Potwierdzony incydent bezpieczeństwa, setki tysięcy zgłoszeń serwisowych wystawionych na sprzedaż i pytania o bezpieczeństwo jednego z największych detalistów w Polsce. Cyberatak na Żabkę pokazuje, że dziś najsłabszym ogniwem często nie jest sama firma, lecz jej partnerzy technologiczni.

Żabka potwierdza incydent

Grupa Żabka potwierdziła, że doszło do naruszenia bezpieczeństwa związanego z kontem zewnętrznego dostawcy usług. Według spółki atakujący uzyskał dostęp do części wewnętrznych systemów wykorzystywanych do obsługi procesów biznesowych. Firma zapewnia jednocześnie, że systemy płatnicze, aplikacja Żappka oraz infrastruktura obsługująca transakcje klientów nie zostały naruszone.

Sprawa została zgłoszona do Urzędu Ochrony Danych Osobowych oraz odpowiednich służb zajmujących się cyberbezpieczeństwem.

Reklama

Reklama

Co miało wyciec?

Na jednym z forów cyberprzestępczych pojawiła się oferta sprzedaży danych za zaledwie 5 tys. euro. Według opisu sprzedającego pakiet obejmuje między innymi:

• około 541 tys. zgłoszeń z systemu Jira,
• ponad 229 tys. zgłoszeń do działów IT,
• kod źródłowy z kilkudziesięciu repozytoriów GitLab,
• dane pracowników i kontraktorów,
• konfiguracje infrastruktury,
• tokeny, klucze dostępowe oraz inne dane techniczne.

Niezależni badacze cyberbezpieczeństwa wskazują, że udostępnione próbki wyglądają wiarygodnie, jednak pełna skala wycieku nadal jest przedmiotem analiz. Nie oznacza to automatycznie, że wszystkie oferowane dane są autentyczne lub aktualne.

Dlaczego cena budzi zdziwienie?

Eksperci zwracają uwagę na wyjątkowo niską cenę. W świecie cyberprzestępczym dane tego typu mogą mieć znacznie większą wartość.

Pojawiają się więc różne hipotezy:

• szybka próba sprzedaży przed zablokowaniem dostępu,
• chęć wywołania kryzysu wizerunkowego,
• element sabotażu lub wojny informacyjnej,
• działanie osoby, która nie zdaje sobie sprawy z rzeczywistej wartości posiadanych danych.

Na obecnym etapie żadna z tych teorii nie została potwierdzona.

Czy zagrożeni są klienci?

Na dziś nie ma dowodów, że wyciek obejmuje:

Reklama

• dane wszystkich użytkowników aplikacji Żappka,
• historię zakupów klientów,
• dane kart płatniczych.

Nie oznacza to jednak całkowitego braku ryzyka.

Jeżeli w wykradzionych materiałach znajdują się dane pracowników, partnerów i dokumentacja techniczna, mogą one posłużyć do przygotowania bardzo wiarygodnych kampanii phishingowych lub prób podszywania się pod pracowników firmy.

Największy problem może być gdzie indziej

W tej historii najważniejsze nie są same zgłoszenia serwisowe.

Znacznie poważniejsze byłoby potwierdzenie obecności w wykradzionych repozytoriach:

• kluczy API,
• tokenów dostępowych,
• sekretów środowisk produkcyjnych,
• konfiguracji infrastruktury chmurowej.

Nowoczesne standardy DevSecOps zakładają, że tego typu informacje powinny być przechowywane w specjalnych magazynach sekretów, a nie w repozytoriach kodu czy dokumentacji projektowej. Jeśli rzeczywiście znalazły się w przejętych zasobach, oznaczałoby to poważne naruszenie dobrych praktyk bezpieczeństwa.

Lekcja nie tylko dla Żabki

Sprawa pokazuje zmianę charakteru współczesnych cyberataków. Coraz częściej przestępcy nie próbują włamywać się bezpośrednio do dużych korporacji. Zamiast tego przejmują konto jednego z zewnętrznych dostawców lub partnerów biznesowych, wykorzystując zaufanie między organizacjami.

To właśnie tzw. atak na łańcuch dostaw (Supply Chain Attack) jest dziś jednym z najgroźniejszych zagrożeń dla administracji publicznej, samorządów i przedsiębiorstw.

Komentarz Radia DTR

Cyberbezpieczeństwo coraz rzadziej sprowadza się do silnego hasła i programu antywirusowego. Dziś o bezpieczeństwie organizacji decyduje cały ekosystem partnerów, podwykonawców i dostawców usług. Wystarczy jedno przejęte konto, aby otworzyć drogę do systemów, które z pozoru wydają się dobrze zabezpieczone.

Incydent w Żabce jest przypomnieniem, że największym zagrożeniem nie zawsze jest sam haker. Często jest nim nadmierne zaufanie do elementów infrastruktury, które pozostają poza bezpośrednią kontrolą organizacji.