Cyberatak na Żabkę: 541 tys. rekordów z systemu Jira wystawiono na sprzedaż za 5 tys. euro

Cyberatak na Żabkę: 541 tys. rekordów z systemu Jira wystawiono na sprzedaż za 5 tys. euro

Hakerzy włamali się do zaplecza technicznego Żabki przez konto zewnętrznego dostawcy i oferują wykradzione dane pracowników, franczyzobiorców oraz kod z 89 repozytoriów. Firma zapewnia, że dane klientów Żappki są bezpieczne.

Żabka, jedna z największych sieci handlowych w Polsce, padła ofiarą poważnego cyberataku. Firma potwierdziła, że pod koniec ubiegłego tygodnia wykryła nieautoryzowany dostęp do wybranych zasobów technicznych wspierających wymianę informacji między franczyzodawcą a franczyzobiorcami. Sprawca dostał się do systemów spółki, wykorzystując konto należące do zewnętrznego dostawcy usług, a po wykryciu incydentu dostęp został natychmiast zablokowany zgodnie z obowiązującymi procedurami bezpieczeństwa. Sprawa trafiła już do prezesa Urzędu Ochrony Danych Osobowych oraz organów ścigania, a wewnętrznie zajmuje się nią także inspektor ochrony danych spółki. Jako pierwszy o zdarzeniu poinformował serwis Niebezpiecznik, do którego 3 sierpnia trafiła wiadomość sugerująca włamanie do systemów Żabki. Podobne e-maile otrzymały zagraniczne media oraz część firm współpracujących z siecią.

Kilka godzin po rozesłaniu wiadomości na forum wykorzystywanym przez cyberprzestępców do handlu wykradzionymi danymi pojawiła się oferta sprzedaży materiałów rzekomo pochodzących z systemów Żabki. Cena: zaledwie 5 tysięcy euro. Autor ogłoszenia twierdzi, że dysponuje danymi z około 541 tysięcy zgłoszeń zapisanych w systemie Jira, wykorzystywanym przez firmę do obsługi zgłoszeń technicznych i zarządzania projektami. Blisko 230 tysięcy spraw miało pochodzić z firmowego działu obsługi informatycznej. W ofercie wymieniono również kod źródłowy z 89 repozytoriów GitLab, poufną dokumentację projektową dotyczącą infrastruktury Żabki oraz produkcyjne dane uwierzytelniające. Według deklaracji sprzedającego materiały obejmują okres od 2022 roku aż do 29 lipca bieżącego roku, a wyciek ma zawierać nazwiska, adresy e-mail oraz nazwy użytkowników należące do pracowników i kontraktorów sieci.

Wiarygodność oferty częściowo zweryfikował serwis Ransomnews, który przeanalizował próbkę dołączoną do ogłoszenia. Badacze przejrzeli 1102 zgłoszenia udostępnione przez sprzedającego – to około 0,2 procent całego deklarowanego zbioru. W próbce znajdowały się eksporty z 48 projektów Jira oraz informacje o 89 repozytoriach, a sumy podane w plikach odpowiadały liczbom z ogłoszenia i były wewnętrznie spójne. Co istotne, w materiałach dotyczących wszystkich 89 repozytoriów badacze znaleźli ten sam token dostępu do GitLaba, choć nie próbowali sprawdzać, czy nadal umożliwiał logowanie. W zbadanych zgłoszeniach pojawiały się nazwiska pracowników i kontraktorów, firmowe adresy poczty elektronicznej oraz identyfikatory sklepów. Warto jednak podkreślić, że spójność próbki nie dowodzi, iż cały oferowany zbiór rzeczywiście istnieje i jest autentyczny. Sprzedający przekonywał ponadto, że dysponuje około 4 tysiącami numerów rachunków bankowych, jednak Ransomnews nie znalazł ani jednego numeru IBAN w przeanalizowanej części materiałów.

Najważniejsze pytanie z perspektywy konsumentów dotyczy bezpieczeństwa aplikacji lojalnościowej Żappka, z której korzysta ponad 11 milionów użytkowników. Tutaj komunikat spółki jest jednoznaczny: bezpieczeństwo danych transakcyjnych i usług konsumenckich, poufność danych aplikacji Żappka oraz działalność operacyjna pozostają nienaruszone. Według firmy intruz uzyskał dostęp wyłącznie do systemu kolejkowania zgłoszeń technicznych. Zapewnienia te potwierdza niezależna analiza – Ransomnews jeszcze przed przekazaniem mediom oficjalnego stanowiska Żabki sprawdził pliki dołączone do ogłoszenia i nie znalazł w nich danych konsumentów, informacji z programu lojalnościowego ani danych kart płatniczych. Na podstawie informacji ujawnionych do 4 sierpnia nie ma więc dowodów, że sprawca zdobył informacje o saldzie żappsów, historii zakupów czy kartach płatniczych użytkowników aplikacji. Osoby, których dane zostały objęte incydentem, są – jak zapewnia Żabka – powiadamiane bezpośrednio.

