ ในโค้ดสาธารณะ บันทึก GitHub Actions และเซิร์ฟเวอร์ที่ตั้งค่าผิดพลาด ตัวเลขนี้สะท้อนปัญหาการค้นพบคีย์รั่วไหลในวงกว้าง ไม่ได้หมายความว่าคีย์ทั้งหมดอยู่ในชุดข้อมูลที่เผยแพร่เมื่อวันที่ 18 สิงหาคม

สำหรับธุรกิจ การลบคีย์ออกจากรีโพซิทอรีปัจจุบันไม่ได้ทำให้คีย์ปลอดภัยโดยอัตโนมัติ สำเนาอาจยังอยู่ในประวัติการคอมมิต บันทึกการสร้างระบบ อาร์ติแฟกต์ ไฟล์สำรอง หรือระบบที่นำไปใช้งานแล้ว หากสงสัยว่าคีย์ถูกเปิดเผย ต้องยกเลิกหรือเปลี่ยนคีย์ พร้อมตรวจสอบระบบที่เกี่ยวข้องทั้งหมด

ร้านค้าที่ใช้ Stripe ควรทำอะไรทันที

1. ยกเลิกหรือเปลี่ยนคีย์ลับที่ยังใช้งานได้ทันที หากมีความเสี่ยงว่าจะถูกเปิดเผย การลบไฟล์หรือรายการออกจากรีโพซิทอรีเพียงอย่างเดียวไม่ได้ทำให้คีย์หมดอายุ
2. ตรวจสอบบันทึกการใช้งาน Stripe API และบัญชี โดยมองหาที่อยู่ IP ที่ไม่คุ้นเคย การเข้าถึงรายชื่อลูกค้า การส่งออกข้อมูล การสร้าง Payment Link การพยายามเรียกเก็บเงิน การคืนเงิน และกิจกรรมการจ่ายเงิน
3. ตรวจสอบข้อมูลบัญชีธนาคารสำหรับรับเงินและการเปลี่ยนแปลงการจ่ายเงินล่าสุด พร้อมเพิ่มการเฝ้าระวังหรือมาตรการควบคุมชั่วคราวสำหรับการโอนเงินตามความเหมาะสม
4. เปลี่ยนจากคีย์ที่มีสิทธิ์กว้างเป็นคีย์แบบจำกัดสิทธิ์ โดยอนุญาตเฉพาะการทำงานที่แอปพลิเคชันจำเป็นต้องใช้
5. จัดเก็บข้อมูลลับในระบบจัดการความลับโดยเฉพาะ และนำออกจากซอร์สโค้ด ไฟล์สภาพแวดล้อม บันทึกระบบ และไฟล์สำรองที่ไม่มีการป้องกัน
6. ค้นหาคีย์ในรีโพซิทอรีเก่า บันทึก CI/CD อาร์ติแฟกต์ เซิร์ฟเวอร์ และไฟล์สำรอง ไม่ใช่ตรวจเฉพาะโค้ดสาธารณะเวอร์ชันล่าสุด

หลักฐานในขณะนี้สนับสนุนข้อสรุปว่าเกิดการเปิดเผยคีย์ลับของร้านค้าในวงกว้าง ซึ่งสร้างความเสี่ยงอย่างมีนัยสำคัญต่อข้อมูลลูกค้าและการดำเนินการด้านการชำระเงิน แต่ยังไม่สนับสนุนการกล่าวว่าโครงสร้างพื้นฐานศูนย์กลางของ Stripe ถูกเจาะระบบ นอกจากนี้ ตัวเลขที่แตกต่างกันระหว่างรายงานหมายความว่ายอดต่าง ๆ ควรอ่านเป็นค่าประมาณเฉพาะชุดข้อมูลหรือช่วงการเผยแพร่ ไม่ใช่บัญชีรายการที่ยืนยันได้ทั้งหมด