Únik dat Framework 2026: Co se stalo, jaká data byla odcizena a co byste měli vědět

Dne 6. srpna 2026 začala společnost Framework Computer — známá svými modulárními a opravitelnými notebooky — rozesílat e-maily všem svým zákazníkům se špatnou zprávou: jejich osobní údaje byly odcizeny. Únik nepocházel přímo z interních systémů Frameworku, ale od jeho dodavatele analytických nástrojů, společnosti Metabase. Útočníci zde zneužili dříve neznámou kritickou zranitelnost. Přinášíme kompletní přehled toho, co Framework zveřejnil, jaká data byla odcizena, jak útok probíhal a co byste měli udělat.

Jaká osobní data byla odcizena

Framework potvrdil, že útočníci získali přístup k širokému spektru osobních údajů (PII) všech zákazníků . Mezi odcizená data patří:

• Celá jména
• E-mailové adresy
• Telefonní čísla
• Fyzické/doručovací adresy
• IP adresy pro přihlášení

U firemních zákazníků mohly být odcizeny také názvy společností, pracovní pozice a firemní telefonní čísla .

Co odcizeno NEBYLO

Framework výslovně uvedl, že k platebním údajům ani informacím o objednávkách nedošlo. Čísla kreditních karet, údaje o bankovních účtech a historie nákupů nebyly ovlivněny . Toto rozlišení je důležité — i když je únik vážný a vystavuje zákazníky riziku phishingu a sociálního inženýrství, finanční data zůstávají v bezpečí.

Kolik zákazníků bylo zasaženo

Framework uvedl, že informoval „všechny zákazníky“ — což znamená, že únik zasáhl celou zákaznickou základnu . Firma však veřejně neuvedla přesný počet postižených osob. Mluvčí Eric Schumacher potvrdil TechCrunch, že únik postihl „všechny zákazníky“, ale konkrétní číslo odmítl uvést . Jeden odhad hovořil zhruba o 18 000 zákaznících na základě známé velikosti komunity Framework, ale toto není oficiální údaj a může být výrazně podhodnocený .

Dodavatel: Metabase

Framework označil za příčinu úniku výhradně společnost Metabase, open-source platformu pro business intelligence (BI), kterou Framework používal k hostování svých analytických dat . Jedná se o učebnicový příklad útoku na dodavatelský řetězec — systémy Frameworku samy o sobě napadeny nebyly, prolomen byl až důvěryhodný externí partner.

Zranitelnost: CVE-2026-72898

Útok proběhl pomocí kritické, neautentizované SQL injection zero-day zranitelnosti v softwaru Metabase . Klíčové charakteristiky:

• Skóre CVSS: 10.0 (maximální závažnost) — nejvyšší možné ohodnocení
• ID CVE: CVE-2026-72898
• Postižené verze: Metabase verze 1.58 až 1.63
• Způsob útoku: Zneužití umožnilo vzdálenému útočníkovi vložit libovolný SQL kód do databáze Metabase přes endpoint /reset_password, čímž získal plná administrátorská práva bez jakýchkoli přihlašovacích údajů
• Dopad: Jakmile útočník získal administrátorský přístup, mohl odcizit uložené databázové přihlašovací údaje a veškerá dostupná data, včetně osobních údajů zákazníků

Co zveřejnila sama Metabase

Společnost Metabase incident zveřejnila 6. srpna 2026 a odhalila, že její cloudová platforma Metabase Cloud byla kompromitována právě prostřednictvím této dříve neznámé zranitelnosti . Klíčové body časové osy a podrobnosti:

• 3. srpna 2026: Došlo ke zneužití — tři dny před vydáním záplaty
• 6. srpna 2026: Metabase informovala postižené cloudové zákazníky, včetně Frameworku a poskytovatele formulářů Tally
• 7. srpna 2026: Incidenty se dostaly na veřejnost
• Záplata: Metabase vydala opravy pro verze 1.58+. Zranitelné byly i samostatně hostované instance (self-hosted) s verzemi 1.58 až 1.63, které vyžadovaly okamžitou aktualizaci

Metabase varovala, že exploit mohl kromě zákaznických dat odhalit uložené databázové přihlašovací údaje, tokeny, API klíče a další citlivá konfigurační data z postižených instancí . To znamená, že dosah útoku byl širší než jen data zákazníků, která zveřejnil Framework — útočníci se mohli z Metabase přesunout do dalších propojených systémů.

Širší kontext: Kampaň proti dodavatelskému řetězci

Framework nebyl jedinou postiženou firmou. Jak vyšetřování Metabase pokračovalo, nejméně pět společností veřejně potvrdilo, že bylo kompromitováno :

• Framework (7. srpna) — odcizeny osobní údaje zákazníků
• Tally (7. srpna) — tvůrce formulářů; odhaleny e-maily a hashe hesel zákazníků
• n8n (8. srpna) — platforma pro automatizaci workflow
• Kilo Code / Anaconda (9. srpna) — AI kódovací platforma
• ChecklyHQ (10. srpna) — monitorovací platforma

Tento vzorec ukazuje, že zero-day zranitelnost Metabase byla zneužita jako obecný útok proti několika cloudovým tenantům, nikoli jako cílený útok přímo na Framework.

Co by měli zákazníci Frameworku dělat

Oficiální oznámení Frameworku, citované několika médii, obsahovalo pokyny pro zákazníky. Na základě typu odcizených dat a standardních postupů po úniku by postižení zákazníci měli:

1. Dávat si pozor na phishingové útoky: Útočníci nyní mají jména, e-maily, telefonní čísla i fyzické adresy — všechny ingredience pro vysoce cílené phishingové e-maily, SMS zprávy nebo dokonce podvodné dopisy.
2. Sledovat podezřelou aktivitu na účtech: Byly odhaleny IP adresy pro přihlášení; pokud jste používali stejná hesla i jinde, zvažte jejich změnu.
3. Neklikejte na odkazy v neočekávaných e-malech ohledně úniku: Útočníci se pravděpodobně budou vydávat za Framework nebo bezpečnostní služby, aby vás přiměli k prozrazení dalších informací nebo instalaci malwaru.
4. Sledujte pouze oficiální komunikaci Frameworku: Společnost uvedla, že přezkoumává a vylepšuje své postupy ukládání dat a bude poskytovat aktualizace prostřednictvím svých oficiálních kanálů .

Mluvčí Frameworku řekl TechCrunch, že společnost je „hluboce znepokojena tímto únikem informací“ a že „přezkoumává a vylepšuje“ svou metodiku ukládání dat .

Klíčové body

• Celá zákaznická databáze Frameworku byla kompromitována kvůli útoku na dodavatele Metabase, nikoli přímému napadení infrastruktury Frameworku.
• Odcizena byla osobní data (jména, adresy, telefony, e-maily), ale ne platební údaje nebo informace o objednávkách.
• Použitá zranitelnost byla CVE-2026-72898, CVSS 10.0 SQL injection bez nutnosti autentizace v Metabase verzích 1.58–1.63.
• Framework neuvedl přesný počet zákazníků, i když všichni byli informováni.
• Stejná zero-day kampaň proti Metabase postihla nejméně pět společností.
• Všichni uživatelé samostatně hostovaných instancí Metabase na postižených verzích by měli mít nainstalovanou záplatu z počátku srpna 2026.