דיווח: 659 מפתחות Stripe של עסקים דלפו לפורום, יחד עם כ-688 אלף רשומות לקוחות
לפי דיווחים, מפתחות API חיים של 659 עסקים שסולקים ב-Stripe עלו להורדה חינמית בפורום פשיעה. Stripe עצמה לא נפרצה, אבל מי שמחזיק במפתח יכול לגבות, להחזיר כספים ולשלוף נתוני לקוחות.
TL;DR בקצרה
- ב-18 באוגוסט עלו לפורום 650 מפתחות secret חיים ו-9 מפתחות restricted של עסקים ב-Stripe, יחד עם כ-35GB של נתונים.
- לפי Ransomnews ההדלפה כוללת 688,363 רשומות לקוחות מ-42 מדינות, אבל בלי מספרי כרטיסי אשראי מלאים.
- התוקפים לא פרצו ל-Stripe. מקור המפתחות לא ידוע, וההערכה היא נוזקות גניבת סיסמאות, מאגרי קוד ציבוריים או קבצי הגדרות חשופים.
- Stripe ממליצה להחליף מיד כל מפתח שאולי נחשף, לעבור למפתחות restricted ולהגביל מפתחות לכתובות IP.
לפי דיווחים, ב-18 באוגוסט עלו לפורום של סוחרי מידע פרטי גישה של 659 עסקים שסולקים ב-Stripe. המוכר, שמכנה את עצמו Satanic, מציע אותם להורדה בחינם. לפי אתר Ransomnews, ההדלפה כוללת 659 מפתחות Stripe של עסקים, ואיתם כ-688 אלף רשומות לקוחות. 650 מהם הם מפתחות secret חיים, ותשעה הם מפתחות restricted בהרשאות חלקיות. חשוב לדייק: התוקפים לא פרצו ל-Stripe עצמה. המפתחות שייכים לעסקים, ומי שמחזיק בהם יכול לפעול בחשבון כאילו הוא העסק.
מה יש בהדלפה של מפתחות Stripe
מפתח secret הוא בפועל שם המשתמש והסיסמה של העסק מול ה-API של Stripe. כך מגדירה זאת Stripe עצמה בתיעוד שלה. לפי Ransomnews, החבילה שוקלת כ-35GB ומכילה 17,654 קבצים. המידע כולל לקוחות, חיובים, חשבוניות, העברות כספים לעסק, החזרים ומחלוקות. הרשומות מכסות את התקופה שבין 4 בינואר 2022 ל-1 ביוני 2026.
Ransomnews ספרה 688,363 רשומות לקוחות, בעסקים מ-42 מדינות. הכי הרבה חשבונות שייכים לעסקים מארה״ב (212). אחריה מגיעות בריטניה (81), צרפת (57) וקנדה (38). הדוח לא מזכיר את ישראל, אבל הוא גם לא מפרט את הרשימה המלאה.
יש גם חדשות טובות. לפי Ransomnews, אין בהדלפה מספרי כרטיסי אשראי מלאים. יש בה רק פרטים חלקיים, כמו סוג הכרטיס, ארבע הספרות האחרונות ותאריך התפוגה.
למה מפתחות Stripe שדלפו הם בעיה רצינית
לפי Stripe, מי שמשיג מפתח secret יכול לבצע חיובים בלי אישור, לגשת לנתוני לקוחות ולשבש את המערכת. GBHackers מוסיף שתוקף יכול גם להנפיק החזרים. לדבריו, לפעמים אפשר אפילו לשנות את חשבון הבנק שאליו Stripe מעבירה את הכסף.
לפי הרישומים של מי שאסף את המפתחות, כולם היו תקפים בזמן האיסוף. 573 מהחשבונות יכלו לקבל תשלומים, ו-531 יכלו להעביר כסף החוצה. עם זאת, Ransomnews מדגישה שהיא לא בדקה אף מפתח בעצמה.
איך המפתחות הגיעו לפורום? הדוח לא קובע. Ransomnews מציינת כמה מקורות נפוצים: נוזקות שגונבות סיסמאות ממחשבים, מפתחות שמפתחים העלו למאגרי קוד ציבוריים וקבצי הגדרות חשופים בשרתים. האתר פנה ל-Stripe לפני הפרסום, ובזמן הפרסום עוד לא קיבל תגובה. לפי התיעוד של Stripe, כשהחברה מזהה מפתח חשוף היא מתריעה לעסק, ולפעמים אף משביתה את המפתח. אבל Stripe גם מבהירה שהיא לא מתחייבת לזהות כל מפתח שדלף.
מה זה אומר עבורכם
- החליפו מפתחות מיד: בלוח הבקרה של Stripe, החליפו (Roll) את מפתח ה-secret החי. Stripe ממליצה לעשות זאת מיד, גם כשלא ברור אם מישהו ראה את המפתח. אחר כך הזינו את המפתח החדש באתר, בתוסף התשלום ובכל מערכת שמשתמשת בו.
- בדקו את יומן הבקשות: ב-Stripe יש יומן של כל בקשות ה-API. חפשו פעולות שלא אתם ביצעתם, כמו החזרים, חיובים או שליפת רשימות לקוחות.
- בדקו את פרטי הבנק: ודאו שחשבון הבנק שאליו Stripe מעבירה את הכסף לא השתנה.
- צמצמו הרשאות: במקום מפתח secret כללי, צרו מפתחות restricted עם הרשאות רק למה שהמערכת צריכה. השרת שלכם יוצא לאינטרנט מכתובת IP קבועה? הגבילו את המפתח לכתובת הזו.
- אל תשאירו מפתחות בקוד: חפשו מפתחות שמתחילים ב-sk_live במאגרי קוד, בגיבויים ובקבצי הגדרות. זכרו גם ש-Stripe אף פעם לא מבקשת מכם את המפתח הסודי.
הלקח לעסקים קטנים
הרבה עסקים חיברו את Stripe לאתר בעזרת מפתח חיצוני, סוכנות או תוסף מוכן. במקרים כאלה, מפתח ה-secret יכול לשבת במיילים ישנים, בקבצי גיבוי או במחשב של מי שבנה את האתר. לכן כדאי לשאול את הספק איפה המפתח שמור ומי עוד ראה אותו. ההדלפה הזו מזכירה שמפתח API הוא סיסמה לכל דבר, ויש לו גישה ישירה לכסף של העסק.
מקורות והרחבה
- Stripe merchant API keys leak (Ransomnews report)Ransomnews
- 659 Stripe Merchant API Keys Leaked, Exposing 688K Customer RecordsGBHackers
- Best practices for managing secret API keysStripe Docs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
