Витік ключів Stripe: під загрозою дані 688 363 клієнтів у 42 країнах

Що сталося 18 серпня

Імовірно, йдеться про масштабну компрометацію облікових даних продавців Stripe, а не про підтверджений злам власної інфраструктури платіжної платформи. Зловмисник під псевдонімом «Satanic» опублікував матеріали на підпільному форумі pwnforums. Архів нібито містив активні секретні ключі та дані, отримані з окремих акаунтів продавців через їхні облікові дані.

Масштаб оприлюднених даних

Найдетальніший аналіз описує набір даних, пов’язаний із:

• 659 обліковими записами продавців;
• 650 активними секретними ключами sk_live;
• приблизно 688 363 клієнтськими записами;
• продавцями у 42 країнах;
• близько 35 ГБ даних у 17 654 файлах.

До архіву, за повідомленнями, входили дані клієнтів і записи про:

• платежі та списання;
• платіжні наміри;
• рахунки;
• виплати продавцям;
• повернення коштів;
• балансові транзакції.

Дати в записах охоплювали період від січня 2022 року до червня 2026 року.

Ризик не обмежувався витоком інформації. 519 із 659 акаунтів нібито могли одночасно приймати платежі та здійснювати виплати. Якщо такі ключі залишалися чинними, це потенційно відкривало шлях до шахрайських операцій або спроб перенаправити кошти.

Найбільше постраждалих продавців, за наведеними оцінками, було у США — 212 акаунтів, далі йшли Велика Британія — 81 і Франція — 57.

Хто опублікував набір даних

Матеріали приписують учаснику під псевдонімом «Satanic», який 18 серпня розмістив їх на pwnforums. За повідомленнями, архів пропонували завантажити безплатно, а не продавали.

Водночас цифри першої публікації відрізняються від показників пізніше перевіреного набору. У пов’язаному аналізі Hudson Rock ішлося про 669 папок продавців, 1 033 скомпрометовані API-ключі та архів обсягом 33 ГБ.

Різниця може пояснюватися різними етапами публікації, методиками підрахунку або критеріями перевірки. Тому ці показники не варто складати в один остаточний підсумок. Твердження про приблизно 20 000 додаткових ключів Stripe API, які нібито зберігаються для майбутніх публікацій, незалежно не підтверджене.

Hudson Rock також звернув увагу на невідповідність обсягів: на форумі заявляли про 33 ГБ, тоді як доступний для завантаження архів мав приблизно 2,37 ГБ. Це узгоджується з припущенням про наявність додаткових матеріалів, але саме по собі його не доводить.

Чому це, ймовірно, не злам Stripe

Доступні дані свідчать, що зловмисники могли використовувати викрадені секретні ключі продавців для звичайних запитів до Stripe API. За такого сценарію інформацію отримували через ключі, які мали доступ до конкретних акаунтів, а не завдяки вразливості в центральних системах Stripe. Дослідники не повідомляли про докази компрометації базової інфраструктури платформи.

Серед можливих шляхів витоку ключів називають:

• журнали інфостілерів — шкідливих програм, що викрадають облікові дані;
• коміти у відкритих репозиторіях;
• доступні файли .env;
• незахищені резервні копії;
• журнали CI/CD — автоматизованих процесів збирання та розгортання програм;
• неправильно налаштовані вебсервери;
• автоматичне сканування змінних середовища та інших незахищених секретів.

На момент підготовки повідомлень дослідники не пов’язали зараження інфостілером із конкретними доменами продавців, переліченими в наборі. Точне першоджерело викрадених ключів залишається невстановленим.

Ця відмінність важлива для реагування на інцидент. Злам інфраструктури Stripe означав би загальноплатформну подію, тоді як компрометація ключів продавців вказує на витік багатьох окремих секретів і подальше використання кожного з них проти акаунта, до якого він надавав доступ.

Що міг зробити один активний ключ

Дослідники повідомили, що одного активного ключа вистачило, аби отримати доступ до списку клієнтів продавця, створити шахрайське платіжне посилання Payment Link і виконати тестове списання протягом 17 годин.

Ця демонстрація показує, чому активний секретний ключ із широкими правами потрібно розглядати як невідкладний інцидент безпеки акаунта. Якщо ключ уже авторизує доступ до даних клієнтів і платіжних функцій, зловмиснику не обов’язково ламати сам Stripe.

Потенційні наслідки не обмежуються розголошенням даних. Залежно від дозволів ключа та налаштувань акаунта, сторонній міг отримати платіжні записи або виконувати операції з платіжними посиланнями, списаннями, поверненнями та виплатами. Водночас наявні повідомлення не доводять, що шахрайські дії відбулися в кожному акаунті з переліку.

Чому перевірки GitHub недостатньо

Інцидент також показує, що пошук секретів лише у відкритих репозиторіях не забезпечує повного захисту платіжних ключів. Дослідники виявили можливі точки витоку в журналах GitHub Actions, історичних артефактах, доступних файлах .env, резервних копіях і неправильно налаштованих серверах — тобто в місцях, які звичайне сканування репозиторію може не охоплювати.

Окремо повідомлялося, що дослідники виявили понад 50 000 секретів Stripe у відкритому коді, журналах GitHub Actions і на неправильно налаштованих серверах. Це оцінка ширшої проблеми пошуку витоків, а не кількість ключів, підтверджено пов’язаних саме з публікацією 18 серпня.

Практичний висновок для бізнесу простий: видалення секрету з поточної версії репозиторію не робить його безпечним. Копії можуть залишатися в історії комітів, журналах збирання, артефактах, резервних копіях або розгорнутих системах. Потенційно скомпрометований ключ потрібно відкликати або замінити, а пов’язані системи — перевірити.

Що робити продавцям Stripe

Компаніям, які могли розкрити свої облікові дані, варто зосередитися на локалізації інциденту:

1. Негайно відкличте або замініть потенційно скомпрометовані активні секретні ключі. Простого видалення файлу чи запису з репозиторію недостатньо — це не анулює ключ.
2. Перевірте активність Stripe API та акаунта на незнайомі IP-адреси, доступ до списків клієнтів, експорт даних, створення Payment Link, спроби платежів, повернення коштів і виплати.
3. Перевірте реквізити банківського рахунку для виплат і нещодавні зміни налаштувань. За потреби посильте моніторинг або тимчасово запровадьте додаткові обмеження для переказів.
4. Замініть широкі секретні ключі на ключі з обмеженими правами, які дозволяють лише операції, необхідні конкретному застосунку.
5. Зберігайте секрети в спеціалізованому керованому сховищі та приберіть їх із вихідного коду, файлів середовища, журналів і незахищених резервних копій.
6. Перевірте не лише актуальний відкритий код, а й історію репозиторіїв, журнали CI/CD, артефакти, сервери та резервні копії.

Наразі докази вказують на серйозний витік облікових даних продавців із масштабним ризиком для клієнтської та платіжної інформації. Вони не підтверджують, що було зламано центральну інфраструктуру Stripe. Через розбіжності між підрахунками наведені показники слід сприймати як оцінки конкретних наборів даних, а не як один остаточно встановлений реєстр.