W wyniku incydentu cybernetycznego część klientów BigCommerce może być narażona na wyciek danych osobowych. Firma potwierdziła, że atak nie dotyczył bezpośrednio jej głównej infrastruktury, lecz zewnętrznej aplikacji używanej przez niektórych sprzedawców. To właśnie przez ten łańcuch dostępu napastnicy mogli uzyskać informacje przechowywane w systemach sklepowych.
Czym jest BigCommerce i dlaczego sprawa jest ważna
BigCommerce to platforma e-commerce, z której korzystają firmy chcące uruchamiać sklepy internetowe bez budowania całej infrastruktury od zera. W praktyce oferuje narzędzia do prowadzenia sprzedaży online, integracje płatnicze, zarządzanie katalogiem produktów, koszykiem zakupowym oraz funkcje marketingowe i SEO. Z platformy korzystają zarówno mniejsze marki, jak i duże firmy działające na wielu rynkach.
Skala tego typu usług sprawia, że każdy incydent bezpieczeństwa może mieć szerokie konsekwencje. Nawet jeśli atak dotyczy tylko części sklepów, ryzyko rozlewa się na klientów końcowych, którzy często nie mają pojęcia, że ich dane mogły trafić do niepowołanych osób.
To kolejny przykład, jak zależność od zewnętrznych integracji potrafi skomplikować ocenę ryzyka. Nawet dobrze zabezpieczona platforma może zostać pośrednio narażona przez narzędzie partnera. W praktyce oznacza to, że bezpieczeństwo e-commerce trzeba analizować znacznie szerzej niż tylko na poziomie głównego systemu.
Atak przez zewnętrzną aplikację
Źródłem problemu okazała się aplikacja Ribon, wykorzystywana przez część sklepów działających na BigCommerce. To narzędzie służy do wzbogacania doświadczenia zakupowego na stronie, a więc jest instalowane po to, by poprawić wygląd lub funkcjonalność sklepu. Według dostępnych informacji przestępcy przejęli klucz dostępu powiązany z tą aplikacją i wykorzystali go do wstrzyknięcia złośliwego kodu do wybranych witryn.
BigCommerce poinformowało, że po wykryciu problemu usunęło aplikację z objętych incydentem sklepów, aby zablokować dalszy dostęp atakujących. Firma przekazała też, że skontaktowała się bezpośrednio z poszkodowanymi sprzedawcami i udostępnia logi, które mają pomóc w wyjaśnieniu całego zdarzenia. Z komunikatów wynika, że liczba sklepów objętych naruszeniem była ograniczona, choć szczegóły nadal są wyjaśniane.
Zobacz także: Nintendo potwierdza kradzież danych w wyniku cyberataku trzeciej strony — niestety nie ujawniono żadnych wielkich tajemnic.
Jakie dane mogły zostać ujawnione
Jednym z podmiotów, które potwierdziły wpływ incydentu na własnych klientów, jest Master of Malt, internetowy sprzedawca alkoholi. Firma poinformowała, że osoby trzecie mogły uzyskać dostęp do takich danych jak imię i nazwisko, adres e-mail, numer telefonu oraz adres zamieszkania. Jednocześnie podkreślono, że hasła oraz dane kart płatniczych nie zostały naruszone, ponieważ były przechowywane w oddzielnym systemie.
To ważna informacja, bo brak dostępu do danych finansowych ogranicza skalę szkód. Nie oznacza to jednak, że sytuacja jest błaha. Dane kontaktowe i adresowe są często wykorzystywane w atakach phishingowych, kampaniach oszustw i próbach podszywania się pod firmę.
Czas trwania incydentu i reakcja firm
Z relacji wynika, że nieautoryzowany dostęp trwał od 13 do 17 września 2026 roku. Po tym czasie dostęp został odcięty, a sprawa została zgłoszona odpowiednim organom, w tym brytyjskiemu ICO, czyli Information Commissioner’s Office. To standardowa procedura w przypadku naruszenia ochrony danych osobowych, zwłaszcza gdy dotyczy ono klientów na rynku brytyjskim.
