Żabka potwierdziła nieautoryzowany dostęp do części zaplecza technicznego wspierającego wymianę informacji z franczyzobiorcami. Sprawca wykorzystał konto zewnętrznego dostawcy usług, dostał się m.in. do systemu kolejkowania zgłoszeń, a dostęp został wykryty i zablokowany. Anonimowy sprzedający wystawił później pakiet rzekomo pochodzący z systemów sieci. Próbka wspiera część jego twierdzeń o zgłoszeniach, pracownikach, kontraktorach i kodzie, ale nie dowodzi kompletności całej oferty. Żabka zapewnia, że dane transakcyjne, usługi konsumenckie, działalność sklepów i poufność danych Żappki pozostały nienaruszone. Stan na 5 sierpnia: nie pojawił się nowy oficjalny komunikat rozszerzający potwierdzony zakres incydentu.
NA TERAZ
| DOSTĘP | Wykorzystano konto zewnętrznego dostawcy usług współpracującego z Żabką. |
| ZAKRES | Pełna skala pakietu opisanego przez sprzedającego nie została potwierdzona. |
| KLIENCI | Według Żabki dane Żappki, transakcje i usługi konsumenckie nie zostały naruszone. |
| STATUS | Dostęp zablokowano; zawiadomiono UODO, organy ścigania, CBZC i CERT Polska. |
Żabka potwierdza włamanie, nie całą ofertę
Pod koniec poprzedniego tygodnia Żabka wykryła nieautoryzowany dostęp do wybranych zasobów technicznych i go zablokowała. 2 sierpnia świeżo utworzone konto na forum przestępczym zaoferowało za 5 tys. euro pakiet rzekomo wykradziony z firmy. To była cena sprzedaży danych, a nie potwierdzone żądanie okupu wobec sieci. Oficjalny komunikat potwierdza sam incydent i wektor dostępu, lecz nie potwierdza, że sprzedający rzeczywiście posiada każdą deklarowaną bazę, repozytorium i dane dostępowe. Dlatego liczby z ogłoszenia trzeba opisywać jako twierdzenia anonimowego sprzedającego, nawet jeśli część próbki wygląda wiarygodnie.
Źródło wypowiedzi lub danych: Żabka: oficjalny komunikat o incydencie
Wejście przez konto zewnętrznego dostawcy
Według Żabki napastnik wykorzystał konto firmy świadczącej usługi na rzecz sieci. Uzyskał dostęp do zasobów wspierających wymianę informacji między franczyzodawcą i franczyzobiorcami, w tym do systemu kolejkowania zgłoszeń. Firma nie ujawniła nazwy dostawcy, sposobu przejęcia konta ani dokładnego czasu obecności intruza. Nie wiadomo więc, czy źródłem był phishing, skradzione hasło, brak dodatkowego uwierzytelnienia czy inna luka. Ten szczegół ma znaczenie: incydent pokazuje ryzyko łańcucha dostaw, w którym konto partnera może otworzyć drogę do wewnętrznego systemu dużej organizacji.
541 tys. zgłoszeń i 89 repozytoriów?
Sprzedający twierdzi, że przejął około 541 tys. zgłoszeń z 48 projektów Jira, w tym ponad 229 tys. wpisów z IT service desk, oraz kod z 89 repozytoriów GitLab. Badacze Ransomnews sprawdzili udostępnioną próbkę i uznali podane sumy za wewnętrznie spójne. Sama próbka obejmowała jednak około 1100 zgłoszeń, czyli mniej więcej 0,2 proc. deklarowanego zbioru. Spójna próbka zwiększa wiarygodność oferty, lecz nie dowodzi kompletności całego pakietu. Żabka nie potwierdziła publicznie ani 541 tys. rekordów, ani 89 repozytoriów, dlatego nie można przedstawiać tych liczb jako zakończonego audytu firmy.
Pracownicy i partnerzy na pierwszej linii ryzyka
W próbce miały występować imiona i nazwiska, firmowe adresy e-mail, nazwy użytkowników, identyfikatory sklepów oraz dane osób zatrudnionych przez partnerów technologicznych. Niebezpiecznik opisał 541 tys. pozycji w Jira i kontakty z wielu zewnętrznych domen, a analiza Ransomnews wskazała 139 identyfikatorów punktów sprzedaży. Nie oznacza to jednak setek tysięcy różnych osób: jeden użytkownik może pojawiać się w wielu zgłoszeniach. Największe bezpośrednie ryzyko dotyczy pracowników, franczyzobiorców i kontraktorów. Prawdziwe nazwiska, role i historie zgłoszeń mogą ułatwić precyzyjny phishing oraz podszywanie się pod dział IT.
