Vuotaneet API-avaimet paljastivat 688 000 Stripen asiakastietoa 42 maassa

Uhka-toimija julkaisi 18. elokuuta 2026 tietojen vaihtofoorumilla aineiston, joka sisältää Stripen aktiivisia API-avaimia 659 kauppiastilille, paljastaen noin 688 363 asiakastietuetta 42 maassa. Tapaus ei näytä liittyvän Stripen oman infrastruktuurin murtoon, vaan kyseessä on kauppiaiden tunnusten massiivinen paljastuminen.

Paljastumisen laajuus

"Satanic"-nimimerkillä toimivan foorumikäyttäjän ilmaiseksi jakama 35 gigatavun arkisto sisältää 17 654 tiedostoa, jotka kattavat asiakastietoja, maksuja, maksuaikomuksia, laskuja, tilityksiä, hyvityksiä ja saldotapahtumia tammikuusta 2022 kesäkuuhun 2026. 659 tunnuksesta 650 oli aktiivisia salaisia avaimia, jotka alkavat `sk_live`-etuliitteellä, ja 519 tiliä pystyi sekä vastaanottamaan maksuja että tekemään tilityksiä, mikä nostaa suorien taloudellisten menetysten riskiä.cybersecuritynews+2

Erillisesti Hudson Rockin tutkijat dokumentoivat saman toimijan liittyvän julkaisun, joka kohdistui satoihin Stripe-myyjiin. Toimija väitti hallussaan olevan noin 20 000 vaarantunutta API-avainta, jotka julkaistaisiin myöhemmissä erissä. Alkuperäinen vuoto sisälsi tietoja 669 myyjästä ja 1 033 API-avaimesta, ja toimija kertoi tutkijoille julkaisun edustavan "vain murto-osaa" koko saaliistaan.infostealers

Hyökkäysvektori ja riski

Ransomnews, joka analysoi aineiston offline-tilassa ja ilmoitti Stripelle ennen julkaisua, vahvisti, että foorumikirjoituksessa väitettiin harhaanjohtavasti Stripen itsensä tulleen hakkeroiduksi. Tutkijat havaitsivat sen sijaan, että joku oli hankkinut kauppiaiden salaiset avaimet ja käyttänyt tavallisia API-pyyntöjä tietojen keräämiseen jokaiselta tililtä.securityaffairs+1

Todennäköisiä lähteitä paljastuneille avaimille ovat kehittäjien koneilta peräisin olevat infostealer-lokit, julkisiin koodivarastoihin sitoutetut avaimet, paljastuneet `.env`-tiedostot, väärin konfiguroidut varmuuskopiot ja CI/CD-lokit. Hudson Rockin analyysi ei löytänyt infostealer-tartuntoja, jotka liittyisivät kyseisiin myyjäverkkotunnuksiin, mikä viittaa siihen, että hyökkääjä on saattanut käyttää automatisoituja botteja etsiäkseen väärin konfiguroituja, julkisesti paljastettuja ympäristömuuttujia.gbhackers+2

Tutkijat osoittivat vakavuuden näyttämällä, kuinka yksi aktiivinen avain salli heidän päästä käsiksi kauppiaan asiakaslistaan, luoda petollisen maksulinkin ja tehdä testiveloituksen 17 tunnin sisällä.securityaffairs

Korjaavat toimenpiteet

Suurin osa vaikuttavista kauppiaista oli Yhdysvalloissa (212 tiliä), seuraavina olivat Yhdistynyt kuningaskunta (81) ja Ranska (57). Vaikutuksen alaisena olevia yrityksiä kehotetaan vaihtamaan välittömästi kaikki aktiiviset salaiset avaimet, tarkistamaan API-toimintalokit, vahvistamaan tilitysten pankkitiedot ja korvaamaan laajat salaiset avaimet rajoitetuilla avaimilla, jotka on rajattu vain tarvittaviin toimintoihin. Stripe tarjoaa automaattista salaisuuksien skannausta GitHubin kumppaniohjelman kautta, mutta tutkijat huomauttivat, että käyttöaste on edelleen alhainen eikä kattavuus ulotu koontilokeihin tai väärin konfiguroituihin palvelimiin.cyberpress+3