文章总结： 2026年8月2日，波兰最大便利店运营商ŻabkaPolska在暗网被兜售内部数据，包括54万条Jira工单、23万条IT工单及89个GitLab代码仓库。最致命风险是单一全局GitLab令牌泄露，可克隆全部研发资产并获取CloudflareAPI密钥等核心凭据。事件发生在企业收购窗口期，加剧商业风险。攻击模式疑似员工账号劫持。建议立即轮换所有泄露密钥、排查异常访问日志并强化终端防护。 综合评分： 87 文章分类： 数据泄露,应急响应,漏洞分析,安全建设,威胁情报

【高危安全预警】波兰最大便利店运营商Żabka Polska大规模内部数据泄露事件安全态势通报

鹏鹏同学 鹏鹏同学

黑猫安全

2026年8月4日 08:52 湖北

在小说阅读器读本章

去阅读

一、事件概述

2026年8月2日，某暗网数据泄露论坛全新注册账号首次发帖，公开兜售波兰头部零售企业Żabka Polska的疑似完整内部数据泄露数据包，标价5000欧元。该售卖账号无任何历史交易记录，注册仅14分钟后便发布泄露帖文，虽无法直接佐证数据造假，但彻底缺失可信交易背书，本次泄露事件风险真实性极高，需重点警惕。

Żabka Polska创立于1998年，是波兰规模最大的便利店运营企业、国内头部零售主体，旗下拥有超11000家特许经营门店，日均服务数百万用户，业务体量庞大、内部数据资产密集，本次泄露事件对企业业务、数据安全及商业声誉均构成严重威胁。截至目前，Żabka集团官方尚未对本次数据泄露事件发布任何确认或辟谣声明。

二、泄露数据核查与核心明细

第三方安全情报平台 Ransomnews 对售卖者公示的泄露样本压缩包开展专项核验，证实大部分核心数据披露内容真实可信，关键数据指标与售卖描述高度吻合，仅部分次级数据存在公示偏差，整体数据泄露真实性具备充分依据。

1. 核实无误的泄露资产

经样本比对核查，本次泄露的核心内部数据精准匹配售卖公示信息，核心资产泄露情况属实：

• 项目工单数据：48组Jira导出文件合计541463条工单，与公示的54.1万条Jira问题数据基本完全一致；
• 运维工单数据：IT服务台工单导出总量精准匹配公示的229734条，数据完整度极高；
• 代码资产数据：泄露89个GitLab代码仓库源码，覆盖企业全品类研发资产。

2. 存在偏差的公示数据

售卖者宣称的35206条GDPR合规记录、约4000条银行账户相关信息，未在公开样本数据中体现。安全分析指出，该类数据多集中于人力、法务、财务专项项目，而公开样本存在50条工单的采样上限，无法覆盖相关专项数据，因此次级数据未核验通过不代表整体泄露数据为伪造。同时，售卖者对偏差数据标注了五位有效数字的精准数值，与实际样本不符，该类次级统计数据仅可作为营销噱头，需以完整数据包核验结果为准。

3. 精准披露的内部业务体系

本次泄露信息精准命中Żabka Polska核心内部业务系统与合作厂商，细节维度极具针对性，进一步佐证泄露真实性，具体包括：企业自研收银平台 Nowa Kasa、Cyberstore、zMarket 运维工具、SAP ERP 企业资源系统、乐透业务对接模块，以及埃森哲、Netguru、BlueSoft 等20余家第三方合作厂商信息。精准的内部系统名称披露，排除泛化数据造假可能。

三、核心高危风险：全局GitLab令牌泄露

本次数据泄露最致命的风险并非常规业务数据、个人信息泄露，而是单一全局有效GitLab访问令牌泄露，该62位密钥嵌入89个代码仓库的克隆链接中，覆盖全部泄露研发资产，危害等级极高。

经核查，攻击者凭借这一枚唯一令牌，可完整克隆Żabka全套cs-market业务平台资产，涵盖44个运维研发仓库、26套后端服务、7套前端项目、API网关及全链路配套工具。同时，泄露代码中包含大量可直接使用的真实业务密钥，包括Cloudflare API密钥、MongoDB管理员密码、消息队列服务凭证等基础设施核心权限凭据。

该风险的核心隐患在于权限全覆盖、危害持续性强：单枚令牌即可掌控企业全部代码仓库与研发基础设施，一旦令牌未失效、未及时轮换，攻击者可长期、静默窃取、篡改企业核心代码与配置，引发持续性安全入侵。

四、事件时间线与商业背景风险

本次数据泄露曝光节点具备极强的特殊性，恰逢企业重大资本运作窗口期，进一步放大事件潜在风险。2026年7月31日，加拿大零售巨头 Alimentation Couche-Tard 宣布以75.6亿欧元收购Żabka集团；仅两日之后，本次大规模数据泄露帖文便在暗网公开曝光。

安全核查显示，泄露样本中的工单时间戳证实，数据归集整理工作发生在收购交易公开之前，目前暂无证据证明本次泄露与收购事件存在直接关联。但在企业并购尽职调查关键阶段曝光的核心技术资产泄露事件，将引发收购方法务与风控团队重点核查，对本次资本交易、企业估值及商业信誉造成潜在负面影响。

五、泄露溯源与攻击模式分析

结合2024年以来全球同类企业数据泄露攻击趋势分析，本次Żabka数据泄露大概率并非源于Jira、GitLab等业务系统自身漏洞，属于典型的员工账号劫持+前台批量导出攻击模式，也是当前企业研发数据泄露的主流攻击链路。

攻击者多通过信息窃取类恶意木马批量窃取企业员工办公账号密码，利用合法身份登录内部研发、运维系统，批量导出工单、代码、配置文件等核心资产，攻击链路隐蔽、行为贴合正常业务操作，极易长期规避安全审计与监测，无明显入侵异常特征，溯源与发现难度极大。本次事件虽无直接证据证实该攻击链路，但完全契合当前高发的企业数据泄露攻击特征。

六、合规风险与处置缺口

根据波兰《通用数据保护条例（RODO）》合规要求，企业在察觉个人数据泄露风险后，需在72小时内向波兰监管机构完成事件报备。目前Żabka集团尚未判定本次事件是否触发合规报备义务，且未对外发布任何官方声明、风险说明及处置公告，存在合规逾期、风险处置滞后的潜在隐患。

七、核心安全启示与处置建议

本次事件暴露了企业研发凭证管控的核心短板：令牌轮换仅需数分钟即可完成，但凭证长期泄露、代码资产被静默克隆复制的隐蔽风险，难以快速排查与止损，时间差引发的持续性安全危害，是企业数据泄露的核心损失来源。结合本次事件，针对性处置与防护建议如下：

• 立即全量轮换GitLab全局访问令牌、云服务API密钥、数据库管理员密码、消息队列凭证等所有泄露基础设施密钥，彻底阻断非法访问通路；
• 全面排查研发账号登录日志、代码克隆、数据导出记录，核查是否存在长期非法操作，追溯泄露起始时间与影响范围；
• 强化员工终端安全防护，查杀信息窃取类木马，严控办公账号密码泄露风险，杜绝账号劫持类攻击；
• 完善研发凭证生命周期管理，常态化轮换核心密钥，增加凭证使用审计、异常访问告警机制，杜绝超权限、长期有效静态凭证留存；
• 严格落实数据泄露合规处置流程，及时研判泄露范围，按期完成监管报备，规避合规处罚风险。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑猫安全 鹏鹏同学 鹏鹏同学《【高危安全预警】波兰最大便利店运营商Żabka Polska大规模内部数据泄露事件安全态势通报》