Mutmaßlicher Żabka-Breach legt Jira-Daten und Quellcode offen

Was ist passiert

Żabka Polska, Polens größter Betreiber von Convenience-Stores und ein Einzelhandelsriese, steht im Mittelpunkt eines bedeutenden Cybersicherheitsvorfalls. Am 2. August 2026 bot ein neu erstelltes Konto in einem Cybercrime-Forum einen riesigen Datensatz für 5.000 € zum Verkauf an und behauptete, er stamme vom Unternehmen. Żabka wurde 1998 gegründet und betreibt über 11.000 Filialen in ganz Polen, die täglich Millionen von Kunden bedienen, was es zu einer der bekanntesten Marken des Landes macht. Dieser Status verstärkt die potenziellen Auswirkungen des mutmaßlichen Verstoßes erheblich.

Eine Überprüfung der Beispieldaten durch Cybersicherheitsforscher und die Plattform Ransomnews legt nahe, dass die Behauptungen des Bedrohungsakteurs ernst genommen werden sollten. Viele der im Verkaufsangebot genannten Zahlen stimmen mit den Daten in den geteilten Beispieldateien überein. Diese Übereinstimmung stärkt die Möglichkeit, dass der Verstoß echt ist, obwohl Żabka Polska noch keine offizielle Bestätigung oder Dementi veröffentlicht hat. Das Unternehmen schweigt derzeit. Das Verkaufsangebot betont, dass die Daten kritische Informationen über die internen Systeme, Softwareentwicklungsprozesse und betrieblichen Details des Unternehmens enthalten.

Welche Daten wurden offengelegt

Laut dem Verkaufsangebot ist das durchgesickerte Datenpaket umfangreich und enthält tiefgreifende Informationen über die technologische Infrastruktur des Unternehmens. Basierend auf den Behauptungen und der Analyse der Beispieldaten umfassen die offengelegten Informationen:

• Jira-Vorgänge: Angeblich wurden rund 541.000 Jira-Vorgänge exfiltriert. Jira ist eine Plattform, die von Softwareentwicklungsteams für Projektmanagement, Fehlerverfolgung und Aufgabenverteilung verwendet wird. Das Leck dieser Aufzeichnungen könnte den Softwareentwicklungszyklus des Unternehmens, laufende Projekte, bekannte, aber noch nicht gepatchte Sicherheitslücken und die interne Kommunikation zwischen Entwicklern aufdecken. Eine Überprüfung von 48 Jira-Exportdateien durch Ransomnews bestätigte insgesamt 541.463 Vorgänge, was der Behauptung fast exakt entspricht.
• IT-Service-Desk-Tickets: Eine genaue Gesamtzahl von 229.734 IT-Service-Desk-Tickets wurde Berichten zufolge kompromittiert. Diese Tickets enthalten Details zu technischen Problemen von Mitarbeitern, Systemfehlern und Hilfeanfragen. Sie könnten wertvolle Informationen über die interne Netzwerkstruktur, die verwendete Software, das Hardware-Inventar und häufige Systemausfälle des Unternehmens preisgeben. Auch diese Zahl wurde als exakt mit den Beispieldaten übereinstimmend bestätigt.
• Quellcode: Eine der kritischsten Komponenten des Lecks ist der Quellcode, der angeblich aus 89 verschiedenen GitLab-Repositories stammt. Diese Repositories sollen zu zentralen Betriebssystemen gehören, darunter die Point-of-Sale (POS)-Plattform "Nowa Kasa", die E-Commerce-Tools "Cyberstore" und "zMarket", das SAP-ERP-System und eine Lotto-Integration. Die Offenlegung von Quellcode würde es Angreifern ermöglichen, Schwachstellen in diesen Systemen leicht zu identifizieren und in Zukunft ausgefeiltere Angriffe zu orchestrieren.
• Partner- und interne Systeminformationen: Das Angebot erwähnt die Namen von mehr als 20 externen Partnern, darunter Accenture, Netguru und BlueSoft. Dies deutet darauf hin, dass der Verstoß nicht nur Żabka, sondern auch seine Beziehungen und gemeinsamen Projekte mit seinen Geschäftspartnern beeinträchtigen könnte.
• Unbestätigte Behauptungen: Obwohl der Verkäufer behauptet, die Daten enthielten 35.206 DSGVO-Referenzen und etwa 4.000 Bankkontonummern, wurden in den bereitgestellten Beispieldateien keine Beweise für diese Behauptungen gefunden. Forscher merken an, dass solche sensiblen Daten wahrscheinlich in Projekten der Personal-, Rechts- und Finanzabteilungen konzentriert wären, die möglicherweise nicht in der begrenzten Stichprobe enthalten waren. Es wird jedoch betont, dass diese Zahlen vorerst als Marketingtaktik behandelt werden sollten.

