Do naruszenia bezpieczeństwa doszło pod koniec ubiegłego tygodnia. Żabka poinformowała, że wykryła nieautoryzowany dostęp do części zasobów technicznych wykorzystywanych do wymiany informacji pomiędzy franczyzodawcą a franczyzobiorcami. Według spółki atak został przeprowadzony z wykorzystaniem konta należącego do zewnętrznego dostawcy usług.

Cyberatak na Żabkę. Sprawą zajmuje się prokuratura i CBZC

Firma podkreśla, że nieuprawniony dostęp został szybko wykryty i natychmiast zablokowany zgodnie z obowiązującymi procedurami bezpieczeństwa. O zdarzeniu poinformowano Inspektora Ochrony Danych w Żabka Polska, Prezesa Urzędu Ochrony Danych Osobowych oraz właściwe organy ścigania.

Do sprawy odniósł się także wicepremier i minister cyfryzacji Krzysztof Gawkowski. We wpisie opublikowanym w serwisie X zaznaczył, że Żabka sprawnie zareagowała na incydent, uruchamiając procedury bezpieczeństwa i podejmując współpracę z CERT Polska oraz Centralnym Biurem Zwalczania Cyberprzestępczości. Jak podkreślił, zdarzenie powinno być ważną lekcją dla całego rynku. Minister zapewnił również, że cyberatak nie objął danych użytkowników aplikacji Żappka, nie naruszył danych transakcyjnych klientów i nie wpłynął na funkcjonowanie sklepów.

Inaczej sytuację opisuje portal Niebezpiecznik, który informuje o możliwym wycieku danych osobowych pracowników i partnerów posiadających konta w infrastrukturze Żabki. Serwis wskazuje również, że wyciekiem mogły zostać objęte dane części klientów, choć informacje te nie zostały dotąd oficjalnie potwierdzone przez spółkę.

Według ustaleń portalu cyberprzestępcy wystawili skradzione dane na sprzedaż za około 5 tys. euro. Dodatkowo mieli rozsyłać wiadomości e-mail do firm współpracujących z Żabką oraz do dziennikarzy, informując o przeprowadzonym ataku.

Niebezpiecznik podał także, że do ogłoszenia o sprzedaży danych dołączono próbkę wykradzionych informacji. Ma ona wskazywać, że napastnicy uzyskali dostęp co najmniej do systemu Jira, wykorzystywanego przez Żabkę do zarządzania projektami oraz obsługi zgłoszeń dotyczących błędów technicznych.

Śledztwo znajduje się na wczesnym etapie, dlatego zarówno CBZC, jak i prokuratura na razie nie przekazują dodatkowych informacji dotyczących przebiegu postępowania ani skali naruszenia.