Rò rỉ khóa Stripe đặt 688.363 hồ sơ khách hàng trước nguy cơ bị khai thác

Vụ việc ngày 18/8/2026 liên quan đến Stripe nhiều khả năng là một vụ lộ diện trên diện rộng các thông tin xác thực của nhà bán hàng, thay vì một cuộc xâm nhập đã được xác nhận vào hạ tầng của chính Stripe. Một tác nhân đe dọa sử dụng bí danh “Satanic” được cho là đã đăng dữ liệu trên diễn đàn ngầm pwnforums, trong đó có các khóa bí mật còn hoạt động và dữ liệu được truy xuất từ tài khoản của từng nhà bán hàng.

Quy mô dữ liệu được báo cáo

Phân tích chi tiết nhất cho biết bộ dữ liệu liên quan đến:

• 659 tài khoản nhà bán hàng;
• 650 khóa bí mật sk_live còn hoạt động;
• khoảng 688.363 hồ sơ khách hàng tại 42 quốc gia;
• khoảng 35 GB dữ liệu trong 17.654 tệp.

Dữ liệu được cho là bao gồm thông tin khách hàng và các bản ghi liên quan đến:

• khoản tính phí;
• Payment Intent, tức các yêu cầu xử lý thanh toán;
• hóa đơn;
• khoản chi trả;
• giao dịch hoàn tiền;
• giao dịch biến động số dư.

Các bản ghi có thời gian từ tháng 1/2022 đến tháng 6/2026.

Rủi ro không chỉ dừng ở việc lộ dữ liệu. Có tới 519 trong số 659 tài khoản được báo cáo là có thể vừa nhận thanh toán vừa thực hiện chi trả. Nếu khóa vẫn còn hiệu lực, kẻ tấn công có thể tìm cách thực hiện giao dịch gian lận hoặc chuyển hướng tiền.

Xét theo số lượng nhà bán hàng bị ảnh hưởng, Mỹ đứng đầu với 212 tài khoản, tiếp theo là Vương quốc Anh với 81 và Pháp với 57.

Ai đã đăng dữ liệu?

Dữ liệu được quy cho tác nhân đe dọa “Satanic”, người được cho là đã đăng tải chúng trên pwnforums vào ngày 18/8. Một số báo cáo cho biết dữ liệu được cung cấp để tải xuống miễn phí, thay vì rao bán.

Tuy nhiên, các con số trong đợt phát hành ban đầu không hoàn toàn trùng khớp với bộ dữ liệu được xác minh sau đó. Phân tích liên quan của Hudson Rock đề cập đến 669 thư mục nhà cung cấp, 1.033 khóa API bị xâm phạm và một kho dữ liệu được tuyên bố có dung lượng 33 GB.

Sự chênh lệch này có thể xuất phát từ các giai đoạn phát hành khác nhau, cách đếm khác nhau hoặc tiêu chí xác minh khác nhau. Vì vậy, không nên cộng hoặc gộp tất cả thành một tổng số đã được xác nhận. Tuyên bố cho rằng tác nhân này còn nắm khoảng 20.000 khóa API Stripe để phát hành trong tương lai cũng chưa được kiểm chứng độc lập.

Hudson Rock đồng thời ghi nhận một điểm không nhất quán khác: bài đăng trên diễn đàn quảng cáo kho dữ liệu 33 GB, trong khi tệp có thể tải xuống chỉ khoảng 2,37 GB. Chênh lệch này phù hợp với — nhưng chưa chứng minh — tuyên bố rằng còn dữ liệu khác nằm ngoài gói tải xuống ban đầu.

Vì sao đây chưa được xem là vụ đột nhập hạ tầng Stripe?

Các thông tin hiện có cho thấy kẻ tấn công có thể đã sử dụng những khóa bí mật bị đánh cắp để gửi các yêu cầu API Stripe thông thường. Theo kịch bản này, dữ liệu được lấy thông qua quyền truy cập của từng tài khoản nhà bán hàng, chứ không phải bằng cách khai thác hạ tầng trung tâm của Stripe. Các nhà nghiên cứu chưa tìm thấy bằng chứng cho thấy hạ tầng cốt lõi của Stripe đã bị xâm nhập.

Một số con đường có thể khiến khóa bị lộ gồm:

• nhật ký của phần mềm đánh cắp thông tin;
• các lần commit mã nguồn công khai;
• tệp .env bị công khai;
• bản sao lưu không an toàn;
• nhật ký hệ thống CI/CD;
• máy chủ web cấu hình sai;
• công cụ tự động quét biến môi trường và các bí mật được bảo vệ kém.

Tại thời điểm đưa tin, các nhà nghiên cứu chưa liên kết được một vụ lây nhiễm phần mềm đánh cắp thông tin cụ thể với những tên miền nhà bán hàng xuất hiện trong bộ dữ liệu. Nguồn gốc ban đầu của các thông tin xác thực vì thế vẫn chưa được làm rõ.

