Framework раскрыла утечку данных всех клиентов через Metabase

Производитель модульных ремонтопригодных компьютеров Framework уведомил всех своих клиентов об утечке персональных данных после кибератаки на Metabase. Злоумышленники получили имена, адреса электронной почты, номера телефонов и физические адреса клиентов Framework. Платёжная информация, по заявлению компании, в число скомпрометированных данных не вошла.

О полученных уведомлениях клиенты Framework сообщили в социальных сетях 7 августа. Представитель компании Эрик Шумахер подтвердил TechCrunch, что инцидент затронул «всех клиентов», но не назвал их точное количество. Framework выпускает нишевые устройства, при этом отдельные оценки говорят о сотнях тысяч проданных компьютеров.

Атака началась у поставщика BI-платформы

Framework связала инцидент с атакой на Metabase, поставщика программного обеспечения для бизнес-аналитики. В письме клиентам производитель также приложил уведомление Metabase, согласно которому атакующие получили доступ к облачному экземпляру Framework.

Metabase сообщила в официальном блоге, что злоумышленники эксплуатировали неизвестную уязвимость, то есть уязвимость нулевого дня. Эксплуатация позволила им получить доступ к базам данных клиентов, размещённым на облачных серверах Metabase.

Какие данные оказались у атакующих

После расследования Framework установила факт копирования персональных данных покупателей. Компания перечислила четыре категории: имя, e-mail, телефон и физический адрес. В уведомлении отдельно указано, что платёжные сведения не были затронуты.

Metabase на запрос TechCrunch о комментарии не ответила. Технические детали уязвимости, способ её эксплуатации и сроки доступа к данным в опубликованной информации не раскрываются.

Что это означает для компаний

Случай Framework показывает, что данные клиентов могут оказаться под угрозой через облачный сервис, используемый в рабочих процессах. В данной ситуации исходной точкой стала инфраструктура поставщика BI-платформы, а последствия затронули клиентскую базу производителя компьютеров.

Для бизнеса практический вывод состоит в том, чтобы учитывать сервисы поставщиков при оценке обращения с персональными данными и заранее иметь порядок действий для расследования и уведомления клиентов. Framework уже провела расследование и сообщила затронутым пользователям, какие именно категории данных были скомпрометированы.