Accenture potwierdza wyciek danych — 35 GB kodu źródłowego trafiło na sprzedaż
Accenture potwierdza wyciek danych — 35 GB kodu źródłowego trafiło na sprzedaż
Accenture, jeden z największych na świecie dostawców usług profesjonalnych, obecny również w Polsce, potwierdził incydent bezpieczeństwa po tym, jak cyberprzestępca wystawił na sprzedaż rzekomo skradziony kod źródłowy firmy oraz zestaw wrażliwych danych uwierzytelniających. Sprawa jest o tyle poważna, że Accenture buduje i utrzymuje systemy IT dla tysięcy klientów na całym świecie — a wykradzione materiały mogą posłużyć nie tylko do ataku na samą firmę, lecz także na jej klientów.
Accenture to globalna firma doradcza i technologiczna z siedzibą w Irlandii, świadcząca usługi w obszarach strategii biznesowej, marketingu, technologii (w tym cyberbezpieczeństwa) oraz transformacji cyfrowej. Zatrudnia ponad 700 tysięcy osób i obsługuje około 9 tysięcy klientów w ponad 120 krajach — wśród nich takie firmy jak Microsoft, Google, AT&T czy Verizon.
Korzenie spółki sięgają 1953 roku, gdy powstała jako Andersen Consulting — dział doradczy firmy Arthur Andersen, utworzony na potrzeby zlecenia od General Electric dotyczącego automatyzacji z wykorzystaniem komputerów. W 1989 roku część konsultingowa wyodrębniła się z firmy matki, a po wieloletnim sporze arbitrażowym ostatecznie uniezależniła się i 1 stycznia 2001 roku przyjęła nazwę Accenture.
Incydent wyszedł na jaw 6 lipca 2026 roku, gdy na forum przestępczym PwnForums pojawiło się ogłoszenie zatytułowane „Accenture Data Breach". Jego autor — działający pod pseudonimem „888" — twierdził, że w lipcu 2026 roku wykradł z firmy ponad 35 GB danych i wystawił je na jednorazową sprzedaż, żądając zapłaty w kryptowalucie Monero (XMR), cenionej w środowisku przestępczym za trudną do prześledzenia anonimowość.
Według atakującego skradziony zbiór miał obejmować kod źródłowy, klucze RSA i SSH, tokeny dostępu Azure (Personal Access Tokens), klucze dostępu do magazynu Azure Storage oraz pliki konfiguracyjne. Jako dowód posiadania danych „888" opublikował zrzut ekranu pokazujący klonowanie prywatnego repozytorium Azure DevOps o nazwie „121123_AtriasTalentAcademy", hostowanego rzekomo w częściowo zamazanej domenie accenture.com.
W odpowiedzi na pytania mediów Accenture początkowo stwierdziło, że „nie ma wiedzy o cyberataku", by już następnego dnia potwierdzić incydent. W oficjalnym oświadczeniu firma określiła sprawę jako odosobniony przypadek, którego źródło zostało usunięte, i zapewniła, że nie miał on wpływu na jej działalność ani na świadczone usługi. Accenture nie ujawniło jednak, w jaki sposób doszło do włamania, jaki dokładnie zakres danych wyciekł ani czy naruszone zostały jakiekolwiek dane osobowe bądź informacje klientów.
To właśnie tożsamość napastnika sprawia, że incydentu nie da się zbyć wzruszeniem ramion. „888" to znany aktor w cyberprzestępczym półświatku — pełnił funkcję moderatora na nieistniejącym już forum BreachForums, a obecnie działa w tej samej roli na PwnForums. Firma wywiadowcza Dataminr powiązała go z ponad 70 atakami w kilkudziesięciu krajach, co uwiarygadnia jego twierdzenia.
Na jego koncie znajdują się rzekome włamania do wielu znanych organizacji — wymienia się m.in. Microsoft, Oracle, IBM, Samsung, Hyundai, BMW Hong Kong, Decathlon, Credit Suisse, Shell, Heineken oraz UNICEF. To zresztą nie pierwszy raz, gdy „888" bierze na cel także Accenture — do tego wątku jeszcze wrócimy.
