Изтекли Stripe ключове разкриха данни на над 688 000 клиенти в 42 държави

Публикуван архив с API ключове на търговци, използващи Stripe, е разкрил данни, свързани с приблизително 688 363 клиенти от 42 държави. Инцидентът е станал публичен на 18 август, когато потребител с псевдонима "Satanic" е качил информацията безплатно във форум за търговия с данни.

Първоначалното твърдение, че е пробита самата Stripe, не се потвърждава от независимия анализ на наличните данни. По всичко личи, че става дума за компрометирани тайни ключове на отделни търговци, чрез които са извлечени данни с легитимни заявки към програмния интерфейс на Stripe.

Какъв е обхватът на изтеклите данни

Публикуваният архив е с обем около 35 GB и съдържа 17 654 файла. В него има записи за клиенти, плащания, намерения за плащане, сесии за разплащане, фактури, абонаменти, възстановявания на суми, спорове, преводи и транзакции по баланса.

Данните обхващат период от януари 2022 г. до юни 2026 г. Според анализа в комплекта присъстват ключове за 659 търговски акаунта. От тях 650 са активни тайни ключове с префикс "sk_live", а девет са ключове с ограничени права.

Общо 519 от засегнатите акаунти са имали възможност както да приемат плащания, така и да извършват изплащания. Това създава риск не само за личните и платежните данни на клиентите, но и за директни финансови загуби за търговците.

Най-голям брой засегнати търговски акаунти е отчетен в САЩ – 212. Следват Великобритания с 81 и Франция с 57 акаунта.

Как вероятно са били получени ключовете

Разследващият екип на "Ransomnews" е анализирал данните офлайн и е уведомил Stripe преди публикуването на материала. Според изводите му нападателят е получил тайните ключове на търговците и после е използвал стандартни API заявки, за да извлече информацията от съответните акаунти.

Сред възможните източници на компрометираните ключове са публични хранилища с програмен код, незащитени файлове ".env", логове от системи за непрекъсната интеграция и доставка, неправилно конфигурирани резервни копия, диагностични логове и зловреден софтуер за кражба на данни от устройства на разработчици.

Изследователите не са открили доказателство за обща кампания с инфостийлър срещу конкретни доставчици. Това допуска и друга възможност – автоматизирано търсене чрез ботове на публично достъпни сървъри, файлове и променливи на средата, в които по погрешка са останали тайни ключове.

Колко сериозен е рискът

Анализаторите показаха, че един активен ключ може да даде широк достъп до търговския профил. При проверка на работещ ключ те са успели да получат списък с клиенти, да създадат измамна платежна връзка и да извършат тестово плащане в рамките на 17 часа.

Това означава, че изтекъл таен ключ може да бъде използван за кражба на клиентски данни, генериране на фалшиви линкове за плащане, опити за неоторизирани възстановявания, промяна на настройки за известия или отклоняване на средства, когато правата на акаунта го позволяват.

Hudson Rock съобщи за свързана публикация на същия извършител, който твърди, че разполага с около 20 000 компрометирани Stripe API ключа и планира да публикува допълнителни партиди. Това твърдение не е независимо потвърдено.

Какво трябва да направят търговците

Организациите, които използват Stripe, трябва незабавно да сменят всички активни тайни API ключове и да прекратят старите, а не само да създадат нови. Необходимо е да се прегледат дневниците за API активност, настройките на webhook известията, банковите данни за изплащания и всички необичайни плащания, възстановявания или трансфери.

Препоръчва се широките тайни ключове да бъдат заменени с ключове с ограничени права, които дават достъп само до необходимите функции. Ключове не трябва да се съхраняват директно в програмния код, публични хранилища, логове или файлове, достъпни през интернет.

Stripe предлага автоматично сканиране за разкрити тайни чрез партньорска програма с GitHub. Анализаторите обаче посочват, че подобни инструменти не покриват всички рискови места – особено логове от автоматизирани процеси и неправилно конфигурирани сървъри. Затова защитата изисква едновременно ограничаване на достъпа, редовна смяна на ключовете и постоянен контрол на средите за разработка и внедряване.