Żabka zaatakowana przez hakerów. Dane polskiej sieci do kupienia za grosze

Żabka potwierdziła poważny incydent bezpieczeństwa. Nieautoryzowany dostęp do zasobów technicznych polskiej sieci sklepów miał nastąpić za pośrednictwem zewnętrznego dostawcy. Firma zapewnia, że zablokowała dostęp i prowadzi działania wyjaśniające. Tymczasem cyberprzestępca twierdzi, że zdobył ogromny pakiet danych i wystawił go na sprzedaż za zaledwie 5000 euro.

Według deklaracji osoby stojącej za ofertą łupem atakującego miały paść między innymi setki tysięcy zgłoszeń z systemu Jira, fragmenty kodu źródłowego, dokumentacja wewnętrzna oraz informacje związane z dostępem do systemów produkcyjnych. Skala przedstawionych danych jest duża, ale na tym etapie nie wszystkie twierdzenia cyberprzestępcy zostały niezależnie potwierdzone.

Sama Żabka potwierdziła natomiast fakt nieautoryzowanego dostępu do wybranych zasobów technicznych. Firma podkreśla, że incydent nie wpłynął na bezpieczeństwo danych transakcyjnych ani ciągłość jej działalności.

Żabka potwierdza incydent. Atakujący dostał się przez zewnętrznego dostawcę

Informacja o incydencie pojawiła się po tym, jak na nielegalnym rynku zaczęła być reklamowana oferta sprzedaży danych rzekomo skradzionych z infrastruktury Żabki. Według sprzedającego pełny pakiet kosztuje 5000 euro.

Żabka przyznała, że pod koniec ubiegłego tygodnia otrzymała informację o podejrzeniu nieautoryzowanego dostępu do wybranych zasobów technicznych. Dostęp miał zostać uzyskany za pośrednictwem zewnętrznego dostawcy usług.

Firma twierdzi, że wykryła problem i natychmiast zablokowała nieautoryzowany dostęp. Rozpoczęto również działania związane z analizą zakresu incydentu.

„Wstępne ustalenia firmy wskazują, że bezpieczeństwo danych transakcyjnych i ciągłość działalności naszej firmy nie zostały naruszone” – przekazał rzecznik Żabki.

To istotna informacja dla klientów. Sam fakt naruszenia części infrastruktury technicznej nie oznacza automatycznie, że doszło do przejęcia danych płatniczych lub informacji związanych z zakupami.

Haker twierdzi, że zdobył 541 tysięcy zgłoszeń Jira

Najbardziej niepokojące są deklaracje osoby oferującej dane na sprzedaż. Według cyberprzestępcy paczka ma zawierać około 541 tysięcy zgłoszeń z systemu Jira.

Jira jest wykorzystywana przez firmy między innymi do zarządzania projektami, zgłoszeniami technicznymi i pracą zespołów IT. Wewnętrzne tickety mogą zawierać znacznie więcej informacji niż sama historia zadania. W zależności od konfiguracji systemu mogą pojawiać się tam nazwiska, firmowe adresy e-mail, identyfikatory użytkowników, komentarze pracowników, informacje o infrastrukturze czy szczegóły problemów technicznych.

Sprzedający twierdzi również, że wśród danych znajduje się około 2,7 miliona referencji użytkowników związanych z ponad 20 domenami dostawców. Wymieniono między innymi firmy Accenture, Netguru, Onwelo, BlueSoft i Sygeon.

Nie ma jednak podstaw, aby na podstawie samej oferty cyberprzestępcy uznać wszystkie te informacje za autentyczne. W przypadku podobnych publikacji sprawcy mogą zawyżać skalę kradzieży, aby zwiększyć zainteresowanie potencjalnych kupujących.

Kod źródłowy i dane dostępowe miały trafić w ręce atakującego

Jeszcze większe znaczenie mogą mieć informacje dotyczące infrastruktury IT. Cyberprzestępca twierdzi, że uzyskał dostęp do 89 wewnętrznych repozytoriów Git zawierających blisko 12 tysięcy plików.

Według przedstawionej oferty dane mają dotyczyć między innymi platformy detalicznej Żabki, mikroserwisów zaplecza, aplikacji front-end oraz elementów infrastruktury informatycznej.

Wśród rzekomo skradzionych materiałów mają znajdować się również dane uwierzytelniające. Sprzedawca wymienia tokeny dostępu GitLab, hasła administratorów baz danych, pliki środowiskowe zawierające tokeny oraz informacje dotyczące dostępu SSH do serwerów.

Jeżeli te deklaracje potwierdzą się w toku analizy, problem nie ograniczałby się do samego wycieku dokumentów. Ujawnienie aktywnych danych uwierzytelniających może stworzyć dodatkowe ryzyko dla infrastruktury firmy. Dlatego po wykryciu takiego incydentu kluczowe staje się unieważnienie tokenów, zmiana haseł i dokładne sprawdzenie logów dostępowych.

