Geleakte API-Schlüssel legen 688.000 Stripe-Kundendatensätze in 42 Ländern offen

Ein Bedrohungsakteur veröffentlichte am 18. August 2026 einen Datensatz mit aktiven Stripe-API-Schlüsseln für 659 Händlerkonten in einem Datenhandelsforum und legte damit Daten von schätzungsweise 688.363 Kundendatensätzen in 42 Ländern offen. Der Vorfall scheint keinen Einbruch in die Infrastruktur von Stripe selbst zu beinhalten, sondern eine massenhafte Offenlegung von Händler-Anmeldedaten.

Ausmaß der Offenlegung

Das 35 GB große Archiv, das von einem Forennutzer unter dem Pseudonym "Satanic" kostenlos zur Verfügung gestellt wurde, enthält 17.654 Dateien mit Kundendatensätzen, Belastungen, Zahlungsabsichten, Rechnungen, Auszahlungen, Rückerstattungen und Kontotransaktionen aus dem Zeitraum von Januar 2022 bis Juni 2026. Von den 659 Anmeldedaten waren 650 aktive geheime Schlüssel mit dem Präfix `sk_live`, und 519 Konten konnten sowohl Zahlungen entgegennehmen als auch Auszahlungen vornehmen, was das Risiko direkter finanzieller Verluste erhöht.cybersecuritynews+2

Unabhängig davon dokumentierten Forscher von Hudson Rock eine damit zusammenhängende Veröffentlichung desselben Bedrohungsakteurs, die auf Hunderte von Stripe-Anbietern abzielte, mit der Behauptung, etwa 20.000 kompromittierte API-Schlüssel zu besitzen, die in nachfolgenden Chargen veröffentlicht werden sollen. Der erste Datensatz enthielt Informationen zu 669 Anbietern und 1.033 API-Schlüsseln, wobei der Bedrohungsakteur gegenüber Forschern angab, die Veröffentlichung stelle "nur einen Bruchteil" ihrer gesamten Beute dar.infostealers

Angriffsvektor und Risiko

Ransomnews, die den Datensatz offline analysierten und Stripe vor der Veröffentlichung benachrichtigten, bestätigten, dass die Foren-Ankündigung fälschlicherweise behauptete, Stripe selbst sei gehackt worden. Forscher fanden stattdessen heraus, dass jemand die geheimen Schlüssel der Händler erworben und Standard-API-Anfragen verwendet hatte, um Daten von jedem Konto zu sammeln.securityaffairs+1

Zu den wahrscheinlichen Quellen der offengelegten Schlüssel gehören Infostealer-Protokolle von Entwicklerrechnern, Schlüssel in öffentlichen Code-Repositories, offengelegte `.env`-Dateien, falsch konfigurierte Backups und CI/CD-Protokolle. Die Analyse von Hudson Rock ergab keine Infostealer-Infektionen, die mit den spezifischen Anbieter-Domains in Verbindung stehen, was darauf hindeutet, dass der Angreifer möglicherweise automatisierte Bots verwendet hat, um nach falsch konfigurierten, öffentlich zugänglichen Umgebungsvariablen zu suchen.gbhackers+2

Forscher demonstrierten die Schwere des Vorfalls, indem sie zeigten, dass ein einziger aktiver Schlüssel ihnen innerhalb von 17 Stunden Zugriff auf die Kundenliste eines Händlers, die Erstellung eines betrügerischen Zahlungslinks und die Durchführung einer Testbelastung ermöglichte.securityaffairs

Abhilfemaßnahmen

Der größte Anteil der betroffenen Händler befand sich in den Vereinigten Staaten mit 212 Konten, gefolgt vom Vereinigten Königreich mit 81 und Frankreich mit 57. Betroffenen Unternehmen wird geraten, sofort alle aktiven geheimen Schlüssel zu rotieren, API-Aktivitätsprotokolle zu überprüfen, Bankdaten für Auszahlungen zu verifizieren und allgemeine geheime Schlüssel durch eingeschränkte Schlüssel zu ersetzen, die nur auf die erforderlichen Funktionen beschränkt sind. Stripe bietet automatische Scans auf geheime Schlüssel über das Partnerprogramm von GitHub an, aber Forscher stellten fest, dass die Opt-in-Rate niedrig bleibt und die Abdeckung sich nicht auf Build-Protokolle oder falsch konfigurierte Server erstreckt.cyberpress+3