Bocoran Data Framework 2026: Semua Pelanggan Terdampak Akibat Celah Keamanan Vendor Analitik

Pada 6 Agustus 2026, Framework Computer—perusahaan yang dikenal dengan laptop modular dan mudah diperbaikinya—mulai mengirimkan surel ke setiap pelanggannya dengan kabar buruk: data pribadi mereka telah dicuri. Pelanggaran ini tidak berasal dari sistem Framework sendiri. Sebaliknya, pelacakan mengarah ke vendor analitik hulu bernama Metabase, di mana penyerang mengeksploitasi celah keamanan yang sebelumnya tidak diketahui dan memiliki tingkat keparahan maksimum. Berikut adalah rincian lengkap tentang apa yang diungkapkan Framework, data apa yang dicuri, bagaimana serangan terjadi, dan langkah yang harus diambil pelanggan.

Data Pribadi Apa yang Dicuri

Framework mengonfirmasi bahwa penyerang mengakses serangkaian besar informasi identitas pribadi (PII) dari seluruh basis pelanggannya . Data yang dicuri meliputi:

• Nama lengkap
• Alamat surel
• Nomor telepon
• Alamat fisik/pengiriman
• Alamat IP login

Untuk pelanggan bisnis, informasi yang terekspos juga mungkin mencakup nama perusahaan, jabatan, dan nomor telepon bisnis .

Data yang TIDAK Dicuri

Framework secara eksplisit menyatakan bahwa tidak ada informasi pembayaran atau pesanan yang diakses. Nomor kartu kredit, rincian akun keuangan, dan riwayat pembelian tidak terpengaruh . Ini adalah perbedaan penting — meskipun kebocoran ini serius dan membuat pelanggan rentan terhadap phishing serta rekayasa sosial, data akun keuangan tetap aman.

Berapa Banyak Pelanggan yang Terdampak

Framework menyatakan telah memberitahu "seluruh pelanggan" — artinya kebocoran ini menghantam seluruh basis pelanggannya . Namun, Framework belum mengungkapkan jumlah pasti individu yang terdampak. Juru bicara perusahaan, Eric Schumacher, mengatakan kepada TechCrunch bahwa kebocoran ini memengaruhi "seluruh pelanggan" tetapi menolak menyebutkan angka spesifik . Satu laporan memperkirakan sekitar 18.000 pelanggan berdasarkan ukuran komunitas pengguna Framework yang diketahui, namun ini bukan angka resmi dan mungkin merupakan perkiraan yang terlalu rendah .

Vendor Hulu: Metabase

Framework sepenuhnya menyalahkan kebocoran ini pada Metabase, platform business intelligence (BI) open-source yang digunakan Framework untuk menyimpan data analitiknya . Ini adalah contoh klasik serangan rantai pasok — sistem Framework sendiri tidak langsung dibobol, melainkan vendor pihak ketiga yang dipercaya.

Celah Keamanan: CVE-2026-72898

Vektor serangan adalah celah SQL injection zero-day kritis tanpa autentikasi pada perangkat lunak Metabase . Karakteristik utamanya:

• Skor CVSS: 10.0 (tingkat keparahan maksimum) — peringkat tertinggi yang mungkin
• ID CVE: CVE-2026-72898
• Versi yang Terdampak: Metabase versi 1.58 hingga 1.63
• Metode Serangan: Eksploitasi ini memungkinkan penyerang jarak jauh untuk menyuntikkan SQL arbitrer ke dalam database aplikasi Metabase melalui endpoint /reset_password, yang memberikan akses administrator penuh tanpa memerlukan kredensial apa pun
• Dampak: Setelah mendapatkan akses admin, penyerang dapat mencuri kredensial database yang tersimpan dan data apa pun yang dapat diakses, termasuk PII pelanggan

Apa yang Diungkapkan Metabase Sendiri

Metabase mengungkapkan insiden tersebut pada 6 Agustus 2026, mengungkapkan bahwa platform Metabase Cloud SaaS miliknya telah disusupi melalui celah yang sebelumnya tidak diketahui ini . Kronologi dan rincian utama:

