API-Schlüssel von 659 Stripe-Händlern geleakt, 688.000 Kundendaten betroffen

Ein unbekannter Angreifer hat API-Schlüssel von 659 Stripe-Händlern auf einem Handelsforum für gestohlene Daten veröffentlicht. Zusammen mit den Schlüsseln tauchten fast 688.000 Kundendaten und rund 35 GB an Zahlungsinformationen auf. Die Daten wurden kostenlos zur Verfügung gestellt, nicht verkauft. Stripe selbst ist nicht kompromittiert. Die Schlüssel stammen von einzelnen Händlern, nicht von Stripes eigenen Systemen.

Das Wichtigste in Kürze:

• 650 aktive geheime API-Schlüssel und 9 eingeschränkte Schlüssel von Stripe-Händlern sind ausgeleakt.
• Der Datensatz enthält 688.363 Kundendaten und Zahlungsinformationen aus 42 Ländern.
• Stripe selbst wurde nicht gehackt; die Schlüssel gelangten vermutlich über Infostealer oder öffentliche Repositories in die Hände des Angreifers.

Was genau ausgeleakt wurde

Der Datensatz wurde am 18. August 2026 von einem Nutzer mit dem Namen Satanic veröffentlicht, einem bekannten Account auf dem betreffenden Forum mit fast 2.000 Reputationspunkten. Laut Ransomnews, das die Dateien offline analysierte, enthält der Dump 17.654 Dateien, verteilt auf Ordner pro Händler. Jeder Ordner enthält bis zu 27 verschiedene Arten von Stripe-Objekten, darunter Kundenprofile, Zahlungen, Rechnungen, Auszahlungen und Streitfälle.

Von den 659 geleakten Schlüsseln sind 650 sogenannte geheime Schlüssel, die übrigen 9 sind eingeschränkte Schlüssel. Der Angreifer hat alle Schlüssel validiert: Sie funktionierten alle zum Zeitpunkt der Erfassung. Laut den Metadaten im Dump konnten 573 Konten Zahlungen empfangen, 531 konnten Auszahlungen vornehmen und 519 hatten beide Möglichkeiten.

Keine Kartennummern, aber vollständiger Zugriff

Vollständige Kartennummern wurden in dem Datensatz nicht gefunden. Stripe verarbeitet diese nicht über seine API, sodass sie auch bei einem echten Schlüsselleak nicht sichtbar sind. Die Kundendaten enthalten jedoch die letzten vier Ziffern der Zahlungskarten, die Marke, das Ablaufdatum und das Ausgabeland.

Ein geheimer Stripe-API-Schlüssel gewährt vollständigen programmatischen Zugriff auf ein Konto. Wer einen solchen Schlüssel in die Hände bekommt, kann Kundendaten auslesen, Zahlungen erstellen, Rückerstattungen vornehmen und sogar die Bankdaten für Auszahlungen ändern. Ob die Schlüssel derzeit noch aktiv sind, hängt davon ab, ob die betroffenen Händler sie bereits ersetzt haben. Dafür gibt es in den Daten keine Hinweise.

Ransomnews gibt an, die Struktur der Dateien geprüft zu haben, nicht den Inhalt. Die Objektkennungen, Sitzungspräfixe und Feldsätze im Datensatz entsprechen echter Stripe-API-Ausgabe. Der Herausgeber hat Stripe vor der Veröffentlichung informiert.

Wie die Schlüssel erbeutet wurden

Der Datensatz gibt keinen Aufschluss darüber, wie die Schlüssel erlangt wurden. Ransomnews verweist auf die häufigsten Ursachen: Schlüssel, die in Infostealer-Logs von Entwicklerrechnern gespeichert waren, Schlüssel, die versehentlich in öffentlichen Code-Repositories gelandet sind, oder Schlüssel in schlecht geschützten Umgebungsdateien und Backups.

Die Händler kommen aus 42 Ländern. Die meisten betroffenen Konten befinden sich in den Vereinigten Staaten (212), gefolgt vom Vereinigten Königreich (81), Frankreich (57), Kanada (38), Brasilien (30) und Australien (27).

Ransomnews empfiehlt allen Stripe-Nutzern, ihre geheimen API-Schlüssel zu ersetzen, Zahlungseinstellungen zu überprüfen und die eigenen Repositories und Umgebungsdateien nach exponierten Schlüsseln zu durchsuchen. Händler, die dies nicht tun, riskieren, dass ein Angreifer Auszahlungen auf ein eigenes Bankkonto umleitet.