BigCommerce, Ribon Uygulamalarıyla İlgili Veri İhlalini Açıkladı

BigCommerce, Ribon uygulamalarında yaşanan bir veri ihlali nedeniyle birçok müşterisini uyardı. Saldırganlar, üçüncü taraf uygulamalarının kimlik bilgilerini ele geçirerek, çevrimiçi mağazalara kötü amaçlı yazılımlar enjekte etti.

Şirket, 17 Eylül'de kimlik bilgileriyle ilgili bir ihlali doğruladı ve müşterilerini korumak için uygulamaları derhal kaldırdı. Bu durum, özellikle İngiltere merkezli çevrimiçi içki satıcısı Master of Malt gibi bazı BigCommerce müşterelerini etkiledi.

Master of Malt, saldırganların alışveriş yapan kullanıcıların bilgilerine eriştiğini bildirdi. BigCommerce, 13 Eylül ile 17 Eylül arasında, ele geçirilen kimlik bilgileriyle alışveriş yapanların verilerine erişildiğini belirtti. Etkilenen bilgiler arasında tam isimler, e-posta adresleri, telefon numaraları ve teslimat adresleri yer alıyor.

Master of Malt, "Saldırganların Ribon uygulamasına ait bir anahtarı ele geçirerek, sistemlerindeki müşteri verilerine erişim sağladığı anlaşılıyor," şeklinde bir açıklama yaptı. BigCommerce, 1.200'den fazla üçüncü taraf uygulama ve entegrasyonu destekliyor; Ribon ise Fastr tarafından işletilen Be A Part Of markasına ait bir uygulama.

BigCommerce, hesap parolaları ve ödeme kartı bilgilerini ayrı bir şekilde sakladığını ve bu tür verilerin açığa çıkmadığını vurguladı. BleepingComputer'a yaptığı açıklamada, saldırganların Ribon ve Ribon 1.5 uygulamalarının kimlik bilgilerini ele geçirdiğini ve bunları kötü amaçlı yazılımlar enjekte etmek için kullandığını belirtti.

Şirket, "Müşterilerimizin ve onların alışveriş yapanların en iyi çıkarlarını gözeterek, etkilenen mağazalardan uygulamayı kaldırdık, bu saldırganların erişimini iptal ettik ve etkilenen mağazalara doğrudan bildirimde bulunduk," dedi. Ayrıca, geliştiricinin soruşturmasına destek olmak için log verilerini sağladıklarını ekledi.

Master of Malt, durumu Birleşik Krallık Bilgi Komiserliği Ofisi'ne (ICO) bildirdi ve olayın kendi müşterilerinin ötesinde, başka yüzlerce mağazayı da etkileyebileceğini belirtti. Emery Reddy hukuk firması, olayla bağlantılı potansiyel dava açacak kişileri arıyor; birçok perakendeci, Ribon uygulama anahtarının çalınmasıyla ilgili veri açığından dolayı müşterilerini bilgilendiriyor.

BleepingComputer, olay hakkında daha fazla bilgi almak için Be A Part Of ve Fastr ile iletişime geçti, ancak yayın zamanı itibarıyla henüz bir yanıt alınamadı.

Olay, 2024 yılında elektronik aksesuar üreticisi ZAGG'yi etkileyen bir ihlale benziyor. O dönemde, saldırganlar üçüncü taraf FreshClick BigCommerce uygulamasını ele geçirerek, çevrimiçi mağazaya ödeme bilgilerini çalan bir kod enjekte etmişti. Ancak Ribon saldırısında, saldırganlar mevcut müşteri kayıtlarına erişmek için bir uygulama anahtarını kullanarak işlem yaptı.