Jak podaje Niebezpiecznik, popularnej sieci sklepów Żabka przyszło zmierzyć się z poważnym incydentem bezpieczeństwa. Nieznany sprawca wszedł w posiadanie poufnych danych firmy, w tym historii zgłoszeń z systemu JIRA, kodu źródłowego oraz danych dostępowych do infrastruktury sieciowej, a wykradzione informacje zostały wystawione na sprzedaż za wręcz komicznie niską kwotę 5000 euro. Włamanie zostało potwierdzone przez Żabkę, a firma zapewniła, iż dane transakcyjne oraz aplikacja Żappka są bezpieczne.
5000 euro za dane Żabki
Incydent wyszedł na jaw, gdy do dziennikarzy oraz firm współpracujących z Żabką zaczęły spływać wiadomości informujące o ataku. Niedługo później na jednym z forów hakerskich pojawiło się ogłoszenie dotyczące sprzedaży obszernych zasobów danych wykradzionych z serwerów polskiej sieci sklepów.
Z informacji udostępnionych przez złodzieja kryjącego się za awatarem przedstawiającym anime dziewczynkę, co z jakiegoś powodu jest standardem w tej „branży”, wynika, że wykradzione zostały następujące zasoby:
- Dane osobowe i identyfikatory: Nazwiska, adresy e-mail z domeny „@zabka.pl” oraz nazwy użytkowników systemu JIRA (zarówno pracowników, jak i podwykonawców z firm takich jak Accenture, Netguru, Onwelo, BlueSoft czy Sygeon) pochodzące z ponad 541 tysięcy zgłoszeń;
- Poufna dokumentacja projektowa: Zasoby z blisko 230 tysięcy zgłoszeń IT i service desk, obejmujące informacje o systemach kasowych (Nowa Kasa), sprzedażowych (ZSS), platformach Cyberstore i zMarket, systemach SAP ERP oraz integracji z Lotto;
- Kody źródłowe i infrastruktura: Dane z 89 repozytoriów Git (ok. 11,7 tysiąca plików), mikroserwisów backendowych, aplikacji frontendowych w React, konfiguracji infrastruktury (Terraform, Kubernetes) oraz procedur CI/CD;
- Klucze dostępowe i dane produkcyjne: Tokeny dostępowe (np. GitLab Personal Access Token), hasła do baz produkcyjnych (MongoDB, Solace broker), a także twardo kodowane tokeny w plikach .env, dające potencjalnie bezpośredni dostęp do środowisk produkcyjnych i baz danych w sklepach.
Żabka potwierdziła włamanie
Przedstawiciele Żabki w oficjalnej odpowiedzi na pytania redakcji Niebezpiecznika potwierdzili, iż rzeczywiście pod koniec ubiegłego tygodnia wykryto nieautoryzowany dostęp do wybranych zasobów technicznych. Do ataku doszło w wyniku wykorzystania przejętego konta należącego do zewnętrznego dostawcy usług.
Firma podkreśliła przy tym, że prężnie wdrożone zostały wszelkie niezbędne procedury bezpieczeństwa, a niechciany gość został zidentyfikowany i wyproszony z serwera. Zaznaczono również, że wyciek nie objął informacji nt. transakcji dokonywanych przez klientów ani danych z Żappki.
Pod koniec ubiegłego tygodnia wykryliśmy nieautoryzowany dostępu do wybranych zasobów technicznych wspierających wymianę informacji między franczyzodawcą a franczyzobiorcami. Do nieautoryzowanego dostępu doszło przy wykorzystaniu konta zewnętrznego dostawcy usług. Nieuprawniony dostęp został wykryty i niezwłocznie zablokowany zgodnie z obowiązującymi procedurami bezpieczeństwa. Bezpieczeństwo danych transakcyjnych i usług konsumenckich, poufność danych aplikacji “Żappka” oraz działalność operacyjna pozostają nienaruszone. Zgodnie z naszą obecną wiedzą sprawca uzyskał dostęp do systemu kolejkowania zgłoszeń.
Żabka
O sprawie dowiedzieli się Urząd Ochrony Danych Osobowych, Inspektor Ochrony Danych, a także wyspecjalizowane organy ścigania. Osoby dotknięte wyciekiem powinny zostać poinformowane o zajściu.
Tajemniczy motyw i planowane przejęcie przez Circle K
Wydarzenie budzi dodatkowe pytania ze względu na kontekst biznesowy oraz zachowanie samego cyberprzestępcy. Tak się bowiem dziwnym trafem złożyło, iż ujawnienie ataku nastąpiło zaledwie dwa dni po oficjalnym ogłoszeniu zamiaru przejęcia wszystkich akcji Żabki przez koncern Circle K.
Sposób działania atakującego, a więc rozsyłanie e-maili do partnerów oraz wystawienie tak bogatego pakietu danych za rażąco niską kwotę 5000 euro, pozwala sądzić, że głównym celem nie był zarobek z tytułu handlu nielegalnie pozyskanymi plikami. Z opublikowanych próbek wynika, iż sprawca miał dostęp do infrastruktury Żabki co najmniej do 29 lipca 2026 roku, czyli jeszcze zanim publicznie ogłoszono szczegóły planowanej transakcji sprzedaży spółki.
0 komentarzy