Взлом без взлома: как один ключ стороннего приложения открыл данные клиентов сотен интернет-магазинов
С 13 по 17 сентября 2026 года злоумышленники получали данные покупателей интернет-магазинов на платформе BigCommerce. Ни один из магазинов при этом взломан не был. Атакующим хватило ключа от стороннего приложения, которому магазины сами доверили доступ к своим клиентам.
---
## Что произошло
17 сентября BigCommerce, одна из крупнейших облачных платформ для электронной коммерции, подтвердила компрометацию учётных данных двух сторонних приложений — Ribon и Ribon 1.5. Приложения принадлежат компании Be A Part Of, бренду Fastr, и используются для оптимизации покупательского опыта на витринах магазинов.
С помощью украденных учётных данных атакующие внедрили вредоносные скрипты в витрины части магазинов и получили доступ к данным покупателей. BigCommerce удалила приложение из всех затронутых магазинов, тем самым отозвав доступ, уведомила продавцов напрямую и передала журналы разработчику приложения для расследования.
Хронология:
- **13 сентября, 17:21** — начало несанкционированного доступа;
- **17 сентября, 21:12** — украденный ключ отозван, приложение удалено из магазинов;
- **18 сентября** — BigCommerce уведомляет продавцов. Разработчик Ribon выходит на связь с пострадавшими только вечером;
- **21 сентября** — информация становится публичной.
Четыре дня атакующие беспрепятственно работали с клиентскими данными.
## Кто пострадал
Первым публично об инциденте заявил британский онлайн-магазин алкоголя **Master of Malt**. Скомпрометированы полные имена покупателей, адреса электронной почты, телефоны и адреса доставки.
Магазин разослал уведомления клиентам в течение нескольких часов после сообщения от BigCommerce, уведомил британского регулятора ICO и предупредил, что масштаб инцидента может затрагивать потенциально сотни других магазинов. Кроме того, Master of Malt намерен добиваться от платформы более жёсткого контроля доступа сторонних приложений к API: по мнению компании, компрометация одного ключа не должна открывать данные множества магазинов.
Пароли от аккаунтов и данные платёжных карт, по заявлению BigCommerce, хранятся отдельно и не пострадали.
## Почему это важно: вас могут взломать, не взламывая вас
Главная особенность инцидента в том, что **ни BigCommerce, ни магазины не были скомпрометированы**. Платформа это подчёркивает отдельно.
Скомпрометирован ключ доступа стороннего приложения. Этот ключ магазины сами выдали приложению при установке, открыв ему доступ к клиентской базе. Получив ключ, атакующие получили и всё, к чему он давал доступ, — данные покупателей каждого магазина, где было установлено Ribon.
Для владельца магазина это выглядит так: у вас отличный пароль, двухфакторная аутентификация, обновлённая платформа, и при этом данные ваших клиентов утекли. Потому что кто-то украл ключ у подрядчика, о существовании которого вы, возможно, уже забыли.
Масштаб проблемы хорошо виден по одной цифре: BigCommerce поддерживает **более 1 200 сторонних приложений и интеграций**. Каждое из них — потенциальная точка входа того же типа.
## Это уже было
Инцидент почти дословно повторяет историю 2024 года с производителем аксессуаров **ZAGG**. Тогда атакующие скомпрометировали стороннее приложение FreshClick для BigCommerce и внедрили в магазин код, похищавший данные банковских карт на странице оплаты. Платформа тогда тоже заявила, что взломана не была, и удалила скомпрометированное приложение.
Разница только в добыче. В 2024 году похищали карты в момент ввода. В 2026-м — уже накопленные данные клиентов через ключ доступа.
Вывод простой: модель угрозы не меняется, меняется только то, что именно украдут в следующий раз.
## Главный вывод
Периметр интернет-магазина давно не заканчивается на его собственном сервере. Он включает каждое приложение, каждую интеграцию и каждый скрипт, которым вы выдали доступ. Защищать нужно всю цепочку, потому что атакующие выбирают самое слабое звено, а не самое очевидное.
Инцидент ещё расследуется, и окончательная картина может уточниться. Но главный урок понятен уже сейчас: доверие, выданное стороннему приложению, — это тоже часть вашей поверхности атаки.
---
*Материал подготовлен на основе публикации BleepingComputer (21.09.2026), официального уведомления Master of Malt и открытых данных о расследовании. Разработчик приложения Ribon на момент публикации не прокомментировал инцидент.*