Wie der Angriff geschah

Die genaue Methode des anfänglichen Eindringens und wie der Bedrohungsakteur erstmals Zugang zum Netzwerk erlangte, bleibt unklar. Die durchgesickerten Daten enthalten jedoch einen entscheidenden Beweis, der auf den Kern des Angriffs hinweist. Laut der Analyse von Ransomnews enthielt jede Klon-URL, die zum Abrufen von Daten aus allen 89 GitLab-Repositories verwendet wurde, einen einzigen, 62 Zeichen langen GitLab-Zugriffstoken.

Dies deutet darauf hin, dass der Angreifer mit dieser einzigen Anmeldeinformation weitreichenden Zugriff auf die kritischsten Software-Assets des Unternehmens erlangte. Dieser Token fungierte wie ein "Hauptschlüssel" und ermöglichte das Klonen des Quellcodes für die gesamte "cs-market"-Plattform, die 44 DevOps-Repositories, 26 Backend-Dienste, 7 Frontends, ein API-Gateway und alle zugehörigen Tools umfasst. Wenn dieser Zugriffstoken noch aktiv ist, stellt er ein anhaltendes Sicherheitsrisiko für Żabka dar. Die Forscher gaben an, die Gültigkeit des Tokens aus rechtlichen Gründen nicht getestet zu haben. Wie diese einzelne Anmeldeinformation kompromittiert wurde, ist nun die wichtigste Frage der Untersuchung.

Wer ist betroffen

Sollte sich dieser mutmaßliche Datenverstoß bestätigen, könnte er mehrere Gruppen direkt oder indirekt betreffen:

• Żabka Polska: Das Unternehmen selbst könnte den größten Schaden durch die Offenlegung seiner Geschäftsgeheimnisse, seines Quellcodes und seiner Betriebsdaten erleiden. Dies könnte zu einem Verlust des Wettbewerbsvorteils, einer Schädigung des Markenrufs und einer erhöhten Anfälligkeit für zukünftige Cyberangriffe führen.
• Kunden: Obwohl die Beispieldaten kein hohes Volumen an direkten personenbezogenen Kundendaten zeigten, könnten Millionen von Kunden gefährdet sein, wenn die Behauptungen des Verkäufers über DSGVO- und Bankkontodaten zutreffen. Die durchgesickerten Informationen könnten für gezielte Phishing-Angriffe auf Kunden verwendet werden.
• Mitarbeiter: IT-Service-Desk-Tickets und Jira-Vorgänge können Namen, Benutzernamen, E-Mail-Adressen und Jobbeschreibungen von Mitarbeitern enthalten. Diese Informationen könnten für Social-Engineering-Angriffe ausgenutzt werden.
• Geschäftspartner und Lieferanten: Auch im Angebot genannte Technologie- und Beratungsunternehmen wie Accenture und Netguru könnten negativ betroffen sein. Die von ihnen für Żabka entwickelten Projekte und Codes sowie ihre Geschäftsbeziehungen könnten offengelegt worden sein.

Was Sie tun können

Obwohl eine offizielle Erklärung des Unternehmens noch aussteht, ist es wichtig, dass potenziell betroffene Personen proaktive Maßnahmen ergreifen:

• Für Żabka-Kunden: Seien Sie besonders vorsichtig bei E-Mails, Textnachrichten und Anrufen, die scheinbar von Żabka stammen. Vertrauen Sie keiner Nachricht, die nach persönlichen Informationen, Passwörtern oder Finanzdaten fragt. Wenn Sie ein Żabka-Konto haben, ist es eine gute Vorsichtsmaßnahme, Ihr Passwort in ein stärkeres, einzigartiges zu ändern. Überprüfen Sie regelmäßig Ihre Bank- und Kreditkartenabrechnungen auf verdächtige Aktivitäten.
• Für Żabka-Mitarbeiter und ehemalige Mitarbeiter: Ändern Sie sofort die Passwörter für alle mit dem Unternehmen verbundenen Konten. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für Ihre privaten und geschäftlichen E-Mail-Konten. Seien Sie auf mögliche Phishing-Angriffe vorbereitet, die auf Sie abzielen.
• Für allgemeine Benutzer: Dieser Vorfall unterstreicht einmal mehr den Wert digitaler Anmeldeinformationen. Vermeiden Sie die Verwendung desselben Passworts auf verschiedenen Plattformen und erwägen Sie die Verwendung eines seriösen Passwort-Managers zur Verwaltung Ihrer Passwörter.

Was das Unternehmen sagt

Zum Zeitpunkt der Erstellung dieses Berichts am 3. August 2026 hat Żabka Polska keine offizielle Erklärung zu diesem Thema abgegeben. Das Unternehmen hat die Vorwürfe eines Datenverstoßes weder bestätigt noch dementiert. In solchen Situationen führen Unternehmen in der Regel eine interne Untersuchung durch, um die Ernsthaftigkeit der Behauptungen zu bewerten und rechtliche Benachrichtigungsprozesse einzuleiten. Eine Erklärung des Unternehmens oder der zuständigen Datenschutzbehörden in Polen wird in den kommenden Tagen erwartet.

Quelle

https://securityaffairs.com/196510/data-breach/alleged-zabka-breach-exposes-jira-data-source-code-and-api-keys.html