Framework、全顧客の個人情報が流出——原因はBIツール「Metabase」の致命的なゼロデイ脆弱性

盗まれなかった情報

Frameworkは、支払い情報や注文情報には一切アクセスされていないと明言しています。クレジットカード番号、金融口座の詳細、購入履歴は影響を受けていません。これは重要な違いです。この漏洩は深刻で、フィッシングやソーシャル・エンジニアリングのリスクを高めるものですが、金融口座のデータは安全です。

影響を受けた顧客数

Frameworkは「全顧客」に通知したと述べており、つまり顧客ベース全体が影響を受けたことになります。しかし、Frameworkは影響を受けた正確な人数を公表していません。同社の広報担当者Eric Schumacher氏はTechCrunchに対し、影響は「全顧客」に及んだが、具体的な人数は明かさないと述べています。ある報道では、Frameworkの既知のユーザーコミュニティの規模から約18,000人の顧客が影響を受けたと推定していますが、これは非公式の数字であり、大幅に過小評価されている可能性があります。

上流ベンダー：Metabase

Frameworkは、この情報漏洩の原因を完全にMetabaseのせいにしています。Metabaseは、Frameworkが分析データをホストするために使用していたオープンソースのビジネスインテリジェンス（BI）プラットフォームです。これは典型的なサプライチェーン攻撃です。Framework自身のシステムが直接侵害されたのではなく、信頼していたサードパーティベンダーが攻撃されたのです。

脆弱性：CVE-2026-72898

攻撃ベクトルは、Metabaseのソフトウェアにおける認証不要の重大なSQLインジェクションのゼロデイ脆弱性でした。主な特徴は以下の通りです：

• CVSSスコア：10.0（最大深刻度）——可能な限り最高の評価
• CVE ID：CVE-2026-72898
• 影響を受けるバージョン：Metabaseバージョン1.58から1.63
• 攻撃方法：この脆弱性により、リモートの攻撃者は/reset_passwordエンドポイントを通じてMetabaseアプリケーションデータベースに任意のSQLを注入し、資格情報なしで完全な管理者アクセスを取得できました
• 影響：攻撃者は管理者アクセスを獲得すると、保存されたデータベース資格情報や顧客のPIIを含むアクセス可能なすべてのデータを盗むことができました

Metabase自身の開示内容

Metabaseは2026年8月6日にこのインシデントを開示し、自社のMetabase Cloud SaaSプラットフォームが、このこれまで知られていなかった脆弱性を介して侵害されたことを明らかにしました。主なタイムラインと詳細は以下の通りです：

• 2026年8月3日：攻撃が発生——パッチがリリースされる3日前
• 2026年8月6日：Metabaseが影響を受けたクラウドテナント（FrameworkやフォームプロバイダーのTallyを含む）に通知
• 2026年8月7日：インシデントが公になる
• 緊急パッチ：Metabaseはバージョン1.58以降の修正プログラムをリリース。セルフホスト環境でバージョン1.58から1.63を実行している場合も脆弱であり、即座にアップデートが必要でした

Metabaseは、顧客データに加えて、この脆弱性によって保存されたデータベース資格情報、トークン、APIキー、その他の機密設定データが露出する可能性があると警告しました。これは、Frameworkが開示している顧客データだけでなく、攻撃者がMetabaseから他の接続されたシステムに侵入する可能性があることを意味します。

サプライチェーンの状況：より広範なキャンペーン

影響を受けたのはFrameworkだけではありません。Metabaseの調査が進むにつれて、少なくとも5社が侵害を公に確認しました：

• Framework（8月7日）——顧客のPIIが盗まれた
• Tally（8月7日）——フォームビルダー；顧客のメールアドレスとパスワードのハッシュが露出
• n8n（8月8日）——ワークフロー自動化プラットフォーム
• Kilo Code / Anaconda（8月9日）——AIコーディングプラットフォーム
• ChecklyHQ（8月10日）——監視プラットフォーム

このパターンは、Metabaseのゼロデイ脆弱性がFrameworkを標的にしたものではなく、複数のクラウドテナントに対する汎用的な攻撃として悪用されたことを示しています。

Frameworkの顧客が取るべき対策

複数のメディアが報じたFrameworkの公式通知には、顧客向けのガイダンスが含まれていました。盗まれたデータの種類と標準的なインシデント対応の慣行に基づき、影響を受けた顧客は以下の対策を取るべきです：

1. フィッシング詐欺に警戒する：攻撃者は現在、氏名、メールアドレス、電話番号、住所を入手しています。これらは、高度に標的化されたフィッシングメール、SMS、あるいは物理的な郵便詐欺の材料となります。
2. アカウントの不審な活動を監視する：ログインIPアドレスが流出しました。もし他のサービスでパスワードを使い回している場合は、変更を検討してください。
3. 情報漏洩に関する不審なメールのリンクをクリックしない：攻撃者はFrameworkやセキュリティサービスを装い、さらなる情報を引き出したり、マルウェアをインストールさせようとする可能性があります。
4. Frameworkの公式発表のみを確認する：同社はデータ保存方法を見直し、改善していると述べており、公式チャネルを通じて最新情報を提供するとしています。

Frameworkの広報担当者はTechCrunchに対し、「この情報漏洩について深くお詫び申し上げます」と述べ、「データ保存方法を見直し、改善している」と語っています。

重要なポイント

• Frameworkの全顧客データベースは、Metabaseを介したサプライチェーン攻撃により侵害されたものであり、Framework自身のインフラが直接侵害されたわけではない
• 盗まれたデータにはPII（氏名、住所、電話番号、メールアドレス）が含まれるが、支払い情報や注文情報は含まれない
• 使用された脆弱性はCVE-2026-72898であり、Metabaseバージョン1.58～1.63におけるCVSS 10.0の認証前SQLインジェクションである
• Frameworkは正確な顧客数を明らかにしていないが、全顧客に通知済みである
• 同じMetabaseのゼロデイキャンペーンにより、少なくとも5社が影響を受けた
• 影響を受けるバージョンのMetabaseをセルフホストしているユーザーは、2026年8月上旬に速やかにパッチを適用する必要があった