Framework victime d'une fuite massive de données : noms, adresses et numéros de téléphone dérobés

Framework a explicitement déclaré qu'aucune information de paiement ou de commande n'a été consultée. Les numéros de carte de crédit, les coordonnées bancaires et l'historique des achats n'ont pas été affectés . Cette distinction est importante : bien que la brèche soit sérieuse et expose les clients à des risques d'hameçonnage et d'ingénierie sociale, les données financières restent sûres.

Combien de clients sont concernés

Framework a indiqué avoir informé « tous les clients » — ce qui signifie que l'ensemble de sa clientèle a été touché . Cependant, Framework n'a pas divulgué publiquement le nombre exact de personnes concernées. Eric Schumacher, porte-parole de Framework, a déclaré à TechCrunch que la brèche concernait « tous les clients », mais a refusé de préciser un chiffre . Certaines estimations évoquent environ 18 000 clients, mais il ne s'agit pas d'un chiffre officiel et pourrait être largement sous-estimé .

Le fournisseur tiers : Metabase

Framework impute entièrement la brèche à Metabase, la plateforme open-source de business intelligence (BI) que Framework utilisait pour héberger ses données d'analytique . Il s'agit d'un cas typique d'attaque de la chaîne d'approvisionnement : les systèmes de Framework n'ont pas été directement compromis, mais un fournisseur de confiance l'a été.

La vulnérabilité : CVE-2026-72898

Le vecteur d'attaque était une injection SQL zero-day critique non authentifiée dans le logiciel Metabase . Principales caractéristiques :

• Score CVSS : 10,0 (sévérité maximale) — la note la plus élevée possible
• Identifiant CVE : CVE-2026-72898
• Versions concernées : Metabase versions 1.58 à 1.63
• Méthode d'attaque : L'exploit permettait à un attaquant distant d'injecter du code SQL arbitraire dans la base de données de l'application Metabase via le point d'accès /reset_password, accordant un accès administrateur complet sans aucun identifiant
• Impact : Une fois l'accès administrateur obtenu, l'attaquant pouvait dérober les identifiants de base de données stockés et toutes les données accessibles, y compris les informations personnelles des clients

Ce que Metabase a révélé

Metabase a divulgué l'incident le 6 août 2026, révélant que sa plateforme Metabase Cloud avait été compromise via cette vulnérabilité zero-day jusqu'alors inconnue . Chronologie et détails clés :

• 3 août 2026 : L'exploitation a eu lieu — trois jours avant la publication du correctif
• 6 août 2026 : Metabase a informé les clients cloud concernés, notamment Framework et le fournisseur de formulaires Tally
• 7 août 2026 : Les incidents ont été rendus publics
• Correctif d'urgence : Metabase a publié des correctifs pour les versions 1.58 et ultérieures. Les instances auto-hébergées exécutant les versions 1.58 à 1.63 étaient également vulnérables et nécessitaient une mise à jour immédiate

Metabase a averti qu'au-delà des données clients, l'exploit pouvait exposer les identifiants de base de données stockés, les jetons, les clés API et autres données de configuration sensibles des instances concernées . Cela signifie que le rayon d'explosion dépasse les seules données clients que Framework divulgue — les attaquants pouvaient potentiellement se déplacer de Metabase vers d'autres systèmes connectés.

Contexte de la chaîne d'approvisionnement : une campagne plus large

Framework n'est pas la seule entreprise concernée. Alors que l'enquête de Metabase se déroulait, au moins cinq entreprises ont publiquement confirmé avoir été compromises :

• Framework (7 août) — données personnelles des clients dérobées
• Tally (7 août) — créateur de formulaires ; adresses e-mail et mots de passe hachés exposés
• n8n (8 août) — plateforme d'automatisation de flux de travail
• Kilo Code / Anaconda (9 août) — plateforme de codage IA
• ChecklyHQ (10 août) — plateforme de surveillance

Ce schéma montre que le zero-day de Metabase a été exploité comme une attaque généralisée contre plusieurs clients cloud, et non comme une brèche ciblant spécifiquement Framework.

Ce que les clients de Framework doivent faire

La notification officielle de Framework, rapportée par plusieurs médias, incluait des recommandations. Compte tenu du type de données volées et des pratiques standard de gestion des brèches, les clients concernés devraient :

1. Se méfier des tentatives d'hameçonnage : Les attaquants ont désormais les noms, adresses e-mail, numéros de téléphone et adresses postales — tous les ingrédients pour des e-mails d'hameçonnage très ciblés, des SMS ou même des courriers frauduleux
2. Surveiller les comptes pour toute activité suspecte : Les adresses IP de connexion ont été exposées ; si vous utilisez le même mot de passe sur d'autres services, envisagez de le modifier
3. Ne pas cliquer sur les liens dans les e-mails inattendus concernant la brèche : Les attaquants se feront probablement passer pour Framework ou des services de sécurité pour inciter les victimes à révéler plus d'informations ou à installer des logiciels malveillants
4. Se référer uniquement aux communications officielles de Framework : L'entreprise a déclaré qu'elle examinait et améliorait sa méthodologie de stockage des données et fournirait des mises à jour via ses canaux officiels

Le porte-parole de Framework a déclaré à TechCrunch que l'entreprise est « profondément désolée pour cette fuite d'informations » et qu'elle « examine et améliore » sa méthodologie de stockage des données .

Points clés à retenir

• L'ensemble de la base de données clients de Framework a été compromise via une attaque de la chaîne d'approvisionnement chez Metabase, et non par une brèche directe de l'infrastructure de Framework
• Les données volées comprennent des informations personnelles (noms, adresses, téléphones, e-mails), mais pas d'informations de paiement ou de commande
• La vulnérabilité utilisée est CVE-2026-72898, une injection SQL non authentifiée de score CVSS 10,0 dans Metabase versions 1.58-1.63
• Framework n'a pas divulgué le nombre exact de clients, mais tous ont été informés
• Au moins cinq entreprises ont été touchées par la même campagne zero-day de Metabase
• Tous les utilisateurs auto-hébergés de Metabase sur les versions concernées auraient dû appliquer le correctif immédiatement début août 2026