O ile klienci mogą odetchnąć z ulgą, o tyle sytuacja wygląda inaczej dla franczyzobiorców, pracowników i dostawców sieci. To właśnie oni ponoszą największe potwierdzone ryzyko związane z wyciekiem. W próbce udostępnionej przez hakerów znajdowały się prawdziwe numery placówek oraz szczegółowe opisy problemów technicznych zgłaszanych przez sklepy. Eksperci Ransomnews oceniają, że takie dane stanowią idealny materiał do ataków socjotechnicznych. Wyobraźmy sobie telefon od osoby podszywającej się pod pracownika działu IT Żabki, która zna numer konkretnego sklepu i treść wcześniejszego zgłoszenia serwisowego – taka wiedza dramatycznie uwiarygodnia rozmowę i może skłonić franczyzobiorcę do wykonania poleceń oszusta, na przykład podania danych logowania czy instalacji złośliwego oprogramowania. W ocenie ekspertów cytowanych przez branżowe media atak wygląda na poważny i głęboki, choć na razie nie wiadomo, kto może być jego sprawcą.

Choć dotychczas nie odnotowano kampanii phishingowej wymierzonej w klientów Żabki, medialny rozgłos wokół incydentu sam w sobie tworzy okazję dla przestępców. Typowy scenariusz to rozsyłanie wiadomości o rzekomej blokadzie aplikacji, utracie zgromadzonych żappsów albo należnej rekompensacie – z linkiem prowadzącym do strony wyłudzającej dane. Zasady bezpieczeństwa w takiej sytuacji są proste: do Żappki nie należy logować się przez odnośnik przesłany w SMS-ie, a wszelkie komunikaty najlepiej weryfikować po samodzielnym uruchomieniu aplikacji. Na stronie otwartej z podejrzanej wiadomości nie wolno podawać danych karty płatniczej, kodu BLIK ani hasła do bankowości. Podejrzane SMS-y można przekazywać do CERT Polska na bezpłatny numer 8080 – zespół wykorzystuje takie zgłoszenia do blokowania stron wyłudzających dane.

Zamieszanie wokół ataku spotęgowały równoległe problemy techniczne w sklepach sieci. W niedzielę doszło do awarii systemu odpowiedzialnego za naliczanie rabatów promocyjnych podczas części transakcji, a klienci zgłaszali również kłopoty z działaniem niektórych terminali płatniczych. Naturalnym odruchem było łączenie tych zdarzeń z cyberatakiem, jednak Żabka stanowczo zaprzecza takiej interpretacji. Według spółki przyczyną problemów z promocjami był błąd konfiguracji mechanizmu rabatowego, niemający związku z nieautoryzowanym dostępem do systemów. Firma natychmiast rozpoczęła prace naprawcze i jeszcze przed godziną 15 awaria została usunięta w niemal 90 procentach placówek.

Incydent w Żabce to kolejny przykład ataku przeprowadzonego przez łańcuch dostaw – furtką dla przestępców okazało się konto zewnętrznego dostawcy usług, a nie bezpośrednie przełamanie zabezpieczeń samej sieci handlowej. To scenariusz, który powinien dać do myślenia każdej dużej organizacji współpracującej z dziesiątkami podwykonawców IT: bezpieczeństwo firmy jest tak mocne, jak najsłabsze ogniwo w jej ekosystemie partnerów. Znaleziony w próbce token GitLaba zapisany w dokumentacji wszystkich 89 repozytoriów pokazuje z kolei, jak groźne bywa przechowywanie danych uwierzytelniających w systemach zgłoszeniowych i dokumentacji projektowej. Sprawa ma też szerszy kontekst systemowy – tego samego dnia, gdy media opisywały atak na Żabkę, poinformowano o przeznaczeniu 230 milionów złotych na Centrum Operacyjne Cyberbezpieczeństwa, które ma wzmocnić odporność infrastruktury podmiotów objętych krajowym systemem cyberbezpieczeństwa. Dla rynku to czytelny sygnał: skala i wyrafinowanie ataków na polskie firmy rośnie, a inwestycje w cyberodporność przestają być opcją, stając się warunkiem prowadzenia biznesu.