Écosystème Stripe : 662 bases de marchands et 1 033 clés API revendiquées
Le 18 août 2026, un courtier en données revendique 33 Go liés à l'écosystème Stripe : 1 033 clés API, 662 bases de marchands et 1,35 million d'adresses e-mail uniques. L'origine, plateforme ou marchands, reste indéterminée.
- Organisation
- Écosystème Stripe (marchands utilisant la plateforme de paiement et leurs clients)
- Secteur
- Finance & assurance
- Pays
- International (Stripe, États-Unis et Irlande pour l'Union européenne), marchands et clients européens dont la France
- Date des faits
- Revendication publiée le 18 août 2026 sur un forum cybercriminel ; aucune déclaration publique de Stripe à la date de rédaction et aucun élément technique fourni sur le mode opératoire
- Ampleur
- 1,35 million d'adresses e-mail uniques pour 6,16 millions d'occurrences, et 688 000 fiches clients complètes selon la revendication, réparties sur 662 bases attribuées à des marchands distincts ; au moins 200 personnes en France identifiées par ZATAZ dans l'échantillon. Aucun chiffre confirmé
- Vecteur
- Indéterminé. La structure de l'ensemble, réparti en 662 bases distinctes accompagnées de clés API, oriente vers une collecte auprès de comptes marchands compromis plutôt que vers une intrusion dans l'infrastructure de la plateforme, mais aucun élément technique public ne permet de trancher
- Données exposées
- Adresses e-mail, Identité (nom, prénom), Numéros de téléphone, Adresses IP, Dates d'inscription et historique de compte, Identifiants de marchands et clés API
Le 18 août 2026, un courtier en données actif depuis 2024 a mis en circulation un ensemble de 33 Go présenté comme lié à Stripe, la plateforme de paiement utilisée par une large part du commerce en ligne européen. L’annonce détaille 1 033 clés API, 662 bases de données attribuées à des marchands distincts, 6,16 millions d’occurrences d’adresses e-mail pour 1,35 million d’adresses uniques, et 688 000 fiches clients complètes comportant nom, numéro de téléphone, adresse IP et date d’inscription.
L’origine de cet ensemble constitue la question centrale, et elle reste ouverte. La répartition en 662 bases séparées, chacune associée à un marchand, ne correspond pas au profil d’une extraction unique depuis l’infrastructure d’un prestataire de paiement : elle évoque plutôt une agrégation constituée à partir de comptes marchands compromis, les clés API dérobées permettant ensuite d’interroger l’interface de Stripe au nom de chaque boutique pour en récupérer les clients. Aucun élément technique n’a toutefois été publié sur le mode opératoire, et Stripe n’a pas communiqué publiquement à la date de rédaction. C’est pourquoi la fiche vise l’écosystème plutôt que la plateforme elle-même.
Le versant français a été documenté par ZATAZ, qui relève au moins 200 personnes concernées et une présence marquée des messageries grand public, avec 473 adresses distinctes en hotmail.fr, 379 en yahoo.fr et 199 en orange.fr, aux côtés de boutiques identifiables. L’ampleur reste modeste par rapport à l’ensemble, mais elle suffit à confirmer que des marchands francophones figurent dans le lot.
Le risque principal porte moins sur les données de paiement, absentes des éléments décrits, que sur les clés API. Une clé valide non révoquée permet d’interroger l’historique d’une boutique, d’en extraire les clients, parfois d’agir sur les objets de facturation, et le tout sans déclencher d’alerte puisque les appels paraissent légitimes. Les marchands utilisant Stripe ont donc intérêt à procéder à une rotation de leurs clés secrètes, à vérifier les journaux d’appels API des dernières semaines et à restreindre les clés par adresse IP lorsque la plateforme le permet, sans attendre une confirmation qui peut tarder. Le statut « alléguée » reste retenu tant que ni la plateforme ni un marchand identifié n’aura confirmé l’authenticité des fichiers.