Kod źródłowy może być cenniejszy niż nazwiska
Oferta miała obejmować kod systemów wewnętrznych oraz pliki związane z Terraformem, ArgoCD, Helmem i Istio. W próbce badacze zauważyli powtarzający się token GitLab oraz wyglądające wiarygodnie dane dostępowe do usług chmurowych i baz danych. Nie testowali ich, więc nie wiadomo, czy były aktywne, produkcyjne lub dawały dalszy dostęp. Sam kod i konfiguracje mogą jednak ujawniać architekturę, nazwy środowisk i słabsze punkty systemów, co zwiększa ryzyko kolejnych ataków. Deklarowanych 4 tys. numerów IBAN nie potwierdzono w publicznej próbce, dlatego również tej liczby nie należy traktować jako ustalonego faktu.
Dane klientów i Żappka mają być bezpieczne
Żabka zapewnia, że bezpieczeństwo danych transakcyjnych, usług konsumenckich i poufność informacji w aplikacji Żappka pozostały nienaruszone. W przeanalizowanej próbce nie znaleziono historii zakupów, kart płatniczych ani bazy użytkowników programu lojalnościowego. Nie ma więc podstaw, by pisać o potwierdzonym wycieku danych wszystkich klientów. Wczesne nagłówki konkurencji sugerowały szersze zagrożenie, zanim pojawiło się oficjalne stanowisko. Osoby korzystające z aplikacji nadal powinny uważać na fałszywe wiadomości, lecz sam incydent nie uzasadnia tezy, że Żappka została przejęta albo że wyciekły salda żappsów.
Źródło wypowiedzi lub danych: Żabka: dane konsumenckie i Żappka
Awaria rabatów była osobnym problemem
2 sierpnia część sklepów zgłaszała błędne naliczanie rabatów i problemy z terminalami. Zbieżność czasowa szybko połączyła awarię z ofertą danych na forum, lecz Żabka przekazała mediom, że oba zdarzenia nie były ze sobą związane. Nie ma także dowodu, że incydent ma związek z ogłoszoną chwilę wcześniej ofertą przejęcia Grupy Żabka przez właściciela Circle K. Wspólny termin jest atrakcyjny dla teorii, ale sam w sobie niczego nie dowodzi. Chronologia wskazuje jedynie, że najnowsze zgłoszenie w próbce pochodziło z 29 lipca, pliki spakowano prawdopodobnie 1 sierpnia, a ofertę opublikowano dzień później.
UODO, policja, CBZC i CERT Polska
Firma poinformowała, że w ciągu 48 godzin zgłosiła naruszenie do Urzędu Ochrony Danych Osobowych. To szybciej niż ogólny 72-godzinny termin wynikający z art. 33 RODO. Żabka zawiadomiła też organy ścigania i Centralne Biuro Zwalczania Cyberprzestępczości oraz pozostaje w kontakcie z CERT Polska. Samo zgłoszenie do UODO nie potwierdza jednak każdej liczby z forum; oznacza, że firma oceniła zdarzenie jako naruszenie wymagające formalnej reakcji. Kolejne kroki obejmą ustalenie osób objętych incydentem, zamknięcie dostępu partnera, wymianę poświadczeń i sprawdzenie, czy przejęte dane mogą posłużyć do dalszych ataków.
| NAJKRÓCEJ Żabka potwierdziła nieautoryzowany dostęp do zasobów technicznych przez konto zewnętrznego dostawcy i zablokowała go. Sprzedający twierdzi, że przejął duży pakiet zgłoszeń, danych pracowników, partnerów i kodu, ale pełna skala jego oferty nie została niezależnie potwierdzona. Żabka zapewnia, że transakcje, usługi konsumenckie, działanie sklepów i dane Żappki pozostały bezpieczne. Zawiadomiono UODO, organy ścigania, CBZC i CERT Polska. Na 5 sierpnia nie ma nowego oficjalnego komunikatu rozszerzającego zakres incydentu; głównym bieżącym ryzykiem jest phishing wymierzony w osoby widoczne w przejętych zgłoszeniach. |