Tu potrzebna jest ostrożność. Accenture potwierdziło sam fakt incydentu, ale nie potwierdziło ani wolumenu 35 GB, ani rodzaju wykradzionych danych. Co więcej, próbki udostępnione przez napastnika — jak ustalili badacze — nie zawierają faktycznego kodu źródłowego, a jedynie „drzewo katalogów" obrazujące strukturę repozytoriów. Sama nazwa repozytorium („TalentAcademy") sugeruje wewnętrzną platformę szkoleniową, a nie system produkcyjny obsługujący klientów, co — jeśli się potwierdzi — obniżałoby wagę tego konkretnego zbioru.
Jest jednak druga strona medalu. W próbkach pojawiają się liczne odwołania do plików .env, w których programiści zwyczajowo przechowują klucze API i inne sekrety. Zdaniem badaczy Cybernews może to oznaczać, że dane pochodzą z komputera dewelopera, a nie z samego repozytorium — a taki scenariusz istotnie zwiększałby ryzyko, bo pliki środowiskowe potrafią zawierać działające poświadczenia do wewnętrznych API, usług chmurowych i systemów deweloperskich.
Krótko mówiąc: dopóki nie pojawi się materiał dowodowy albo wyciek próbki rzeczywistych danych, deklarowany zakres i skala incydentu pozostają niezweryfikowane. Twierdzenia na forach przestępczych bywają wyolbrzymiane — dobrze pokazuje to poprzedni epizod, do którego jeszcze wrócimy.
Prawdziwe zagrożenie nie kryje się w samej liczbie gigabajtów. Kod źródłowy to dla atakującego gotowy materiał rozpoznawczy — można go analizować w spokoju, w trybie offline, wyłuskując z niego nieznane wcześniej luki, zaszyte na sztywno hasła, wewnętrzne nazwy hostów czy ścieżki procesów CI/CD. W połączeniu z kluczami SSH, tokenami Azure i plikami konfiguracyjnymi powstaje z tego coś w rodzaju planu architektonicznego cudzej infrastruktury.
Jak zauważa Ross Filipek, CISO w Corsica Technologies, Accenture jest „stałym celem" ze względu na miejsce, jakie zajmuje w ekosystemie biznesowym: wielkie firmy doradcze i usługowe działają blisko systemów, które napędzają największe korporacje — od środowisk chmurowych i narzędzi tożsamości po repozytoria kodu i projekty transformacyjne. Jedno udane włamanie może zatem dostarczyć wskazówek o tym, jak zbudowane są systemy przedsiębiorstw, jak uwierzytelniają się zespoły i gdzie istnieją zaufane połączenia. Na to nakłada się różnica względem klasycznego ataku ransomware: skradzione klucze i tokeny potrafią „procentować" długo po tym, jak firma opanuje pierwotny wektor włamania — o ile poświadczenia wciąż są aktywne i nadmiernie uprawnione.
Firma SOCRadar ostrzega, że jeśli sekrety na poziomie infrastruktury faktycznie wyciekły, mogą umożliwić nieautoryzowany dostęp do repozytoriów, zasobów magazynowych czy procesów CI/CD. A biorąc pod uwagę skalę Accenture, incydent — nawet odosobniony — może stać się punktem wyjścia do ataków na klientów firmy w dół łańcucha dostaw.
Warto zrozumieć, jak działa ekonomia tego typu wycieków. Skradzione dane rzadko trafiają do jednej osoby na własny użytek. Fora takie jak PwnForums funkcjonują niczym giełdy, na których poświadczenia, dostępy i kod źródłowy zmieniają właściciela za kryptowalutę i zasilają cały łańcuch przestępczy. W tym ekosystemie kwitnie również model określany jako „haker do wynajęcia" (ang. hacker-for-hire) — usługa, w której za opłatą ktoś włamuje się do wskazanego celu, wykrada dane albo dostarcza gotowy dostęp innym grupom, w tym operatorom ransomware.
To dlatego pojedynczy wyciek u dostawcy usług IT bywa groźniejszy, niż wynikałoby to z nagłówka. Sprzedany dziś zestaw kluczy może jutro trafić do brokera dostępu, a pojutrze — do grupy, która wykorzysta go w ataku na zupełnie inną organizację. Anonimowość płatności w Monero tylko ułatwia obrót takim „towarem".
