Żabka potwierdziła nieautoryzowany dostęp do części swojego zaplecza technicznego. Sprawca wykorzystał konto firmy zewnętrznej. Na forum cyberprzestępczym ktoś oferuje pliki, które mają pochodzić z systemów spółki.
Pierwsze szczegółowe informacje o zdarzeniu opublikował 3 sierpnia serwis Niebezpiecznik. Redakcja otrzymała wiadomość sugerującą włamanie do systemów Żabki. Podobne e-maile trafiły do zagranicznych mediów oraz części firm współpracujących z siecią. Później na forum wykorzystywanym do handlu wykradzionymi danymi pojawiła się oferta ich sprzedaży za 5 tys. euro.
Niebezpiecznik zwrócił się do Żabki o stanowisko. Biuro prasowe spółki potwierdziło, że pod koniec poprzedniego tygodnia wykryto nieuprawniony dostęp do zaplecza służącego między innymi do obsługi relacji z franczyzobiorcami. Wykorzystane zostało konto należące do zewnętrznego dostawcy usług. Po wykryciu zdarzenia dostęp zablokowano.
Firma zgłosiła incydent prezesowi Urzędu Ochrony Danych Osobowych i organom ścigania. Sprawą zajmuje się też inspektor ochrony danych Żabki. Według stanowiska przekazanego Niebezpiecznikowi osoby, których informacje zostały objęte incydentem, są powiadamiane bezpośrednio.
Czy wyciekły dane użytkowników Żappki?
Żabka podała Niebezpiecznikowi, że intruz dostał się do systemu obsługującego zgłoszenia. Spółka zapewnia, że dane transakcyjne oraz informacje przechowywane w aplikacji Żappka nie zostały naruszone. Bez zmian mają działać także usługi dla klientów i sklepy.
Nie ma obecnie dowodów, że sprawca zdobył informacje o saldzie żappsów, historii zakupów lub kartach płatniczych użytkowników aplikacji.
Podobny wniosek płynie z analizy opublikowanej przez Ransomnews jeszcze przed przekazaniem mediom stanowiska Żabki. Serwis sprawdził pliki dołączone przez sprzedającego do ogłoszenia. Nie znalazł w nich danych konsumentów ani informacji pochodzących z programu lojalnościowego. W próbce nie było również danych kart płatniczych.
Pół miliona zgłoszeń i 89 repozytoriów
Autor ogłoszenia twierdzi, że dysponuje materiałami z około 541 tys. spraw zapisanych w systemie Jira. Blisko 230 tys. z nich miało pochodzić z firmowego działu obsługi informatycznej. W ofercie wymieniono też kod z 89 repozytoriów GitLab oraz dokumentację dotyczącą infrastruktury Żabki.
Ransomnews przejrzał 1102 zgłoszenia udostępnione jako próbka. Znajdowały się w niej eksporty z 48 projektów Jira oraz informacje o 89 repozytoriach. Podane w plikach sumy odpowiadały liczbom z ogłoszenia. Nie dowodzi to jednak, że cały oferowany zbiór istnieje i jest autentyczny.
W zbadanych zgłoszeniach pojawiały się nazwiska pracowników i kontraktorów, firmowe adresy poczty oraz identyfikatory sklepów. Ransomnews znalazł też ten sam token GitLaba zapisany w materiałach dotyczących wszystkich 89 repozytoriów. Badacze nie próbowali sprawdzać, czy nadal pozwalał na logowanie.
Sprzedający przekonywał również, że jego zbiór zawiera około 4 tys. numerów rachunków. Ransomnews nie znalazł żadnego numeru IBAN w przeanalizowanej części. Próbka obejmowała około 0,2 proc. wszystkich zgłoszeń, których posiadanie deklaruje autor oferty.
Fałszywy pracownik pomocy technicznej
Ujawnione informacje mogą być groźniejsze dla franczyzobiorców i dostawców niż dla użytkowników Żappki. W próbce znajdowały się prawdziwe numery placówek oraz opisy problemów technicznych. Ransomnews ocenia, że takie dane mogą posłużyć do telefonu od osoby podszywającej się pod pracownika działu IT. Oszust znałby numer sklepu i treść wcześniejszego zgłoszenia, co uwiarygodniłoby rozmowę.
Nie odnotowano dotąd kampanii phishingowej wymierzonej w klientów Żabki. Przestępcy mogą jednak wykorzystać medialny rozgłos sprawy i rozsyłać wiadomości o blokadzie aplikacji, utracie żappsów albo rzekomej rekompensacie.
Do Żappki nie należy logować się przez odnośnik przesłany w SMS-ie. Komunikaty najlepiej sprawdzać po samodzielnym uruchomieniu aplikacji. Na stronie otwartej z wiadomości nie wolno podawać danych karty, kodu BLIK ani hasła do bankowości.
Podejrzanego SMS-a można przekazać do CERT Polska na bezpłatny numer 8080. Zespół przyjmuje w ten sposób zgłoszenia wiadomości zawierających fałszywe linki i wykorzystuje je do blokowania stron wyłudzających dane.
Problemy z rabatami nie były częścią ataku
W podobnym czasie część sklepów miała problemy z naliczaniem promocji. Żabka przekazała Niebezpiecznikowi, że przyczyną był błąd konfiguracji mechanizmu rabatowego. Według spółki awaria nie miała związku z nieautoryzowanym dostępem.
Na podstawie informacji ujawnionych do 4 sierpnia nie ma podstaw, by uznać, że napastnik dostał się do kont klientów Żappki. Największe potwierdzone ryzyko dotyczy osób, których dane znalazły się w wewnętrznych zgłoszeniach: pracowników Żabki, franczyzobiorców oraz personelu zewnętrznych dostawców.