Master of Malt zaznaczył również, że nie toczy się już żaden aktywny dostęp do systemów i nie ma dalszego ryzyka kompromitacji wynikającego z tego konkretnego ataku. Mimo to incydent pokazuje, jak groźne mogą być zależności od zewnętrznych dostawców oprogramowania.
Ryzyko dla klientów i sprzedawców
Po takich zdarzeniach największym zagrożeniem stają się próby wykorzystania wykradzionych danych w kolejnych atakach. Osoby, których dane wyciekły, mogą zacząć otrzymywać wiadomości e-mail lub SMS-y stylizowane na komunikację od sklepu, banku albo firmy kurierskiej. Cyberprzestępcy często używają prawdziwych danych kontaktowych, by uwiarygodnić swoje próby wyłudzenia.
Kancelaria Emery Reddy, komentując sprawę, ostrzegła przed możliwymi falami phishingu i oszustw skierowanych do klientów dotkniętych incydentem. To rozsądne ostrzeżenie, bo wyciek danych kontaktowych bardzo często jest dopiero początkiem kolejnych prób nadużyć. W takich przypadkach warto zachować szczególną ostrożność wobec nieoczekiwanych wiadomości z prośbą o podanie danych lub kliknięcie linku.
Co ten incydent mówi o bezpieczeństwie w e-commerce
Sprawa BigCommerce pokazuje, że bezpieczeństwo sklepu internetowego zależy nie tylko od samej platformy, ale też od wszystkich dodatków i usług firm trzecich. Jeden przejęty komponent może stać się furtką do danych setek podmiotów, nawet jeśli sam system główny pozostaje nienaruszony. To klasyczny przykład ryzyka związanego z łańcuchem dostaw oprogramowania.
Dla branży e-commerce oznacza to konieczność dokładniejszej kontroli integracji, regularnych audytów i ograniczania dostępu aplikacji tylko do absolutnie niezbędnych uprawnień. Dla klientów to natomiast przypomnienie, że warto monitorować podejrzane wiadomości i zachować czujność po każdym komunikacie o naruszeniu danych.
Ciekawe, że takie problemy wynikają z zewnętrznych aplikacji. Myślałem, że BigCommerce ma lepsze zabezpieczenia. Chociaż na szczęście dane kart nie wyciekły, to nadal czuję, że ich zabezpieczenia powinny być bardziej solidne. Jakieś konkretne akcje w takich sytuacjach są podejmowane? Bo jak nie, to klienci mogą mieć sporo powodów do niepokoju.
Zamówiłem z Master of Malt kilka razy i zawsze myślałem, że są solidni. Chociaż dane kart nie były narażone, to to, że moje dane kontaktowe mogły wpaść w niepowołane ręce, jest nie do przyjęcia. Zobaczymy, co będzie dalej, ale na razie jestem zawiedziony.
To smutne, że w dobie postępu technologicznego zdarzają się takie wycieki. Zawsze ostrzegam znajomych przed podawaniem swoich danych, a tu okazuje się, że nawet największe platformy mogą mieć luki. Po co żonglować ryzykiem, skoro można korzystać z bardziej sprawdzonych rozwiązań?
Jak dla mnie, to jest jedno wielkie nieporozumienie. BigCommerce powinno mieć znacznie bardziej rygorystyczne zasady bezpieczeństwa. Przecież każda nowa aplikacja to potencjalna furtka do naszych danych. Zmiana platformy? To teraz niewykluczone.
Super, znowu kolejna sytuacja, gdzie klienci muszą martwić się o swoje dane. Mam nadzieję, że BigCommerce i inne platformy wyciągną z tego wnioski. Phishing to niestety norma w dzisiejszym internecie, a ja nie chcę być jednym z poszkodowanych. Jakie są teraz kroki, by zabezpieczyć się przed tym?