Kasy i aplikacja Żappka działają normalnie, a dane transakcyjne pozostały nienaruszone. Tak twierdzi Żabka. Atak poszedł w zaplecze, czyli w systemy, przez które centrala wymienia informacje z franczyzobiorcami. Firma potwierdziła to 4 sierpnia w oświadczeniu przesłanym redakcjom. Nieuprawniony dostęp wykryto pod koniec lipca i, jak podaje sieć, niezwłocznie zablokowano. Sprawa trafiła do inspektora ochrony danych, Prezesa UODO i organów ścigania. Według Niebezpiecznika wyciek danych z Żabki objął informacje o pracownikach i partnerach mających konta w jej infrastrukturze. Serwis wskazuje też na możliwość wycieku danych części klientów, czego firma nie potwierdziła. Sama sieć podaje jedną rzecz o przebiegu: dostęp uzyskano przy wykorzystaniu konta zewnętrznego dostawcy usług.
Co Żabka potwierdziła, a czego nie
Oświadczenie sieci jest krótkie i precyzyjne w tym, co przemilcza. “Pod koniec ubiegłego tygodnia wykryliśmy nieautoryzowany dostęp do wybranych zasobów technicznych wspierających wymianę informacji między franczyzodawcą a franczyzobiorcami” – brzmi kluczowe zdanie. Dalej firma zapewnia, że bezpieczeństwo danych transakcyjnych i usług konsumenckich, poufność danych aplikacji Żappka oraz działalność operacyjna pozostają nienaruszone.
Granica przebiega dokładnie tam. Potwierdzony jest dostęp do zaplecza technicznego. Potwierdzone jest zgłoszenie do UODO i do służb. Wyciek danych klientów pozostaje w sferze prawdopodobieństwa, o którym pisze Niebezpiecznik, a nie w sferze faktów ogłoszonych przez sieć.
To rozróżnienie ma znaczenie praktyczne, nie tylko dziennikarskie. Jeśli ktoś zadzwoni do ciebie jutro z informacją, że “wyciekły twoje dane z Żappki”, to na dziś nie ma takiego potwierdzenia. Takie telefony potrafią pojawić się po każdym głośnym incydencie i zwykle są próbą oszustwa, nie ostrzeżeniem.
Konto zewnętrznego dostawcy jako wejście do środka
Duża sieć handlowa nie budowała swojej informatyki sama. Robią to dla niej firmy zewnętrzne: integratorzy, dostawcy oprogramowania, zespoły utrzymania. Każda z nich potrzebuje kont w systemach zleceniodawcy, żeby cokolwiek zrobić. Każde takie konto powiększa powierzchnię ataku i dlatego wymaga regularnej kontroli uprawnień.
Żabka podaje, że nieuprawniony dostęp uzyskano przy wykorzystaniu konta zewnętrznego dostawcy usług. Firma nie ujawniła, o którego dostawcę chodzi, w jaki sposób napastnik z tego konta skorzystał ani czy potrzebne było ominięcie innych zabezpieczeń.
Ten sam mechanizm opisywaliśmy tydzień temu przy ataku na rejestr paczek npm, gdzie przejęte konto jednego opiekuna biblioteki wystarczyło, żeby zainfekować projekty tysięcy zespołów. Różni się branża, powtarza się schemat. Najsłabszym punktem nie jest system, który chronisz, tylko lista podmiotów mających do niego klucze. Tę listę większość firm robi raz, przy podpisywaniu umowy, i nie wraca do niej latami.
Zgłoszenia z działu wsparcia opisują firmę od środka
Sekurak przeanalizował ogłoszenie sprzedającego oraz udostępnioną próbkę. Według tej analizy oferta obejmuje około 541 tysięcy zgłoszeń w Jirze z 48 projektów, ponad 229 tysięcy zgłoszeń do wsparcia technicznego, kod źródłowy z 89 repozytoriów GitLab i 139 identyfikatorów punktów sprzedaży. To opis oferty sprzedającego, a nie potwierdzony przez Żabkę zakres wycieku.
Nagłówki skupiły się na kodzie źródłowym. Ciekawsze są jednak zgłoszenia, bo setki tysięcy takich wpisów to nie jest baza adresowa.
Zgłoszenia do wsparcia technicznego bywają kopalnią: ludzie wklejają do nich fragmenty konfiguracji, nazwy systemów wewnętrznych, zrzuty ekranu, czasem dane dostępowe. Nie wiadomo, które z tych elementów znalazły się w materiałach dotyczących Żabki. Wiadomo natomiast, do czego taki zbiór może się przydać: do rozpoznania infrastruktury przed kolejnym atakiem. Lista klientów starzeje się w kilka miesięcy, a opis tego, jak firma działa od środka, zostaje aktualny znacznie dłużej.