Sự phân biệt này có ý nghĩa quan trọng khi xử lý sự cố. Nếu hạ tầng Stripe bị xâm nhập, đó sẽ là sự kiện an ninh có phạm vi nền tảng. Ngược lại, việc lộ khóa nhà bán hàng cho thấy nhiều bí mật riêng lẻ có thể đã bị rò rỉ rồi bị sử dụng để truy cập đúng các tài khoản mà chúng kiểm soát.

Một khóa còn hoạt động có thể làm được gì?

Các nhà nghiên cứu cho biết chỉ một khóa còn hoạt động đã đủ để truy cập danh sách khách hàng của một nhà bán hàng, tạo một Payment Link giả mạo và thực hiện một giao dịch thử trong vòng 17 giờ.

Thử nghiệm này cho thấy vì sao một khóa bí mật còn hiệu lực, đặc biệt là khóa có quyền rộng, phải được xem như một sự cố bảo mật khẩn cấp. Kẻ tấn công không nhất thiết phải phá được hệ thống Stripe nếu khóa đã cấp quyền truy cập dữ liệu khách hàng và các chức năng thanh toán.

Tác động tiềm ẩn không chỉ là lộ dữ liệu. Tùy quyền hạn của khóa và cấu hình tài khoản, truy cập trái phép có thể làm lộ bản ghi thanh toán hoặc cho phép thao tác với liên kết thanh toán, khoản tính phí, hoàn tiền và chi trả. Bộ dữ liệu được báo cáo có nhiều loại bản ghi nói trên, nhưng các nguồn hiện có chưa chứng minh rằng mọi tài khoản trong danh sách đều đã phát sinh giao dịch gian lận.

Khoảng trống trong việc quét bí mật

Sự cố cũng cho thấy chỉ quét các kho mã nguồn công khai là chưa đủ để bảo vệ thông tin xác thực thanh toán. Các nhà nghiên cứu xác định những điểm có thể làm lộ khóa gồm nhật ký GitHub Actions, tệp lịch sử, tệp .env công khai, bản sao lưu và máy chủ cấu hình sai — những nơi có thể nằm ngoài phạm vi của một đợt quét kho mã nguồn thông thường.

Một báo cáo riêng cho biết các nhà nghiên cứu đã phát hiện hơn 50.000 bí mật Stripe trong mã nguồn công khai, nhật ký GitHub Actions và máy chủ cấu hình sai. Con số này phản ánh quy mô rộng hơn của vấn đề phát hiện bí mật, không đồng nghĩa tất cả các khóa đều đã được xác nhận là thuộc bộ dữ liệu đăng ngày 18/8.

Với doanh nghiệp, bài học thực tế là xóa một bí mật khỏi phiên bản mã nguồn hiện tại không khiến bí mật đó tự động an toàn. Bản sao có thể vẫn tồn tại trong lịch sử commit, nhật ký build, tệp tạo ra từ quá trình build, bản sao lưu hoặc hệ thống đã triển khai. Khóa có khả năng bị lộ phải được thu hồi hoặc xoay vòng, đồng thời các hệ thống liên quan cần được điều tra.

Doanh nghiệp dùng Stripe nên làm gì ngay?

Các nhà bán hàng nghi ngờ thông tin xác thực của mình đã bị lộ nên ưu tiên cô lập rủi ro:

1. Lập tức thu hồi hoặc xoay vòng các khóa bí mật còn hoạt động có khả năng bị lộ. Chỉ xóa tệp hoặc mục trong kho mã nguồn sẽ không làm khóa mất hiệu lực.
2. Rà soát hoạt động API và tài khoản Stripe để tìm địa chỉ IP lạ, truy cập danh sách khách hàng, xuất dữ liệu, tạo Payment Link, nỗ lực thanh toán, hoàn tiền và hoạt động chi trả bất thường.
3. Kiểm tra thông tin tài khoản ngân hàng nhận tiền và các thay đổi chi trả gần đây. Khi cần, hãy tăng mức giám sát hoặc bổ sung kiểm soát tạm thời đối với các giao dịch chuyển tiền.
4. Thay khóa có quyền rộng bằng khóa hạn chế, chỉ cho phép những thao tác mà ứng dụng thực sự cần.
5. Đưa bí mật vào hệ thống quản lý secret chuyên dụng, đồng thời loại bỏ chúng khỏi mã nguồn, tệp môi trường, nhật ký và bản sao lưu không được bảo vệ.
6. Tìm kiếm trong kho mã nguồn lịch sử, nhật ký CI/CD, tệp build, máy chủ và bản sao lưu, thay vì chỉ kiểm tra mã nguồn công khai mới nhất.

Bằng chứng hiện có cho thấy đây là vụ lộ thông tin xác thực nghiêm trọng của nhà bán hàng, kéo theo rủi ro đáng kể đối với dữ liệu khách hàng và hoạt động thanh toán. Tuy nhiên, các nguồn chưa cho phép kết luận rằng hạ tầng trung tâm của Stripe đã bị tấn công. Do số liệu giữa các báo cáo còn khác nhau, những con số trên nên được hiểu là ước tính theo từng bộ dữ liệu, không phải một danh mục ảnh hưởng duy nhất và hoàn chỉnh.