Компания Framework, известная выпуском модульных и ремонтопригодных ноутбуков, уведомила клиентов об утечке персональных данных. Инцидент произошёл не на стороне самой компании, а у её поставщика бизнес-аналитики — сервиса Metabase.
В четверг, 6 августа, несколько пользователей Framework сообщили в соцсетях, что получили от компании письмо с уведомлением о взломе. Судя по обсуждениям на форуме производителя, рассылка началась примерно через шесть часов после того, как Framework узнала о проблеме — пользователи отметили это как необычно быстрый ответ для подобных инцидентов.
Что попало в руки злоумышленников
Представитель Framework Эрик Шумахер заявил изданию TechCrunch, что утечка затронула всех клиентов компании, однако точное число пострадавших не раскрывается. Ноутбуки Framework остаются нишевым продуктом, но, по некоторым оценкам, компания успела продать сотни тысяч устройств.
По данным уведомления, злоумышленники получили доступ к следующим категориям данных:
- имена и фамилии
- адреса электронной почты
- IP-адреса при входе в систему
- номера телефонов
- платёжные и почтовые адреса, включая страну, город, регион и индекс
- сведения о компании (для корпоративных клиентов)
При этом Framework подчеркнула, что платёжные данные — номера карт и информация о заказах — похищены не были.
Уязвимость нулевого дня в Metabase
Ответственность за инцидент компания возложила на атаку, произошедшую у Metabase — сервиса бизнес-аналитики, который Framework использовала для работы с клиентскими базами. Metabase раскрыла подробности взлома в собственном блоге: по словам генерального директора компании Самира Аль-Сакрана, атака стала возможной из-за ранее неизвестной SQL-инъекции — уязвимости нулевого дня в версиях платформы 1.58 и выше.
По данным компании, этой уязвимости присвоен максимальный показатель критичности по шкале CVSS — 10 из 10 баллов. Metabase сообщила, что впервые заметила подозрительную активность 3 августа, а уже 6 августа предупредила об инциденте Framework. Уязвимость затрагивала как облачную версию Metabase Cloud, так и локально развёрнутые версии платформы; для облака исправление установлено автоматически, для локальных развёртываний потребуется ручное обновление.
В письме к клиентам Framework также процитировала уведомление, полученное от Metabase, в котором говорится, что злоумышленники получили доступ именно к облачному экземпляру базы данных Framework. Производитель компьютеров заявил, что провёл собственное расследование и подтвердил: похищенная информация не включает платёжные данные пользователей.
Framework — не единственная пострадавшая компания: похожую атаку через Metabase подтвердил и сервис для создания онлайн-форм Tally. Это указывает на то, что инцидент затронул сразу нескольких клиентов Metabase, использовавших уязвимую версию платформы.
Что делать пользователям Framework
Компания уже сменила учётные данные для доступа к своей базе в Metabase, уведомила регулирующие органы и наняла стороннюю компанию для проведения цифровой криминалистической экспертизы. Пользователям, чьи данные могли пострадать, стоит проявить осторожность:
- внимательно проверять письма, якобы отправленные от имени Framework — мошенники могут использовать украденные адреса для фишинговых рассылок
- не переходить по подозрительным ссылкам и не сообщать коды подтверждения третьим лицам
- при необходимости сменить пароль от аккаунта на сайте Framework
- следить за необычной активностью, связанной с указанными при регистрации телефоном и адресом
Metabase на момент публикации не ответила на запрос о комментарии. Некоторые пользователи на форуме Framework также раскритиковали формулировку письма — оно было озаглавлено «Уведомление об ограниченной утечке данных», хотя, по их мнению, масштаб инцидента этому определению не соответствует.
