Lekkasje av API-nøkler eksponerer 688 000 Stripe-kundeposter i 42 land

En trusselaktør publiserte et datasett med aktive Stripe API-nøkler for 659 selgerkontoer på et forum for datahandel den 18. august 2026, noe som eksponerte data knyttet til anslagsvis 688 363 kundeposter fordelt på 42 land. Hendelsen ser ikke ut til å involvere et brudd på Stripes egen infrastruktur, men snarere en massiv eksponering av selgeres legitimasjon.

Omfanget av eksponeringen

Arkivet på 35 GB, som ble lagt ut gratis av en forum-bruker under aliaset "Satanic", inneholder 17 654 filer med kundeposter, belastninger, betalingsintensjoner, fakturaer, utbetalinger, refusjoner og balansetransaksjoner datert fra januar 2022 til juni 2026. Av de 659 legitimasjonene var 650 aktive hemmelige nøkler som startet med prefikset `sk_live`, og 519 kontoer kunne både motta betalinger og foreta utbetalinger, noe som øker risikoen for direkte økonomisk tap.cybersecuritynews+2

Separat dokumenterte forskere hos Hudson Rock en relatert utgivelse fra samme trusselaktør rettet mot hundrevis av Stripe-leverandører, med påstander om å besitte omtrent 20 000 kompromitterte API-nøkler som skal frigis i påfølgende puljer. Den første dumpen inneholdt data om 669 leverandører og 1 033 API-nøkler, der trusselaktøren fortalte forskere at utgivelsen representerte "bare en brøkdel" av deres totale fangst.infostealers

Angrepsvektor og risiko

Ransomnews, som analyserte datasettet offline og varslet Stripe før publisering, bekreftet at forumoppføringen villedende hevdet at Stripe selv hadde blitt hacket. Forskere fant i stedet at noen hadde tilegnet seg selgernes hemmelige nøkler og brukt standard API-forespørsler for å samle data fra hver konto.securityaffairs+1

De sannsynlige kildene til de eksponerte nøklene inkluderer infostealer-logger fra utviklermaskiner, nøkler lagt inn i offentlige kodearkiver, eksponerte `.env`-filer, feilkonfigurerte sikkerhetskopier og CI/CD-logger. Hudson Rocks analyse fant ingen infostealer-infeksjoner knyttet til de spesifikke leverandørdomenene, noe som tyder på at angriperen kan ha brukt automatiserte roboter for å skanne etter feilkonfigurerte, offentlig eksponerte miljøvariabler.gbhackers+2

Forskere demonstrerte alvorlighetsgraden ved å vise at en enkelt aktiv nøkkel ga dem tilgang til en selgers kundeliste, mulighet til å opprette en falsk betalingslenke og foreta en testbelastning i løpet av 17 timer.securityaffairs

Tiltak

Den største andelen av berørte selgere var i USA med 212 kontoer, etterfulgt av Storbritannia med 81 og Frankrike med 57. Berørte bedrifter rådes til umiddelbart å rotere alle aktive hemmelige nøkler, gjennomgå API-aktivitetslogger, verifisere bankdetaljer for utbetalinger og erstatte brede hemmelige nøkler med begrensede nøkler som kun er knyttet til nødvendige funksjoner. Stripe tilbyr automatisk skanning av hemmeligheter gjennom GitHubs partnerprogram, men forskere bemerket at bruken er lav og dekningen ikke strekker seg til bygg-logger eller feilkonfigurerte servere.cyberpress+3