Violação em apps Ribon expõe dados de clientes de lojas na BigCommerce
A BigCommerce notificou vários lojistas que usam os aplicativos de terceiros Ribon e Ribon 1.5 sobre um comprometimento de credenciais entre 13 e 17 de setembro. Os atacantes usaram as credenciais roubadas para injetar scripts maliciosos nas vitrines das lojas e acessar registros de clientes, expondo nomes, e-mails, telefones e endereços de entrega. Dados de cartão e senhas não vazaram porque a plataforma os armazena separadamente.
A BigCommerce confirmou que credenciais dos aplicativos de terceiros Ribon e Ribon 1.5, usados por lojistas para funcionalidades adicionais no storefront, foram comprometidas e utilizadas pelos atacantes para injetar scripts maliciosos nas páginas das lojas afetadas e acessar bases de clientes existentes. Casos como o do varejista britânico Master of Malt já foram documentados, e a firma de advocacia Emery Reddy relata que outras varejistas estão notificando clientes.
O ponto fraco explorado é típico de cadeias de suprimentos de e-commerce: cada aplicativo instalado numa loja recebe chaves de API com escopo relativamente amplo. Ao comprometer as credenciais do desenvolvedor do Ribon -- não da BigCommerce em si -- o atacante herdou acesso a todas as lojas que tinham o app instalado, permitindo injetar JavaScript malicioso nas páginas de checkout. É a mesma lógica por trás dos ataques de skimming digital estilo Magecart, ainda que neste caso a BigCommerce garanta que números de cartão não foram capturados, por ficarem isolados do restante do sistema.
Mesmo sem vazamento de dados de pagamento, os dados pessoais expostos -- nome, e-mail, telefone e endereço -- são matéria-prima valiosa para golpes de phishing e smishing direcionados, em que o golpista se passa pela própria loja para pedir dados adicionais, confirmar um "problema no pedido" ou induzir um novo pagamento fora do canal oficial. Esse tipo de vazamento também alimenta tentativas de account takeover em outros serviços, já que nome, e-mail e telefone costumam compor perguntas de segurança ou processos de recuperação de senha.
Para lojistas, a lição prática é auditar com regularidade as permissões concedidas a aplicativos de terceiros, revogar chaves de API não utilizadas, exigir autenticação multifator para contas de desenvolvedor e monitorar alterações inesperadas no código do storefront (por exemplo, com Subresource Integrity e Content Security Policy). Para consumidores das lojas afetadas, o cuidado é desconfiar de comunicações "urgentes" pedindo dados adicionais ou pagamento fora do checkout oficial nas semanas seguintes ao anúncio da violação.