Violazione dati Framework 2026: l'attacco a Metabase espone tutti i clienti

Il 6 agosto 2026, Framework Computer — l'azienda nota per i suoi laptop modulari e riparabili — ha iniziato a inviare email a ogni singolo cliente con una brutta notizia: i loro dati personali erano stati rubati. La violazione non ha avuto origine all'interno dei sistemi di Framework, ma è stata causata da un attacco a un fornitore esterno di analisi, Metabase. Gli aggressori hanno sfruttato una vulnerabilità zero-day di massima gravità. Ecco tutti i dettagli su ciò che Framework ha comunicato, cosa è stato rubato, come ha funzionato l'attacco e cosa fare.

Quali dati personali sono stati rubati

Framework ha confermato che gli aggressori hanno avuto accesso a un'ampia serie di informazioni personali identificabili (PII) dell'intera base clienti . I dati rubati includono:

• Nomi completi
• Indirizzi email
• Numeri di telefono
• Indirizzi fisici/di spedizione
• Indirizzi IP di accesso

Per i clienti business, le informazioni esposte potrebbero includere anche ragione sociale, titoli professionali e numeri di telefono aziendali .

Cosa NON è stato rubato

Framework ha dichiarato esplicitamente che nessuna informazione di pagamento o di ordine è stata compromessa. Numeri di carte di credito, dettagli di conti finanziari e cronologia acquisti non sono stati toccati . Questa è una distinzione importante: sebbene la violazione sia grave ed esponga i clienti a rischi di phishing e ingegneria sociale, i dati finanziari rimangono al sicuro.

Quanti clienti sono stati colpiti

Framework ha dichiarato di aver avvisato "tutti i clienti" — il che significa che la violazione ha colpito l'intera base clienti . Tuttavia, Framework non ha divulgato pubblicamente il numero esatto delle persone coinvolte. Il portavoce dell'azienda, Eric Schumacher, ha detto a TechCrunch che la violazione ha colpito "tutti i clienti" ma ha rifiutato di specificare un numero . Una stima parla di circa 18.000 clienti, ma non è una cifra ufficiale e potrebbe essere molto inferiore alla realtà .

Il fornitore a monte: Metabase

Framework ha attribuito la violazione interamente a Metabase, la piattaforma open-source di business intelligence (BI) che Framework utilizzava per ospitare i propri dati analitici . Questo è un classico attacco alla catena di fornitura: i sistemi di Framework non sono stati violati direttamente, ma lo è stato un fornitore terzo di fiducia.

La vulnerabilità: CVE-2026-72898

Il vettore d'attacco è stata una SQL injection zero-day critica e non autenticata nel software di Metabase . Caratteristiche principali:

• Punteggio CVSS: 10.0 (gravità massima) — il punteggio più alto possibile
• ID CVE: CVE-2026-72898
• Versioni interessate: Metabase 1.58 fino a 1.63
• Metodo di attacco: Lo sfruttamento consentiva a un attaccante remoto di iniettare SQL arbitrario nel database dell'applicazione Metabase tramite l'endpoint /reset_password, ottenendo accesso completo come amministratore senza alcuna credenziale
• Impatto: Una volta ottenuto l'accesso admin, l'attaccante poteva rubare le credenziali del database memorizzate e qualsiasi dato accessibile, inclusi i dati personali dei clienti

Cosa ha comunicato Metabase

Metabase ha divulgato l'incidente il 6 agosto 2026, rivelando che la sua piattaforma Metabase Cloud SaaS era stata compromessa tramite questa vulnerabilità precedentemente sconosciuta . Cronologia e dettagli:

• 3 agosto 2026: Lo sfruttamento è avvenuto — tre giorni prima del rilascio della patch
• 6 agosto 2026: Metabase ha avvisato i tenant cloud colpiti, tra cui Framework e il fornitore di moduli Tally
• 7 agosto 2026: Gli incidenti sono diventati pubblici
• Patch d'emergenza: Metabase ha rilasciato correzioni per le versioni 1.58+. Anche le installazioni self-hosted con versioni dalla 1.58 alla 1.63 erano vulnerabili e necessitavano di un aggiornamento immediato

Metabase ha avvertito che, oltre ai dati dei clienti, lo sfruttamento poteva esporre credenziali di database, token, chiavi API e altri dati di configurazione sensibili delle istanze colpite . Ciò significa che il raggio d'azione si estendeva oltre i dati dei clienti — gli aggressori avrebbero potuto muoversi da Metabase verso altri sistemi connessi.

Contesto della catena di fornitura: una campagna più ampia

Framework non è stata l'unica azienda colpita. Mentre l'indagine su Metabase procedeva, almeno cinque aziende hanno confermato pubblicamente di essere state compromesse :

• Framework (7 agosto) — dati personali dei clienti rubati
• Tally (7 agosto) — costruttore di moduli; indirizzi email e hash delle password esposti
• n8n (8 agosto) — piattaforma di automazione dei flussi di lavoro
• Kilo Code / Anaconda (9 agosto) — piattaforma di coding AI
• ChecklyHQ (10 agosto) — piattaforma di monitoraggio

Questo schema mostra che lo zero-day di Metabase è stato sfruttato come attacco generico contro più tenant cloud, non come violazione mirata specificamente a Framework.

Cosa devono fare i clienti Framework

La notifica ufficiale di Framework, riportata da diverse testate, includeva indicazioni per i clienti. In base ai tipi di dati rubati e alle pratiche standard di risposta alle violazioni, i clienti dovrebbero:

1. Prestare attenzione ai tentativi di phishing: Gli aggressori ora hanno nomi, indirizzi email, numeri di telefono e indirizzi fisici — tutti gli ingredienti per email di phishing mirate, messaggi SMS o persino truffe postali
2. Monitorare i propri account per attività sospette: Gli indirizzi IP di accesso sono stati esposti; se hai riutilizzato password su altri servizi, considera di cambiarle
3. Non cliccare su link in email inaspettate sulla violazione: Gli aggressori probabilmente si fingeranno Framework o servizi di sicurezza per indurre le vittime a rivelare ulteriori informazioni o installare malware
4. Controllare solo le comunicazioni ufficiali di Framework: L'azienda ha dichiarato di stare rivedendo e migliorando la propria metodologia di archiviazione dei dati e fornirà aggiornamenti tramite i suoi canali ufficiali

Il portavoce di Framework ha detto a TechCrunch che l'azienda è "profondamente dispiaciuta per questa violazione di informazioni" e sta "rivedendo e migliorando" la propria metodologia di archiviazione dati .

Punti chiave

• L'intero database clienti di Framework è stato compromesso tramite un attacco alla catena di fornitura su Metabase, non una violazione diretta dell'infrastruttura di Framework
• I dati rubati includono dati personali (nomi, indirizzi, numeri di telefono, email), ma non informazioni di pagamento o ordini
• La vulnerabilità utilizzata è CVE-2026-72898, una SQL injection pre-autenticazione con punteggio CVSS 10.0 in Metabase versioni 1.58-1.63
• Framework non ha divulgato il numero esatto di clienti, sebbene tutti siano stati avvisati
• Almeno cinque aziende sono state colpite dalla stessa campagna zero-day di Metabase
• Tutti gli utenti self-hosted di Metabase sulle versioni interessate avrebbero dovuto applicare la patch immediatamente all'inizio di agosto 2026