Atak na klientów 9000 różnych polskich sklepów internetowych

Dziś rano platforma sky-shop.pl, która umożliwia każdemu założenie swojego sklepu internetowego (i której twórcą jest Przemo od “phpBB2 by Przemo”), poinformowała swoich klientów (czyli właścicieli sklepów) o tym, że dane ich klientów (czyli zapewne sporej części z Was, drodzy internauci) zostały wykradzione. Poszkodowanych ma być 9000 różnych sklepów, nie podano jednak sumarycznej liczby użytkowników, których dane pozyskał włamywacz.

Jak ustalić, czy byłem klientem sklepu na platformie sky-shop.pl?

Zacznijmy od najważniejszego. Sky-shop poinformowało właścicieli sklepów, ale to nie sky-shop będzie informować użytkowników tych sklepów. To zadanie dla administratorów poszczególnych sklepów i o ile wedle naszej wiedzy sky-shop wskazał im jak można to zrobić za pomocą platformy, to obawiamy się, że to może oznaczać, iż niektórzy z Was dowiedzą się o tym, że Wasze dane wyciekły dopiero za kilka (kilkanaście?) dni, a może nawet nigdy, jeśli właściciel sklepu, często bardzo małego, komunikat od Sky-shopu po prostu zignoruje.

Dlatego kluczowe wydaje się samodzielne ustalenie, czy kiedykolwiek skorzystaliście ze sklepu, który był hostowany na zhakowanej platformie sky-shop.pl? Jak to zrobić? Część sklepów w stopce ma taki napis:

I te sklepy można namierzyć przez przeszukanie Google:

Ale niestety na wielu sklepach nigdzie nie znajdziecie wzmianki, że korzystają ze zhackowanej platformy sky-shop.pl. Takie sklepy można próbować namierzyć za pomocą zaawansowanych wyszukiwarek przeszukujących tagi HTML:

Nie wiedziałeś że tak się da? Da się o wiele więcej, bo narzędzi i technik pozyskiwania informacji na temat osób i firm jest multum. Pokazujemy je wszystkie na naszych silnie praktycznych szkoleniach z OSINT-u, które przydadzą się każdemu, niezależnie od tego jaką pracę wykonuje zawodowo. Regularnie odwiedzają nas prawnicy, programiści, rekruterzy, finansiści, eksperci do zwalczania nadużyć i każdy, kto czasem musi pozyskać dane z internetu i chce to zrobić sprawniej i lepiej niż konkurencja. Tutaj znajdziesz najbliższe terminy, zarówno te online jak i realizowane w największych polskich miastach.

Pozostaje więc mieć nadzieję, że Sky Shop udostępni jakieś narzędzie, dzięki któremu będziecie mogli sprawdzić, czy jesteście w grupie osób, których dane zostały wykradzione.

Jakie dane wykradziono?

Jak informuje sky-shop, takie dane osób robiących zakupy zostały wykradzione:

• imiona i nazwiska,
• adresy e-mail,
• adresy korespondencyjne,
• numery telefonów
• hashe haseł (SHA512 z solą per user)

Dodatkowo, w przypadku właścicieli sklepów wykradziono też dane do wystawienia faktury oraz nazwę samego sklepu. Co jednak istotne:

Według naszych ustaleń w przypadku klientów sklepów internetowych incydent objął wyłącznie osoby, które założyły konto w tych sklepach. Nie doszło do wykradzenia danych osobowych klientów, którzy korzystali z opcji zakupów bez zakładania konta w sklepie.

W oświadczeniu przesłanym do naszej redakcji, Sky-Shop poinformował również, że:

Stosowany przez nas mechanizm hashowania haseł istotnie utrudnia ich odtworzenie, niemniej – tak jak każdy mechanizm hashowania – nie gwarantuje 100% skuteczności. Dlatego też wszystkim osobom korzystającym z naszej Platformy rekomendujemy zmianę haseł używanych w sklepach internetowych.

Niestety, wygląda na to, że platforma nie może wymusić resetu haseł dla użytkowników.

Kiedy doszło do ataku i co było jego przyczyną?

Platforma sklepowa przedstawia następującą chronologię zdarzeń:

• 19.10.2025 – uzyskanie pierwszego dostępu i rozpoczęcie przygotowań do pobierania danych przez przestępcę.
• 28.10.2025 – wykrycie anomalii podczas rutynowego monitoringu ruchu sieciowego poprzez system monitoringu, który “zarejestrował niestandardowe żądania w obrębie naszych serwerów” .
• 29.10.2025 – ustalenie prawdopodobnego wektora ataku i jego trwałe zablokowanie a następnie finalne potwierdzenie wektora ataku i jego skutecznej blokady oraz potwierdzenie zakresu sklepów i danych objętych incydentem.

