Filtración masiva de datos en Framework: toda la base de clientes expuesta por un fallo crítico en Metabase

El 6 de agosto de 2026, Framework Computer —la empresa conocida por sus ordenadores portátiles modulares y reparables— comenzó a enviar correos electrónicos a todos sus clientes con una mala noticia: su información personal había sido robada. La filtración no se originó en los sistemas de Framework, sino en un proveedor externo de análisis, Metabase, donde los atacantes aprovecharon una vulnerabilidad desconocida hasta entonces y de severidad máxima. A continuación, te ofrecemos un desglose completo de lo que Framework reveló, qué datos se robaron, cómo funcionó el ataque y qué deben hacer los clientes.

¿Qué información personal se robó?

Framework confirmó que los atacantes accedieron a un amplio conjunto de información de identificación personal (PII) de toda su base de clientes . Los datos robados incluyen:

• Nombres completos
• Direcciones de correo electrónico
• Números de teléfono
• Direcciones físicas y de envío
• Direcciones IP de inicio de sesión

Para los clientes empresariales, la información expuesta también puede incluir nombres de empresa, cargos y números de teléfono comerciales .

¿Qué NO se robó?

Framework afirmó explícitamente que no se accedió a información de pago ni de pedidos. Los números de tarjeta de crédito, los datos de cuentas financieras y el historial de compras no se vieron afectados . Esta es una distinción importante: aunque la filtración es grave y expone a los clientes a riesgos de suplantación de identidad (phishing) y de ingeniería social, los datos de las cuentas financieras permanecen seguros.

¿Cuántos clientes se vieron afectados?

Framework declaró que notificó a "todos los clientes", lo que significa que la filtración afectó a toda su base de usuarios . Sin embargo, no ha revelado públicamente el número exacto de personas afectadas. Eric Schumacher, portavoz de la empresa, dijo a TechCrunch que la filtración afectó a "todos los clientes", pero se negó a dar una cifra concreta . Un informe estimó aproximadamente 18.000 clientes basándose en el tamaño conocido de la comunidad de usuarios de Framework, pero esta cifra no es oficial y podría ser una subestimación significativa .

El proveedor externo: Metabase

Framework atribuyó la filtración por completo a Metabase, la plataforma de inteligencia empresarial (BI) de código abierto que Framework utilizaba para alojar sus datos de análisis . Este es un caso clásico de ataque a la cadena de suministro: los sistemas de Framework no fueron vulnerados directamente, sino que un proveedor externo de confianza fue el punto de entrada.

La vulnerabilidad: CVE-2026-72898

El vector de ataque fue una vulnerabilidad crítica de inyección SQL (SQLi) sin autenticación y de día cero en el software de Metabase . Sus características clave:

• Puntuación CVSS: 10.0 (severidad máxima) — la calificación más alta posible
• ID CVE: CVE-2026-72898
• Versiones afectadas: Metabase versiones 1.58 a 1.63
• Método de ataque: El exploit permitía a un atacante remoto inyectar código SQL arbitrario en la base de datos de la aplicación Metabase a través del endpoint /reset_password, otorgando acceso de administrador completo sin necesidad de credenciales
• Impacto: Una vez que el atacante obtenía acceso de administrador, podía robar las credenciales de la base de datos almacenadas y cualquier dato accesible, incluida la PII de los clientes

¿Qué reveló la propia Metabase?

Metabase reveló el incidente el 6 de agosto de 2026, informando que su plataforma Metabase Cloud SaaS había sido comprometida a través de esta vulnerabilidad previamente desconocida . Detalles clave del cronograma:

• 3 de agosto de 2026: Se produjo la explotación, tres días antes de que se publicara el parche
• 6 de agosto de 2026: Metabase notificó a los clientes de su nube afectados, incluidos Framework y el proveedor de formularios Tally
• 7 de agosto de 2026: Los incidentes se hicieron públicos
• Parche de emergencia: Metabase publicó correcciones para las versiones 1.58+. Las instancias autoalojadas que ejecutaban las versiones 1.58 a 1.63 también eran vulnerables y requerían una actualización inmediata

Metabase advirtió que, más allá de los datos de los clientes, el exploit podía exponer credenciales de bases de datos almacenadas, tokens, claves API y otros datos de configuración sensibles de las instancias afectadas . Esto significa que el alcance del daño se extendió más allá de los datos de clientes que Framework está revelando; los atacantes podrían potencialmente pasar de Metabase a otros sistemas conectados.

Contexto de la cadena de suministro: una campaña más amplia

Framework no fue la única empresa afectada. A medida que se desarrolló la investigación de Metabase, al menos cinco empresas confirmaron públicamente que fueron comprometidas :

• Framework (7 de agosto) — Se robó la PII de los clientes
• Tally (7 de agosto) — Creador de formularios; se expusieron direcciones de correo electrónico y hashes de contraseñas de clientes
• n8n (8 de agosto) — Plataforma de automatización de flujos de trabajo
• Kilo Code / Anaconda (9 de agosto) — Plataforma de codificación con IA
• ChecklyHQ (10 de agosto) — Plataforma de monitoreo

Este patrón demuestra que el día cero de Metabase fue explotado como un ataque de propósito general contra múltiples inquilinos de la nube, no como una filtración dirigida específicamente contra Framework.

¿Qué deben hacer los clientes de Framework?

La notificación oficial de Framework, según varios medios, incluía orientación para los clientes. Basándose en los tipos de datos robados y en las prácticas estándar de respuesta a filtraciones, los clientes afectados deberían:

1. Estar atentos a los intentos de phishing: Los atacantes ahora tienen nombres, direcciones de correo electrónico, números de teléfono y direcciones físicas, todos los ingredientes para campañas de phishing altamente dirigidas por correo electrónico, SMS o incluso correo postal fraudulento.
2. Monitorear las cuentas en busca de actividad sospechosa: Las direcciones IP de inicio de sesión fueron expuestas; si reutilizaste contraseñas en otros servicios, considera cambiarlas.
3. No hacer clic en enlaces de correos electrónicos inesperados sobre la filtración: Es probable que los atacantes se hagan pasar por Framework o por servicios de seguridad para engañar a las víctimas y obtener más información o instalar malware.
4. Consultar solo las comunicaciones oficiales de Framework: La empresa afirmó que está revisando y mejorando su metodología de almacenamiento de datos y que proporcionará actualizaciones a través de sus canales oficiales .

El portavoz de Framework dijo a TechCrunch que la empresa está "profundamente apenada por esta filtración de información" y que está "revisando y mejorando" su metodología de almacenamiento de datos .

Conclusiones clave

• La base de datos completa de clientes de Framework se vio comprometida a través de un ataque a la cadena de suministro en Metabase, no por una vulneración directa de la infraestructura de Framework.
• Los datos robados incluyen PII (nombres, direcciones, teléfonos, correos electrónicos), pero no información de pago o de pedidos.
• La vulnerabilidad utilizada fue CVE-2026-72898, una inyección SQL sin autenticación con puntuación CVSS 10.0 en Metabase versiones 1.58-1.63.
• Framework no ha revelado el número exacto de clientes, aunque todos fueron notificados.
• Al menos cinco empresas se vieron afectadas por la misma campaña de día cero de Metabase.
• Todos los usuarios de Metabase autoalojado en versiones afectadas deberían haber aplicado el parche inmediatamente a principios de agosto de 2026.