Próbka danych wygląda wiarygodnie

Badacze przeanalizowali próbkę danych udostępnioną przez cyberprzestępcę. Paczka miała mieć rozmiar około 3,1 MB. W archiwum znalazło się 48 plików JSON reprezentujących wewnętrzne projekty Jira wraz z przykładami zgłoszeń. Kolejne 89 plików miało zawierać odniesienia do GitLaba.

Według analizy format plików, ich struktura oraz komentarze zapisane w języku polskim przypominają rzeczywiste materiały wykorzystywane w firmowym środowisku IT. W jednej z próbek znaleziono również klucz OAuth2 przekazany jako parametr adresu URL.

Badacze ostrzegają, że ujawnienie szczegółów infrastruktury, konfiguracji oraz potencjalnych danych uwierzytelniających może ułatwić kolejne próby ataku. Cyberprzestępcy mogą wykorzystać takie informacje do rozpoznania środowiska, poszukiwania znanych podatności lub prób uzyskania dostępu do kolejnych systemów.

Nie oznacza to jednak, że wszystkie wymienione przez hakera elementy zostały przejęte ani że napastnik zachował dostęp do infrastruktury Żabki. Firma deklaruje, że nieautoryzowany dostęp został zablokowany.

Żabka zgłosiła sprawę do UODO

Firma poinformowała, że incydent został przekazany Inspektorowi Ochrony Danych Osobowych Żabka Polska oraz zgłoszony Prezesowi Urzędu Ochrony Danych Osobowych.

Żabka deklaruje także, że osoby, których dane osobowe mogły zostać objęte incydentem, są informowane na bieżąco.

Firma prowadzi dalsze działania wyjaśniające i monitoruje sytuację. Na obecnym etapie szczególnie istotne będzie ustalenie dokładnego zakresu danych, do których uzyskał dostęp nieuprawniony podmiot, oraz sprawdzenie, czy jakiekolwiek dane uwierzytelniające mogły pozostawać aktywne po wykryciu incydentu.

Cyberatak przez dostawcę to problem dla całego łańcucha IT

W tym przypadku szczególnie interesujący jest sposób uzyskania dostępu. Żabka wskazuje na zewnętrznego dostawcę usług. Tego rodzaju incydenty pokazują, że bezpieczeństwo dużej organizacji zależy również od zabezpieczeń stosowanych przez firmy mające dostęp do jej systemów.

Duże przedsiębiorstwa korzystają z dziesiątek, a czasem setek zewnętrznych podmiotów. Dostawcy technologii, firmy konsultingowe, integratorzy, operatorzy infrastruktury czy wykonawcy usług IT mogą otrzymywać dostęp do określonych zasobów. Każde takie połączenie tworzy dodatkowy punkt, który musi być odpowiednio chroniony.

W przypadku Żabki firma nie informuje na razie publicznie, który dostawca został wykorzystany przez atakującego ani w jaki sposób doszło do przejęcia dostępu.

Żabka działa na ogromną skalę

Znaczenie incydentu wynika również ze skali działalności firmy. Żabka prowadzi ponad 13 tysięcy sklepów w Polsce i Rumunii, a według danych przywoływanych w materiale realizuje około 4,3 miliona transakcji dziennie.

W 2025 roku sprzedaż firmy klientom końcowym miała wynieść 31,1 miliarda złotych. Przy takiej skali działalności infrastruktura informatyczna obejmuje wiele współpracujących ze sobą systemów, od narzędzi wykorzystywanych przez pracowników IT po rozwiązania związane ze sprzedażą, logistyką, zamówieniami i zarządzaniem przedsiębiorstwem.

Wśród systemów wymienionych przez cyberprzestępcę znalazły się między innymi rozwiązania związane z obsługą IT, systemem kasowym Nowa Kasa POS, systemem sprzedażowym ZSS, Cyberstore, platformą zMarket oraz SAP ERP i modułem MDG.

Nie wiadomo jednak, czy wszystkie te systemy rzeczywiście zostały naruszone.

5000 euro za dane Żabki

Cena żądana przez cyberprzestępcę może wydawać się niewielka w porównaniu ze skalą danych, które rzekomo znajdują się w paczce. Dla atakującego sprzedaż za kilka tysięcy euro może być próbą szybkiego spieniężenia informacji przed ich publicznym ujawnieniem lub sprzedażą innemu podmiotowi.

Dla firmy potencjalna wartość takich danych jest zupełnie inna. Jeżeli w paczce rzeczywiście znajdują się informacje o infrastrukturze, kod źródłowy i dane dostępowe, ich wykorzystanie może prowadzić do kolejnych prób włamania.

Na razie nie wiadomo, czy znalazł się kupiec zainteresowany ofertą. Nie ma również potwierdzenia, że cały zakres przedstawiony przez cyberprzestępcę jest prawdziwy.