Pięć tysięcy euro za komplet
Według sekuraka dane wystawiono na forum przestępczym 2 sierpnia. Oferowany pakiet wyceniono na 5 tysięcy euro, a dlahandlu.pl określił tę kwotę jako wyjątkowo niską. Sama cena nie pozwala jednak ustalić, do czego dane miały posłużyć ani czy oferta w ogóle znalazła nabywcę.
Wiadomo za to, że sprawa nie została po cichu. Według Niebezpiecznika sprawcy wysłali informacje o ataku firmom współpracującym z Żabką oraz dziennikarzom. Może to wskazywać na próbę zwiększenia presji albo rozgłosu, ale ich motywu nikt nie potwierdził.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.
Poznaj pełny program →
Co zrobić, jeśli twoje dane mogły wyciec
Zacznijmy od tego, czego robić nie trzeba. Nie ma dziś podstaw, żeby masowo zmieniać hasła do Żappki ani rezygnować z aplikacji. Firma twierdzi, że dane aplikacji pozostały poufne, a publicznie dostępne materiały nie potwierdzają naruszenia tej poufności.
Sensowne kroki są ogólniejsze i przydają się niezależnie od tej sprawy. Zastrzeżenie numeru PESEL zajmuje chwilę w aplikacji mObywatel, w urzędzie albo w banku. Powoduje ono, że banki i inne objęte ustawą instytucje muszą sprawdzić status numeru przed zawarciem między innymi umowy kredytu lub pożyczki. Warto też sprawdzić własny adres e-mail w serwisach śledzących wycieki i włączyć uwierzytelnianie dwuskładnikowe tam, gdzie jeszcze go nie ma.
Jednym z realnych ryzyk najbliższych tygodni są fałszywe wiadomości podszywające się pod Żabkę, czyli phishing. Po każdym nagłośnionym incydencie ruszają maile i SMS-y w rodzaju “potwierdź swoje dane”, “odbierz rekompensatę”, “zaloguj się, żeby sprawdzić czy jesteś poszkodowany”. Nie podawaj hasła ani numeru karty przez link z takiej wiadomości. Informację zweryfikuj samodzielnie w oficjalnej aplikacji albo na stronie firmy. Podobny wzorzec opisywaliśmy przy firmowych danych wklejanych do narzędzi AI – najczęściej dane wypływają nie przez włamanie, tylko przez wygodę.
Dla firm wniosek jest inny i mniej przyjemny. Warto dziś wypisać, kto z zewnątrz ma konta w twoich systemach, kiedy ostatnio z nich korzystał i kto to sprawdza.
Pytania, które wracają w tej sprawie
Czy dane z aplikacji Żappka wyciekły?
Żabka twierdzi, że nie. W oświadczeniu firma zapewnia, że poufność danych aplikacji Żappka oraz bezpieczeństwo danych transakcyjnych pozostają nienaruszone. Publiczne ustalenia dotyczą zaplecza technicznego, a nie systemów obsługujących zakupy. Nie jest to jednak wynik niezależnego audytu, tylko stanowisko firmy, i tak należy je czytać.
Czy Żabka musi powiadomić poszkodowanych o naruszeniu?
Administrator zgłasza naruszenie Prezesowi UODO, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób. Sieć ten krok już wykonała. Zawiadomienie samych osób to osobna sprawa i jest wymagane wtedy, gdy naruszenie może powodować wysokie ryzyko. Wtedy administrator informuje bez zbędnej zwłoki. Ocena tego ryzyka należy najpierw do firmy, a potem do organu nadzorczego.
Podsumowanie
Granica między potwierdzeniem a domysłem biegnie w tej sprawie dokładnie tam, gdzie kończy się oświadczenie firmy. Żabka potwierdziła nieuprawniony dostęp do zaplecza technicznego, wejście przez konto zewnętrznego dostawcy usług oraz zgłoszenie sprawy do inspektora ochrony danych, Prezesa UODO i organów ścigania. Zapewnia przy tym, że dane transakcyjne i aplikacja Żappka pozostały nienaruszone. Wyciek danych klientów jest na dziś prawdopodobieństwem opisanym przez Niebezpiecznika, nie ogłoszonym faktem. Zakres oferty sprzedającego, czyli setki tysięcy zgłoszeń i kod z 89 repozytoriów, znamy z analizy sekuraka i pozostaje on deklaracją przestępcy. Praktyczny wniosek dla czytelnika jest jeden: spodziewaj się wiadomości podszywających się pod sieć, a każdą prośbę o dane weryfikuj niezależnym, oficjalnym kanałem.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
