Stripe商户密钥泄露事件：688,363条客户记录或已暴露

这起事件的风险不仅限于隐私泄露。报道称，659个账户中有519个同时具备收款和提现能力。如果这些密钥在泄露后仍然有效，攻击者可能利用它们实施未经授权的支付操作，甚至尝试转移资金。

受影响商户数量最多的国家据报为：美国212个、英国81个、法国57个。

谁发布了数据？

据报道，化名为**“Satanic”**的威胁行为者于8月18日在pwnforums发布了相关材料，并提供免费下载，而非直接出售。

不过，不同报告中的统计数字并不完全一致。Hudson Rock针对相关的初始发布批次称，数据包含669个供应商文件夹、1,033个被攻陷的API密钥，并声称总规模为33 GB。

这些差异可能源于不同的发布阶段、统计口径或验证标准，因此不应简单相加，也不应视为一个已经完全确认的总数。有关攻击者还掌握约20,000个额外Stripe API密钥、准备分批发布的说法，目前尚未得到独立验证。

Hudson Rock还指出，论坛帖子标称数据量为33 GB，但可下载压缩包实际约为2.37 GB。这一差异与“仍有更多数据尚未公开”的说法相符，但本身并不能证明该说法成立。

为什么这看起来不像Stripe基础设施入侵？

现有报道认为，攻击者可能使用被盗的商户密钥，通过正常的Stripe API请求读取各个商户账户中的数据。换言之，数据访问可能是由拥有相应权限的商户凭据完成的，而不是通过漏洞直接攻破Stripe的中央系统。研究人员目前没有发现Stripe核心基础设施遭到入侵的证据。

商户密钥可能通过多种途径泄露，包括：

• 信息窃取木马日志；
• 公开代码提交记录；
• 暴露在公网的 .env 文件；
• 不安全的备份；
• CI/CD流水线日志；
• 配置错误的Web服务器；
• 针对环境变量和其他未妥善保护密钥的自动化扫描。

截至相关报道发布时，研究人员尚未将信息窃取木马感染与数据集中列出的具体商户域名对应起来，因此凭据最初究竟从何处泄露，仍未确定。

这一判断对事件响应非常关键：如果是Stripe基础设施被攻破，意味着可能存在平台级安全事件；而商户密钥泄露则更可能意味着大量彼此独立的密钥先后暴露，随后被用于访问各自控制的账户。

一个有效密钥能做什么？

研究人员称，他们在17小时内使用一个仍有效的密钥访问了某商户的客户列表、创建了一个欺诈性Payment Link，并完成了一笔测试扣款。

这项演示说明，拥有较广泛权限的实时密钥应被视为需要立即处置的账户安全事件。攻击者未必需要先攻破Stripe；如果密钥本身已授权访问客户数据和支付功能，便可能直接滥用这些权限。

潜在影响也不止于数据读取。根据密钥权限和商户账户配置，未经授权的访问可能涉及支付记录、付款链接、扣款、退款和提现等操作。虽然报告称数据集中包含多类交易记录，但现有信息并不能证明列表中的每个账户都已经发生欺诈活动。

仅扫描GitHub仓库并不够

这起事件还暴露出一个常见盲区：仅扫描公开代码仓库，无法覆盖所有可能的密钥泄露位置。研究人员指出，GitHub Actions日志、历史构建产物、公开.env文件、备份以及配置错误的服务器，都可能保存着未失效的凭据。

另有报告称，研究人员在公开代码、GitHub Actions日志和配置错误的服务器中发现了超过50,000个Stripe密钥。这一数字反映的是更广泛的暴露问题，并不意味着这些密钥都已确认属于8月18日发布的数据集。

对企业而言，删除当前代码中的密钥并不等于密钥已经失效。密钥副本可能仍存在于Git提交历史、构建日志、制品、备份或已部署系统中。只要存在暴露可能，就应撤销或轮换密钥，并调查相关系统。

Stripe商户现在应采取哪些措施？

可能受到影响的商户应优先进行遏制和核查：

1. **立即撤销或轮换可能泄露的实时密钥。**仅删除文件或仓库中的密钥，并不会使原密钥失效。
2. **检查Stripe API和账户活动。**重点关注陌生IP地址、客户列表访问、数据导出、Payment Link创建、支付尝试、退款以及提现操作。
3. **核对提现银行账户信息和近期提现变更。**必要时提高转账监控强度，或临时增加额外控制措施。
4. **用受限密钥替代权限过宽的密钥。**仅授予应用实际需要的API操作权限。
5. **将密钥存放在托管式密钥管理系统中。**同时从源代码、环境文件、日志和未加密备份中清除敏感凭据。
6. **检查历史代码库、CI/CD日志、构建制品、服务器和备份。**不要只检查当前版本或最新的公开代码。

目前证据支持这样一个判断：这是一起严重的商户凭据暴露事件，可能带来大范围客户数据和支付操作风险；但现有材料不足以断言Stripe核心基础设施遭到入侵。由于不同报告的统计数字存在差异，659个商户、650个实时密钥以及其他数字应理解为特定数据集的估算，而不是一个最终、统一的清单。