Il 18 agosto 2026 il threat actor Satanic ha pubblicato su pwnforums un data dump relativo a 669 vendor Stripe, contenente 1.033 API keys live con capacità di charge attive. I ricercatori di Hudson Rock, che hanno analizzato il leak e dialogato direttamente con l'attore, non hanno rilevato infezioni infostealer associate ai domini vendor coinvolti. Questa anomalia sposta l'attenzione su ipotesi alternative di raccolta credenziali, non su un cambio di metodo confermato.
Nota metodologica: L'analisi si basa su un'unica fonte primaria strutturata (Hudson Rock). Le altre fonti citate sono repliche, riepiloghi o aggregatori che non hanno verificato indipendentemente i dati.
- Il dump iniziale contiene 1.033 API keys live di tipo
sk_live_*con charge capabilities abilitate, permettendo transazioni finanziarie non autorizzate sui conti dei 669 vendor. - L'archive effettivamente scaricabile misura 2,37GB, contro i 33GB dichiarati nel post forum, indicando una strategia di rilascio graduale.
- Delle 669 cartelle vendor, 323 rappresentano business domain univoci dopo filtraggio email generiche; il resto utilizza indirizzi come gmail.com.
- Satanic ha rivendicato a Hudson Rock il possesso di circa 20.000 API keys Stripe totali, da rilasciare in batch successivi; la cifra non è verificata indipendentemente.
Il rilascio graduale e la geografia dei target
L'analisi tecnica condotta da Hudson Rock sul file scaricato mostra una discrepanza significativa tra il volume annunciato e quello effettivo. Il post su pwnforums reclamava 33GB di dati, ma il download ha restituito un archive di 2,37GB. Secondo i ricercatori, questo delta supporta l'ipotesi di un rilascio graduale, probabilmente strumentale a mantenere alta l'attenzione sul mercato illecito.
La struttura del dump rivela 669 cartelle vendor, ciascuna con propri dati di configurazione, record transazionali e API keys. Il filtraggio delle email generiche riduce a 323 i business domain univoci identificabili. Tra i dati contenuti nei file leaked figurano customer PII, metadata di invoice, indirizzi IP, internal transaction IDs, promotional codes e live API keys. Un esempio da JSON snippet di account compromesso mostra oltre 22.000 customer record e più di 5 milioni di dollari in paid invoices per singolo account.
Le chiavi live e le capacità di charge
Il nucleo tecnico della minaccia risiede nelle API keys di tipo sk_live_*, ovvero secret keys in ambiente di produzione con charge capabilities abilitate. Queste chiavi permettono accesso programmatico completo alle operazioni finanziarie del vendor: creazione di transazioni, emissione di refund, generazione di payment link e listaggio di dati customer.
Secondo quanto riportato da Mallory.ai, ricercatori hanno verificato la validità di alcune keys leaked, riuscendo a listare customer data, creare fraudulent payment links e processare test charges. Un test charge di un dollaro è stato processato in 17 ore dalla verifica con key attiva.
"they possess approximately 20,000 compromised Stripe APIs, which they intend to release in subsequent batches" — Satanic, riportato da Hudson Rock researchers
L'assenza di infostealer e le ipotesi sul vettore
Il dato che distingue questo incidente dalla cronaca dei breach Stripe precedenti è la mancanza di infezioni infostealer sui domini vendor analizzati. Hudson Rock ha eseguito verifiche sulla propria piattaforma Cavalier, senza rilevare compromissioni endpoint associate ai domini specifici presenti nel dump. Satanic è storicamente legato a campagne di infostealer; l'assenza di questa impronta digitale costituisce una deviazione da spiegare, non una conferma di nuovo metodo.
I ricercatori formulano due ipotesi principali, entrambe non confermate. La prima ipotesi è che i threat actor stiano eseguendo scanning automatizzato di siti web alla ricerca di file .env esposti pubblicamente o di debug logs che rivelino in chiaro chiavi sk_live_*. La seconda ipotesi indica un possibile compromesso di infrastruttura condivisa, come un cloud hosting provider o un deployment tool utilizzato da molteplici vendor. La diversità dei tech stack rilevata nei metadata dei leaked account esclude un singolo plugin o software suite come vettore comune.
Queste ipotesi non costituiscono prova di una transizione metodologica. Resta da verificare se il credential harvesting derivi da scanning automatizzato, da compromissione di infrastruttura condivisa, o da vettori non ancora identificati.
Cosa fare adesso
Per i merchant Stripe che utilizzano chiavi segrete in ambienti di produzione, le priorità operative derivano direttamente dalle evidenze raccolte nel dossier.
- Verificare lo stato delle API keys
sk_live_*e revocare le chiavi potenzialmente esposte. - Controllare la presenza di file .env o log di debug accessibili pubblicamente che contengano chiavi in chiaro.
- Rivedere i log delle operazioni API per identificare chiamate anomale.
I limiti del dossier
Diversi punti restano senza risposta. Non è verificato se i ~20.000 API keys rivendicati da Satanic esistano effettivamente o siano bluff. Il vettore di attacco esatto — mass-scanning .env, debug logs, o compromissione infrastruttura condivisa — non è determinato. Non è noto se Stripe sia stata notificata ufficialmente e abbia preso contromisure. Il numero esatto di merchant effettivamente impattati non è definitivo: 669 cartelle vendor, 323 business domain univoci, o cifre diverse. Non è verificato se le keys siano state tutte revocate dai vendor interessati. L'entità delle perdite finanziarie effettivamente subite non è quantificata.
Non è emersa alcuna advisory strutturata ZDI/GHSL sull'incidente.
Fonti
- Infostealers.com — Analisi originale Hudson Rock
- Hudson Rock — Fonte originale della ricerca
- Malware.news — Riepilogo dell'analisi Hudson Rock
- Mallory.ai — Aggregatore intelligence con verifica keys attive
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.