Buzmasdan buzish: bitta uchinchi tomon ilovasining kaliti yuzlab onlayn doʻkonlar mijozlari maʼlumotlarini ochdi
2026-yil 13-sentabrdan 17-sentabrgacha hujumchilar BigCommerce platformasidagi onlayn doʻkonlar xaridorlari maʼlumotlarini olib turdi. Bunda birorta doʻkon buzilmagan. Hujumchilarga doʻkonlar oʻz mijozlariga kirish huquqini ishonib topshirgan uchinchi tomon ilovasining kaliti yetarli boʻldi.
---
## Nima sodir boʻldi
17-sentabrda elektron tijorat uchun eng yirik bulutli platformalardan biri BigCommerce ikkita uchinchi tomon ilovasi — Ribon va Ribon 1.5 hisob maʼlumotlari buzilganini tasdiqladi. Ilovalar Fastr brendi ostida ishlaydigan Be A Part Of kompaniyasiga tegishli va doʻkon vitrinalarida xaridorlar tajribasini optimallashtirish uchun ishlatiladi.
Oʻgʻirlangan hisob maʼlumotlari yordamida hujumchilar bir qism doʻkonlar vitrinalariga zararli skriptlarni joylashtirdi va xaridorlar maʼlumotlariga kirish imkonini qoʻlga kiritdi. BigCommerce ilovani zarar koʻrgan barcha doʻkonlardan oʻchirib, kirish huquqini bekor qildi, sotuvchilarni bevosita xabardor qildi va tergov uchun jurnallarni ilova ishlab chiquvchisiga topshirdi.
Xronologiya:
- **13-sentabr, 17:21** — ruxsatsiz kirishning boshlanishi;
- **17-sentabr, 21:12** — oʻgʻirlangan kalit bekor qilindi, ilova doʻkonlardan oʻchirildi;
- **18-sentabr** — BigCommerce sotuvchilarni xabardor qiladi. Ribon ishlab chiquvchisi zarar koʻrganlar bilan faqat kechqurun bogʻlanadi;
- **21-sentabr** — maʼlumot ommaga oshkor boʻladi.
Toʻrt kun davomida hujumchilar mijozlar maʼlumotlari bilan bemalol ishladi.
## Kim zarar koʻrdi
Intsident haqida birinchi boʻlib Britaniyaning **Master of Malt** onlayn alkogol doʻkoni ommaga maʼlum qildi. Xaridorlarning toʻliq ismlari, elektron pochta manzillari, telefonlari va yetkazib berish manzillari buzildi.
Doʻkon BigCommerce xabaridan keyin bir necha soat ichida mijozlarga bildirishnoma yubordi, Britaniya regulyatori ICO ni xabardor qildi va intsident koʻlami potensial yuzlab boshqa doʻkonlarga taʼsir qilishi mumkinligidan ogohlantirdi. Bundan tashqari, Master of Malt platformadan uchinchi tomon ilovalarining API ga kirishini qatʼiyroq nazorat qilishni talab qilmoqchi: kompaniya fikricha, bitta kalitning buzilishi koʻplab doʻkonlar maʼlumotlarini ochib yubormasligi kerak.
BigCommerce bayonotiga koʻra, akkaunt parollari va toʻlov kartalari maʼlumotlari alohida saqlanadi va zarar koʻrmagan.
## Nega bu muhim: sizni buzmasdan ham buzishlari mumkin
Intsidentning asosiy xususiyati shundaki, **na BigCommerce, na doʻkonlar buzilgan**. Platforma buni alohida taʼkidlaydi.
Buzilgani — uchinchi tomon ilovasining kirish kaliti. Bu kalitni doʻkonlarning oʻzi ilovani oʻrnatishda bergan va shu bilan unga mijozlar bazasiga yoʻl ochgan. Kalitni qoʻlga kiritgan hujumchilar u ochadigan hamma narsani — Ribon oʻrnatilgan har bir doʻkon xaridorlari maʼlumotlarini oldi.
Doʻkon egasi uchun bu shunday koʻrinadi: sizda kuchli parol, ikki bosqichli autentifikatsiya, yangilangan platforma bor, shunga qaramay mijozlaringiz maʼlumotlari sizib chiqdi. Chunki kimdir siz allaqachon unutgan pudratchining kalitini oʻgʻirlagan.
Muammo koʻlami bitta raqamdan yaqqol koʻrinadi: BigCommerce **1 200 dan ortiq uchinchi tomon ilovalari va integratsiyalarini** qoʻllab-quvvatlaydi. Ularning har biri — xuddi shunday turdagi potensial kirish nuqtasi.
## Bu allaqachon boʻlgan edi
Intsident 2024-yilda aksessuarlar ishlab chiqaruvchisi **ZAGG** bilan sodir boʻlgan voqeani deyarli soʻzma-soʻz takrorlaydi. Oʻshanda hujumchilar BigCommerce uchun FreshClick uchinchi tomon ilovasini buzib, doʻkonga toʻlov sahifasida bank kartalari maʼlumotlarini oʻgʻirlaydigan kodni joylashtirgan edi. Platforma oʻshanda ham oʻzi buzilmaganini aytib, buzilgan ilovani oʻchirgan.
Farq faqat oʻljada. 2024-yilda kartalar kiritilayotgan paytda oʻgʻirlangan. 2026-yilda esa — kirish kaliti orqali allaqachon toʻplangan mijozlar maʼlumotlari.
Xulosa oddiy: tahdid modeli oʻzgarmaydi, faqat keyingi safar aynan nima oʻgʻirlanishi oʻzgaradi.
## Asosiy xulosa
Onlayn doʻkonning perimetri allaqachon oʻz serveri bilan tugamaydi. Unga siz kirish huquqi bergan har bir ilova, har bir integratsiya va har bir skript kiradi. Butun zanjirni himoya qilish kerak, chunki hujumchilar eng koʻzga koʻringanini emas, eng zaif boʻgʻinni tanlaydi.
Intsident hali tergov qilinmoqda va yakuniy manzara aniqlashishi mumkin. Lekin asosiy saboq hozirdanoq tushunarli: uchinchi tomon ilovasiga berilgan ishonch ham sizning hujum yuzangizning bir qismidir.
---
*Material BleepingComputer nashri (21.09.2026), Master of Malt rasmiy bildirishnomasi va tergov boʻyicha ochiq maʼlumotlar asosida tayyorlangan. Ribon ilovasi ishlab chiquvchisi nashr etilgan paytda intsidentga izoh bermagan.*