Angeblicher Datenverstoß bei Żabka: Interne Systeme zum Verkauf angeboten

Die Bekanntgabe erfolgte, nachdem ein anonymer Verkäufer angeblich gestohlene Unternehmensdaten für 5.000 Euro auf einem illegalen Marktplatz zum Verkauf angeboten hatte. Der Bedrohungsakteur behauptet, dass das Datenpaket interne Unterlagen, Quellcode, Produktionszugangsdaten und Jira-Daten enthält.

Żabka erklärte, den unbefugten Zugriff schnell erkannt und blockiert zu haben. Nach den bisherigen Erkenntnissen sind Transaktionsdaten und der laufende Geschäftsbetrieb nicht beeinträchtigt.

Żabka bestätigt Vorfall im Zusammenhang mit einem Dienstleister

Ein Unternehmenssprecher erklärte, dass Żabka Ende vergangener Woche von dem mutmaßlichen unbefugten Zugriff erfahren habe.

Der Zugriff betraf ausgewählte technische Ressourcen im Unternehmensnetzwerk und erfolgte über einen externen Dienstleister. Żabka erklärte, entsprechend der bestehenden Sicherheitsverfahren reagiert zu haben.

Das Unternehmen leitete den Vorfall umgehend an seinen Datenschutzbeauftragten weiter. Außerdem informierte es die polnische Datenschutzbehörde UODO gemäß den gesetzlichen und internen Vorgaben.

Żabka teilte mit, dass betroffene Personen, deren personenbezogene Daten möglicherweise betroffen sind, informiert werden. Zudem will das Unternehmen die Lage weiterhin überwachen und seine Sicherheitssysteme weiter stärken.

Den vollständigen Umfang der angeblich entwendeten Daten hat das Unternehmen bislang nicht bestätigt.

Bedrohungsakteur bietet angebliche Daten für 5.000 Euro an

Ein neues Benutzerkonto mit dem Namen Lumia bot den angeblichen Datensatz auf einer Spiegelseite von BreachForums zum Verkauf an. Der Verkäufer bezeichnete den Preis von 5.000 Euro als symbolisch.

Dem Beitrag zufolge enthält das Paket Daten aus rund 541.000 Jira-Vorgängen sowie 2,7 Millionen Benutzerreferenzen aus mehr als 20 Partnerdomänen.

Der Verkäufer behauptet, dass die Datensätze vollständige Namen, geschäftliche E-Mail-Adressen, Jira-Benutzernamen, Konto-IDs sowie Verzeichnisinformationen zu Mitarbeitern und Auftragnehmern enthalten.

Die angeblichen Daten beziehen sich außerdem auf externe Partner, darunter Accenture, Netguru, Onwelo, BlueSoft und Sygeon.

Laut dem Beitrag enthält das Paket außerdem Jira-Exporte aus dem IT-Service-Desk mit insgesamt 229.734 Tickets. Darüber hinaus soll es Dokumentationen zu mehreren internen Systemen umfassen, darunter das Kassensystem Nowa Kasa, das Verkaufssystem ZSS, Cyberstore, zMarket und SAP ERP.

Zugangsdaten und Quellcode sorgen für Sicherheitsbedenken

Der Verkäufer behauptet außerdem, 89 Git-Repositories mit fast 12.000 Dateien entwendet zu haben. Diese sollen die Einzelhandelsplattform von Żabka, Backend-Microservices, Frontend-Anwendungen und weitere Infrastrukturkomponenten umfassen.

Das angebliche Datenpaket enthält zudem Produktionszugangsdaten, darunter persönliche GitLab-Zugriffstokens, Passwörter von Datenbankadministratoren, Umgebungsdateien mit fest eingebetteten Tokens sowie SSH-Zugriffsmuster für Filialserver.

Die Cybernews-Sicherheitsforscherin Rasa Jurgutytė analysierte ein archiviertes 3,1-MB-Beispiel. Ihren Angaben zufolge wirkten die offengelegten Jira-Tickets anhand ihres Formats, ihres Inhalts und der polnischsprachigen Kommentare authentisch.

Das Beispiel soll 48 JSON-Dateien mit internen Jira-Projekten enthalten haben. Ein weiterer Ordner umfasste 89 Dateien mit GitLab-Bezügen, darunter Beispiele aus dem Hauptzweig sowie einen als URL-Parameter offengelegten OAuth2-Schlüssel.

Jurgutytė warnte, dass offengelegte Infrastrukturdokumentationen, Zugangsdaten und möglicher Quellcode Angreifern helfen könnten, bekannte Schwachstellen auszunutzen und sich innerhalb verbundener Systeme seitlich auszubreiten.

Die Behauptungen über den Datenverstoß bei Żabka sind bislang nur teilweise bestätigt. Das Unternehmen hat jedoch einen Sicherheitsvorfall im Zusammenhang mit einem externen Dienstleister bestätigt und arbeitet mit den zuständigen Behörden zusammen.

Żabka betreibt 13.063 Filialen in Polen und Rumänien. Nach Unternehmensangaben verarbeitet die Kette täglich 4,3 Millionen Transaktionen und erzielte im Jahr 2025 einen Endkundenumsatz von 31,1 Milliarden polnischen Złoty.