Bieżąca sprawa wpisuje się w dłuższą listę. W 2017 roku badacze znaleźli cztery publicznie dostępne kubełki Amazon AWS S3 zawierające wrażliwe dane o platformie Accenture Cloud Platform. W 2021 roku firmę zaatakował gang ransomware LockBit, wykradając dane z jej systemów. W czerwcu 2024 roku ten sam aktor „888" wystawił bazę rzekomo obejmującą dane 32 826 obecnych i byłych pracowników Accenture, pochodzące z wewnętrznego narzędzia „Media Exchange" — firma odpierała wówczas te twierdzenia, utrzymując, że w rzeczywistości dotyczyło to zaledwie trzech osób. Badacze potwierdzili zresztą, że dane rozprowadzane obecnie różnią się od tamtego zbioru.
W tle jest jeszcze jeden wątek. W ubiegłym roku Accenture potwierdziło, że jego (była już) pracownica została oskarżona o ukrywanie luk w zabezpieczeniach produktów chmurowych pracodawcy, niezgodnych z wymogami rządu USA.
Nie brak w tym wszystkim ironii: Accenture ogłosiło niedawno przejęcie większościowego pakietu udziałów w firmie Dragos, specjalizującej się w wykrywaniu zagrożeń dla technologii operacyjnej, oraz pełną własność firm runZero i NetRise — transakcje warte łącznie 4,2 mld dolarów. Gigant, który agresywnie rozbudowuje własne portfolio cyberbezpieczeństwa, sam musi mierzyć się z pytaniami o bezpieczeństwo swojego kodu.
Niezależnie od tego, jak ostatecznie zweryfikuje się zakres incydentu, badacze zgodnie zalecają traktowanie go jako sygnału ostrzegawczego. Jeśli w Twojej organizacji wykorzystywane są środowiska Azure DevOps — szczególnie w projektach powiązanych z Accenture — warto rozważyć następujące kroki:
Rotacja i unieważnienie poświadczeń — wymień tokeny dostępu Azure (PAT), klucze SSH oraz klucze dostępu do magazynu Azure Storage, zwłaszcza jeśli są współdzielone z Accenture.
Audyt logów dostępu — przejrzyj logi repozytoriów pod kątem nietypowej aktywności klonowania (git clone) i użycia poświadczeń w lipcu 2026 roku.
Zasada najmniejszych uprawnień — ogranicz zakres tokenów i przejdź na krótkożyjące, silniejsze metody uwierzytelniania (Microsoft Entra, tożsamości zarządzane, konta usług) zamiast długożyjących PAT-ów.
Bezpieczne przechowywanie sekretów — trzymaj klucze i tokeny w menedżerze sekretów (np. Azure Key Vault), a nie w plikach konfiguracyjnych czy .env.
Kontakt z dostawcą — jeśli korzystasz z usług Accenture, ustal bezpośrednio, czy Twoje repozytoria lub współdzielone poświadczenia mogły być objęte incydentem.
Praktyczne wskazówki dotyczące bezpiecznego zarządzania tokenami PAT znajdziesz w oficjalnej dokumentacji Microsoftu. Rotacja poświadczeń „na wszelki wypadek" to koszt jednego popołudnia — odbudowa zaufania po potwierdzonym naruszeniu łańcucha dostaw kosztuje nieporównywalnie więcej.
Na tym etapie nikt spoza zespołu reagowania Accenture nie wie z całą pewnością, czy mamy do czynienia z poważnym wyciekiem poświadczeń, czy z powtórką scenariusza sprzed dwóch lat, gdy z deklarowanych niemal 33 tysięcy rekordów zostały trzy realne osoby. Pewne jest jedno: kod źródłowy, klucze i tokeny to dziś aktywa równie cenne jak klasyczne dane biznesowe — a dla firmy siedzącej tak blisko infrastruktury swoich klientów jak Accenture każdy taki incydent wymaga czujności również po stronie tych klientów.
Źródła i materiały dodatkowe:
SecurityWeek — Accenture Confirms Data Breach After Hacker Claims Source Code Theft
BleepingComputer — Accenture confirms breach after hacker offers stolen data for sale
Microsoft Learn (dokumentacja oficjalna) — Use personal access tokens – Azure DevOps