BigCommerce、データ露出を受けRibonアプリを削除

第三者アプリの認証情報から店舗へ侵入

BleepingComputerは、攻撃者が第三者アプリのRibonおよびRibon 1.5の認証情報を侵害し、少数のBigCommerce加盟店ストアへ悪意あるスクリプトを注入したと報じた。
BigCommerceによると、認証情報は9月13日から17日にかけてBigCommerce環境内の購入者データへアクセスするために使われた。

通知を受けた加盟店の一つであるMaster of Maltは、影響を受けた情報には氏名、メールアドレス、電話番号、配送先の郵便住所が含まれると説明した。
BigCommerceは、パスワードと決済カード情報は別に保管されており露出していないこと、自社プラットフォームは侵害されていないことを示した。

9月17日に報告された侵害が確認される前は、RibonとRibon 1.5のアプリは影響を受けた加盟店のストアに導入されたままだった。

BigCommerceは、認証情報が購入者記録へのアクセスやスクリプト注入に使われたとされることを受け、対象の第三者アプリを削除し、加盟店へ通知してログを提供したとしている。

決済カードとパスワードは非露出との説明

報告された侵害は、ECプラットフォーム自体ではなく、第三者アプリが保持する認証情報に関わるものだ。
また、2024年の類似事案で説明された決済情報の取得とは異なり、既存の顧客記録へのアクセスが含まれたとされる。