Взлом приложений Ribon обернулся утечкой данных клиентов магазинов на BigCommerce

Платформа электронной коммерции BigCommerce уведомила ряд продавцов о компрометации данных. Злоумышленники завладели учётными данными сторонних приложений Ribon и использовали их для внедрения вредоносных скриптов в онлайн-магазины.

Облачный SaaS-сервис подтвердил компрометацию учётных данных 17 сентября и сразу удалил приложения, чтобы защитить своих клиентов. По данным компании, атакующие имели доступ к данным покупателей в средах BigCommerce с 13 по 17 сентября.

Что попало в чужие руки

Одним из пострадавших оказался британский продавец спиртных напитков Master of Malt. По его сведениям, злоумышленник получил доступ к сведениям о покупателях: полным именам, адресам электронной почты, номерам телефонов и почтовым адресам доставки. Ритейлер полагает, что хакеры скомпрометировали ключ приложения BigCommerce, принадлежавший Ribon, и через него добрались до клиентских данных.

BigCommerce подчёркивает, что пароли учётных записей и данные платёжных карт хранятся отдельно и не были затронуты. Компания настаивает, что ни её системы, ни сама платформа взломаны не были.

Приложение Ribon — один из более чем 1200 сторонних сервисов и интеграций платформы. Его разрабатывает бренд Be A Part Of, входящий в компанию Fastr и специализирующийся на оптимизации покупательского опыта. В заявлении для BleepingComputer BigCommerce уточнила, что были скомпрометированы учётные данные приложений Ribon и Ribon 1.5.

Масштаб и последствия

Отреагировав, платформа удалила приложение из пострадавших магазинов, чтобы отозвать доступ атакующего, напрямую уведомила продавцов и передала журналы для расследования разработчику. Master of Malt сообщил об инциденте в британское управление комиссара по информации (ICO) и допускает, что затронуты могут быть сотни других магазинов. Юридическая фирма Emery Reddy уже ищет потенциальных истцов, отмечая, что несколько ритейлеров рассылают уведомления клиентам.

Случай напоминает утечку 2024 года у производителя аксессуаров ZAGG, где злоумышленники скомпрометировали стороннее приложение FreshClick и внедрили в магазин код для кражи платёжных данных. Но есть отличие: если в истории с ZAGG перехватывались данные карт при оформлении заказа, то атакующие Ribon воспользовались украденным ключом приложения, чтобы получить уже имеющиеся записи о клиентах через BigCommerce.

Be A Part Of и Fastr на запрос издания к моменту публикации не ответили.

Источник: Bleeping Computer