Żabka zhakowana! Hakerzy ukradli miliony danych. Co stało się w sklepach?

Pod koniec lipca hakerzy dokonali poważnego cyberataku na Żabkę, jedną z największych sieci sklepów convenience w Polsce. Doszło do nieautoryzowanego dostępu do wewnętrznych systemów, a wykradzione dane trafiły już na forum cyberprzestępczym.

Jak hakerzy się włamali?

Żabka potwierdziła nieautoryzowany dostęp do części swojego zaplecza technicznego, gdzie sprawca wykorzystał konto firmy zewnętrznej. Jak się okazało, atakujący nie musiał być wcale geniuszem informatyki, aby dostać się do systemów jednej z największych sieci handlowych w kraju.

Zdaniem eksperta od cyberbezpieczeństwa, ten typ ataku nosi nazwę "credential compromise" i polega właśnie na wykorzystaniu loginu i hasła pracownika lub partnera biznesowego. Pod koniec poprzedniego tygodnia Żabka wykryła nieuprawniony dostęp do zaplecza służącego między innymi do obsługi relacji z franczyzobiorcami. To oznacza, że hakerzy mogli mieć dostęp do informacji o współpracownikach firmy i systemach obsługi sklepów.

Ile danych wyciekło?

Skala incydentu jest imponująca. Udostępniona próbka miała obejmować fragmenty 541 tys. zgłoszeń w JIRA (systemie do zarządzania zadaniami i błędami), 229 734 ticketów działu IT oraz kod z 89 repozytoriów GitLab zawierający blisko 12 tys. plików. To oznacza, że hakerzy dostali się do najgłębszych warstw infrastruktury informatycznej sieci.

Co więcej, posting zawierał również twierdzenia o ekspozycji poufnych danych produkcyjnych, takich jak tokeny dostępu GitLab ponownie używane na wszystkich zagrożonych repozytoriach, hasła administratora bazy danych i pliki .env z hardkodowanymi tokenami.

Hakerzy wystawiają dane na sprzedaż

3 sierpnia portal Niebezpiecznik.pl jako pierwszy poinformował o włamaniu. Niedługo potem na forum cyberprzestępczym pojawiła się oferta sprzedaży. Na forum wykorzystywanym do handlu wykradzionymi danymi pojawiła się oferta ich sprzedaży za 5 tys. euro.

Cena jest zaskakująco niska w stosunku do potencjalnej wartości danych. Atakujący, korzystając ze świeżo założonego konta na forum przestępczym, wystawił dane za jedyne 5000 euro, czyli kwotę wyjątkowo niską jak na potencjalną skalę wycieku. Eksperci spekulują, że może to być taktyka zagrożenia lub znak, iż hakerzy chcą szybko się pozbyć danych.

Czy są bezpieczne twoje zakupy w Żabce?

Dobra wiadomość dla klientów sieci: Żabka potwierdziła wystąpienie incydentu, ale przedstawiła jego węższy zakres niż osoba sprzedająca dane, wskazując, że dostęp uzyskano przez konto zewnętrznego dostawcy, ograniczone do systemu obsługi zgłoszeń, i zaprzecza naruszeniu danych transakcyjnych oraz aplikacji Żappka. Oznacza to, że twoje transakcje, karty płatnicze i historia zakupów w aplikacji Żappka powinny być bezpieczne.

Jednak pracownicy, partnerzy i franczyzobiorcy Żabki powinni być czujni. Wyciekły dane osobowe pracowników i partnerów, którzy mieli dostęp i konta na infrastrukturze Żabki. Osoby, które współpracowały z siecią, mogą spotkać się z próbami phishingu lub kradzieży tożsamości.

Co zrobiła Żabka?

Sprawę zgłoszono Inspektorowi Ochrony Danych, Prezesowi UODO oraz policji. Firma zareagowała szybko i wdrożyła procedury bezpieczeństwa. Fakt, że incydent wpadł w ręce mediów i rzecznika, pokazuje, że tym razem firma nie mogła tego ukryć, ale jednocześnie nie zobaczyliśmy pełnego paraliżu jej działalności.

Wicepremier podkreślił, że każdy cyberincydent powinien być traktowany jako okazja do wyciągnięcia wniosków i wzmocnienia zabezpieczeń, a kluczowe znaczenie mają szybka wymiana informacji, współpraca przedsiębiorców ze służbami państwowymi oraz systematyczne inwestowanie w bezpieczeństwo cyfrowe.

Lekcja dla całej branży

Atak na Żabkę to kolejny sygnał ostrzegawczy dla polskich firm handlowych. W erze cyberataków, gdy coraz częściej słyszymy o włamaniach na niemal każdy dzień, zarówno wielkie korporacje, jak i małe firmy muszą powyciągać wnioski. Hakerzy nie szukają już okazji u konkurentów, oni szukają najsłabszych ogniw w całym łańcuchu dostaw.

Czy Żabka się pozbiera? Prawdopodobnie tak, ale sprawa pokazuje, że żaden system nie jest niezniszczalny, a jedyna pewna obrona to ciągła czujność i inwestycje w bezpieczeństwo cyfrowe.