BigCommerce powiadomił dotkniętych incydentem sprzedawców po tym, jak atakujący wykorzystali przejęte poświadczenia powiązane z Ribon, zewnętrzną aplikacją do optymalizacji witryn sklepowych, aby uzyskać dostęp do informacji o klientach przechowywanych za pośrednictwem platformy e-commerce.
Incydent przypisano naruszeniu w Fastr, spółce macierzystej Be A Part Of, która obsługuje aplikacje Ribon i Ribon 1.5. BigCommerce poinformował, że zdarzenie nie obejmowało naruszenia własnych systemów ani infrastruktury platformy.
Poświadczenia strony trzeciej wykorzystane w ataku
Według BigCommerce przejęte poświadczenia API aplikacji były wykorzystywane między 13 a 17 września 2026 r. Firma podała, że atakujący użyli tego dostępu do umieszczenia złośliwych skryptów w ograniczonej liczbie witryn sklepowych sprzedawców.
Brytyjski sprzedawca Master of Malt, który opublikował szczegóły swojej reakcji, poinformował, że atakujący uzyskali również dostęp do danych klientów i najwyraźniej pobierali informacje stopniowo. Potencjalnie ujawnione dane obejmowały imiona i nazwiska klientów, adresy e-mail, numery telefonów oraz adresy fizyczne.
Master of Malt podał, że aktywność ustała po unieważnieniu klucza, którego dotyczył incydent, 17 września. BigCommerce rozpoczął informowanie sprzedawców następnego dnia, po wyłączeniu poświadczeń i usunięciu aplikacji, których dotyczył incydent, z zaatakowanych sklepów.
Reakcja i otwarte pytania
BigCommerce poinformował, że usunął aplikacje Ribon u dotkniętych incydentem sprzedawców jako środek ochronny, mimo że aplikacje były instalowane niezależnie i zarządzane w ramach relacji między sprzedawcami a zewnętrznym deweloperem. Firma przekazała również odpowiednie dane z logów, aby wesprzeć dochodzenie dewelopera.
- Przejęte poświadczenia należały do aplikacji Ribon i Ribon 1.5.
- Atakujący mieli podobno uzyskać dostęp do danych klientów oraz wstrzyknąć złośliwy kod do witryn sklepowych.
- BigCommerce poinformował, że jego główna platforma nie została naruszona.
- Liczba dotkniętych incydentem sprzedawców i klientów nie została ujawniona.
Nadal nie wiadomo, w jaki sposób uzyskano poświadczenia Ribon, czy uzyskano dostęp do danych dodatkowych sprzedawców ani czy incydent dotknął inne organizacje powiązane z deweloperem. Ani Be A Part Of, ani Fastr nie przedstawiły publicznie szczegółów naruszenia w momencie publikacji informacji.