Sky-shop informuje też, że przyczyną ataku był “mało znany typ podatności w jednym z komponentów systemu“. Z informacji, którą Sky-Shop rozsyłało dziś do właścicieli sklepów wynika, że atak przeprowadzono na komponent webaplikacyjny platformy. Sky-shop zapewniło nas, że błąd nie dotyczył podatności, na którą w czasie ataku dostępna była już poprawka. Czyli wina leży po stronie autorskiego kodu lub konfiguracji.

Byłem klientem sklepu korzystającego ze Sky-Shop — co robić, jak żyć?

Jeśli sami ustalicie, że kupowaliście w jednym 9000 sklepów, które korzystają ze zhackowanej platformy Sky-Shop — lub zostaniecie o tym powiadomieni przez administratora danego sklepu — to sugerujemy abyście:

• Zmienili hasło do danego sklepu i każdego miejsca, gdzie jest ono takie samo. A na przyszłość, zacznijcie korzystać z managera haseł i nigdy więcej nie używajcie jednego hasła do więcej niż jednego miejsca
• Jeśli obawiacie się ataków ukierunkowanych, zastrzeżcie sobie PESEL. Na podstawie tego wycieku będzie można powiązać z Waszym imieniem i nazwiskiem Wasz numer telefonu. Ktoś może po jego poznaniu chcieć wyrobić duplikat karty SIM aby w ten sposób przejąć inne Wasze dostępy. Zastrzeżenie PESEL-u to uniemożliwi.
• Standardowo: uważajcie na próby kontaktu, w których przestępcy mogą cytować wykradzione dane aby się uwierzytelnić i podszyć pod administratora sklepu w celu pozyskania dodatkowych informacji, które Was dotyczą

A na przyszłość radzimy:

• Robić zakupy jako gość (jak widać, czasem te dane trafiają w inne miejsca w bazie i włamywacza mogą do nich nie dotrzeć)
• Podawać minimalny zestaw danych konieczny do złożenia zamówienia, a jako obowiązkowe dane — jeśli etyka Wam na to pozwala — wpisywać w formie niezwiązanej z Wami, aby utrudnić korelację po ew. wycieku. Bo wyciek prędzej czy później się zdarzy. Czyli — podajemy różne imiona i nazwiska, różne adresy e-mail (korzystając z tzw. aliasów), różne lub niepoprawne numery telefonów, kłamiemy z adresem zamieszkania, zwłaszcza jeśli paczkę odbieramy w Paczkomacie (do odbioru przesyłki wystarczy wyłącznie adres e-mail). Takie działanie nie ma oczywiście sensu, jeśli potrzebujecie faktury. Natomiast wbrew obawom, podanie innych danych nie blokuje prawa do zwrotu i reklamacji, jeśli będziecie dysponować dowodem zakupu.

Sprawdź czy Twoje dane już wyciekły

A jeśli chcielibyście sprawdzić już teraz, czy Wasze dane już wyciekły i krążą po internecie, to zapraszamy do obejrzenia naszego krótkiego video-poradnika “czy moje dane wyciekły”, który pokazuje jak to zrobić. Z tego materiału dowiecie się nie tylko jak przygotować się na wyciek zanim on nastąpi, ale też, co zrobić kiedy do niego dojdzie. Omawiamy w nim także usługi “ochrony tożsamości” czy też “wykrywania, że ktoś posługuje się Twoimi danymi”, wskazując, czy mają one sens i warto za nie płacić. Do końca dnia z tym nagraniem można zapoznać się po obniżonej o 50% cenie, jeśli podacie kod “HELL” — o ile kod działa tylko dziś, to bez obaw, dostęp do nagrania macie na 30 dni więc na pewno zdążycie się z nim zapoznać. Tu link prosto do koszyka od razu z dodanym kodem.

Dzień po…

Wczoraj wieczorem realizowaliśmy LIVE, który był poświęcony sytuacji w której wyciekają dane klientów. Mówiliśmy na nim jak tworzyć komunikaty do klientów i dziennikarzy, naświetlaliśmy też pewne błędy w tym, jak robiły to na przestrzeni lat różne spółki. Nie wiemy, czy zespół Sky-Shopu był na wczorajszym spotkaniu (w końcu wiele się u nich wtedy działo) ale przesłane do naszej redakcji oświadczenie, wysłane o 5:48, czyli w momencie kiedy ruszyło powiadamianie administatorów sklepów o incydencie, a także sam “wording” tego oświadczenia sugeruje nam, że ktoś odrobił pracę domową. Przynajmniej w kwestii komunikacji :-) Na wczorajszym LIVE mówiliśmy też o aspektach technicznych, których wdrożenie może pomóc w obsłudze incydentu i o wielu aspektach prawo-urzędowo-formalnych, których trzeba dopilnować. Jeśli ktoś przegapił, zapraszamy do zobaczenia nagrania.