Polský řetězec Żabka, největší síť convenience storů v zemi s více než 13 tisíci prodejnami, řeší kybernetický incident. Neznámý útočník pod přezdívkou Lumia nabízí na jednom z BreachForums klonů k prodeji rozsáhlý balík interních dat, a to za symbolickou cenu 5000 eur.
Jak k úniku dat u Żabky došlo
Podle vyjádření Żabky došlo koncem minulého týdne k neoprávněnému přístupu k vybraným technickým zdrojům v síti společnosti, a to prostřednictvím externího poskytovatele služeb. Firma tvrdí, že přístup byl odhalen a rychle zablokován a že bezpečnost transakčních dat ani kontinuita provozu nebyly narušeny.
Případ se dostal na veřejnost přes polský server Niebezpiecznik, který jako první informoval o tom, že útočníci mají přístup do interního prostředí Jira. Polský ministr pro digitalizaci Krzysztof Gawkowski následně potvrdil, že podle informací od vlády únik nezasáhl zákaznická data, platební informace ani provoz prodejen. Żabka zároveň případ nahlásila pověřenci pro ochranu osobních údajů a polskému úřadu UODO, obdobě českého ÚOOÚ.
Co únik dat obsahuje
Účet prodejce se na fóru zaregistroval 2. srpna 2026 a nabídku zveřejnil ještě týž den odpoledne. Podle inzerátu balík obsahuje:
- přibližně 541 000 exportovaných Jira ticketů, včetně jmen, firemních e-mailových adres (@zabka.pl), uživatelských jmen a informací o zaměstnancích a dodavatelích
- 229 734 ticketů z IT service desku
- zdrojový kód z 89 GitLab repozitářů, dohromady necelých 12 000 souborů, pokrývající backendové mikroslužby, frontendové aplikace i další infrastrukturu retailové platformy
- 2,7 milionu referencí na uživatele napříč více než dvaceti dodavatelskými doménami, mezi nimi Accenture, Netguru, Onwelo, BlueSoft a Sygeon
- přístupové údaje k produkčním systémům, včetně GitLab tokenů, admin hesel k databázím, .env souborů s natvrdo zapsanými tokeny a vzorů přímého SSH přístupu k jednotlivým prodejnovým serverům
Zmíněné interní systémy zahrnují prodejní systém Nowa Kasa, platformy ZSS, Cyberstore a zMarket pro správu objednávek a skladu, ERP systém SAP včetně modulu MDG pro správu dat a integraci s loterijní službou Lotto.
Ověření vzorku uniklých dat
Server Ransomnews si k inzerátu stáhl přiložený vzorek dat a čísla prodejce si přepočítal sám. Součet 48 exportovaných Jira projektů vyšel na 541 463 ticketů, což téměř přesně odpovídá deklarovanému číslu, a export IT service desku sedí na uváděnou hodnotu přesně. Dvě další, efektnější čísla z inzerátu ale ve vzorku většinou chyběla: 35 206 zmínek GDPR záznamů a zhruba 4000 zmínek bankovních účtů se v datech téměř nenašly. Naznačuje to, že prodejce nabídku částečně nafoukl, aby vypadala atraktivněji pro potenciální kupce.
Bezpečnostní analytička Cybernews Rasa Jurgutyte, která vzorek rovněž prošla, uvádí, že exportované Jira tickety formátem, strukturou dat i polskými komentáři odpovídají reálnému firemnímu prostředí.
Proč je tenhle únik dat zajímavý
Nejzávažnějším zjištěním není samotný objem dat, ale jeden konkrétní detail. Ve vzorku se ve všech 89 repository dumpech opakuje stejný GitLab přístupový token. To naznačuje, že nešlo o 89 samostatných úniků, ale o jeden kompromitovaný token s přístupem k celé platformě cs-market. K tomu přidávají výzkumníci nález dalších živých přístupových údajů, konkrétně Cloudflare API klíčů a admin hesel k MongoDB.
Kombinace zdrojového kódu, infrastrukturních blueprintů a platných přihlašovacích údajů dává případnému útočníkovi mnohem víc než jen seznam e-mailových adres. Jde o materiál, který lze použít k dalšímu pohybu po síti a zneužití známých zranitelností v navazujících systémech.
Poučení z úniku dat Żabka
Żabka incident zatím oficiálně nepotvrdila jako plnohodnotný únik dat, mluví o podezřelém neoprávněném přístupu přes externího poskytovatele služeb. To je ale samo o sobě podstatné, protože ukazuje na klasický scénář supply chain útoku, kdy vstupním bodem není přímo cílová firma, ale některý z jejích dodavatelů nebo integračních partnerů.
Firmy spravující desítky interních repozitářů a integrací s externími dodavateli by si z tohoto případu měly odnést hlavně jedno: sdílené a recyklované přístupové tokeny napříč velkým množstvím repozitářů představují jednobodové selhání. Kompromitace jednoho tokenu pak neznamená únik jednoho projektu, ale otevřené dveře do celé platformy.
Zdroje
- Cybernews: Żabka Polska breached through external service provider – https://cybernews.com/security/zabka-polska-alleged-data-breach/
- The Record: Polish convenience store chain Żabka hacked through third-party account – https://therecord.media/poland-convenience-store-chain-zabka-cyberattack
- Security Affairs: Alleged Żabka Breach Exposes Jira Data, Source Code, and API Keys – https://securityaffairs.com/196510/data-breach/alleged-zabka-breach-exposes-jira-data-source-code-and-api-keys.html
- Ransomnews: Żabka alleged data leak – 541k Jira tickets, 89 repos – https://ransomnews.com/zabka-data-leak-2026/