• 3 Agustus 2026: Eksploitasi terjadi — tiga hari sebelum patch dirilis
• 6 Agustus 2026: Metabase memberi tahu penyewa cloud yang terdampak, termasuk Framework dan penyedia formulir Tally
• 7 Agustus 2026: Insiden tersebut mulai diketahui publik
• Patch darurat: Metabase merilis perbaikan untuk versi 1.58+. Instans yang dihosting sendiri yang menjalankan versi 1.58 hingga 1.63 juga rentan dan memerlukan pembaruan segera

Metabase memperingatkan bahwa, selain data pelanggan, eksploitasi ini dapat mengekspos kredensial database yang tersimpan, token, kunci API, dan data konfigurasi sensitif lainnya dari instans yang terdampak . Ini berarti radius ledakan melampaui sekadar data pelanggan yang diungkapkan Framework — penyerang berpotensi beralih dari Metabase ke sistem lain yang terhubung.

Konteks Rantai Pasok: Sebuah Kampanye yang Lebih Luas

Framework bukan satu-satunya perusahaan yang terdampak. Seiring penyelidikan Metabase berlangsung, setidaknya lima perusahaan secara publik mengonfirmasi bahwa mereka disusupi :

• Framework (7 Agustus) — PII pelanggan dicuri
• Tally (7 Agustus) — pembuat formulir; alamat surel dan hash kata sandi pelanggan terekspos
• n8n (8 Agustus) — platform otomatisasi alur kerja
• Kilo Code / Anaconda (9 Agustus) — platform coding AI
• ChecklyHQ (10 Agustus) — platform pemantauan

Pola ini menunjukkan bahwa celah zero-day Metabase dieksploitasi sebagai serangan umum terhadap beberapa penyewa cloud, bukan kebocoran yang ditargetkan secara spesifik pada Framework.

Yang Harus Dilakukan Pelanggan Framework

Pemberitahuan resmi Framework, seperti yang dilaporkan oleh berbagai media, mencakup panduan untuk pelanggan. Berdasarkan jenis data yang dicuri dan praktik respons kebocoran standar, pelanggan yang terdampak harus:

1. Waspadai upaya phishing: Penyerang kini memiliki nama, alamat surel, nomor telepon, dan alamat fisik — semua bahan untuk phishing yang sangat tertarget, pesan SMS, atau bahkan penipuan surat fisik
2. Pantau aktivitas mencurigakan pada akun: Alamat IP login terekspos; jika Anda menggunakan kembali kata sandi di layanan lain, pertimbangkan untuk mengubahnya
3. Jangan klik tautan dalam surel tak terduga tentang kebocoran ini: Penyerang kemungkinan akan menyamar sebagai Framework atau layanan keamanan untuk mengelabui korban agar mengungkapkan lebih banyak informasi atau menginstal malware
4. Periksa hanya komunikasi resmi Framework: Perusahaan mengatakan sedang meninjau dan meningkatkan metodologi penyimpanan datanya dan akan memberikan pembaruan melalui saluran resminya

Juru bicara Framework mengatakan kepada TechCrunch bahwa perusahaan "sangat menyesali kebocoran informasi ini" dan "sedang meninjau serta meningkatkan" metodologi penyimpanan datanya .

Poin Penting

• Seluruh database pelanggan Framework disusupi melalui serangan rantai pasok pada Metabase, bukan kebocoran langsung pada infrastruktur Framework sendiri
• Data yang dicuri meliputi PII (nama, alamat, nomor telepon, surel), tetapi bukan informasi pembayaran atau pesanan
• Celah yang digunakan adalah CVE-2026-72898, sebuah SQL injection pra-autentikasi dengan skor CVSS 10.0 pada Metabase versi 1.58–1.63
• Framework belum mengungkapkan jumlah pasti pelanggan, meskipun seluruh pelanggan telah diberitahu
• Setidaknya lima perusahaan terdampak oleh kampanye zero-day Metabase yang sama
• Semua pengguna Metabase yang dihosting sendiri pada versi yang terdampak harus segera melakukan patch pada awal Agustus 2026