• Pełne imiona i nazwiska
• Adresy e-mail
• Numery telefonów
• Adresy fizyczne/wysyłkowe
• Adresy IP logowania

W przypadku klientów biznesowych wyciek mógł również objąć nazwy firm, stanowiska i służbowe numery telefonów .

Czego NIE skradziono

Framework wyraźnie podkreślił, że nie wyciekły żadne dane płatnicze ani informacje o zamówieniach. Numery kart kredytowych, dane kont finansowych i historia zakupów nie zostały naruszone . To ważne rozróżnienie – choć wyciek jest poważny i naraża klientów na phishing oraz ataki socjotechniczne, dane finansowe pozostają bezpieczne.

Ilu klientów zostało dotkniętych

Framework poinformował, że powiadomił „wszystkich klientów” – co oznacza, że wyciek dotknął całą bazę . Firma nie podała jednak publicznie dokładnej liczby poszkodowanych. Rzecznik Frameworku, Eric Schumacher, powiedział TechCrunch, że wyciek dotknął „wszystkich klientów”, ale odmówił podania konkretnej liczby . Jeden z raportów oszacował liczbę poszkodowanych na około 18 000 klientów, bazując na znanej wielkości społeczności użytkowników Frameworku, ale nie jest to oficjalna liczba i może być znacząco zaniżona .

Dostawca zewnętrzny: Metabase

Framework wini za wyciek w całości Metabase, platformę business intelligence (BI) o otwartym kodzie źródłowym, której Framework używał do hostowania swoich danych analitycznych . To klasyczny atak na łańcuch dostaw – systemy samego Frameworku nie zostały bezpośrednio naruszone, ale jego zaufany zewnętrzny dostawca już tak.

Luka: CVE-2026-72898

Wektor ataku stanowiła krytyczna, nieuwierzytelniona luka SQL injection typu zero-day w oprogramowaniu Metabase . Kluczowe cechy:

• Wynik CVSS: 10.0 (maksymalna dotkliwość) – najwyższa możliwa ocena
• Identyfikator CVE: CVE-2026-72898
• Dotknięte wersje: Metabase w wersjach od 1.58 do 1.63
• Metoda ataku: Exploit pozwalał zdalnemu atakującemu na wstrzyknięcie dowolnego kodu SQL do bazy danych aplikacji Metabase przez endpoint /reset_password, co dawało pełny dostęp administratora bez żadnych poświadczeń
• Konsekwencje: Po uzyskaniu dostępu administratora atakujący mogli wykraść przechowywane dane uwierzytelniające do baz danych i wszelkie dostępne dane, w tym dane osobowe klientów

Co ujawniło samo Metabase

Metabase ujawniło incydent 6 sierpnia 2026 roku, informując, że jego platforma Metabase Cloud SaaS została skompromitowana poprzez tę nieznaną wcześniej lukę . Kluczowe daty i szczegóły:

• 3 sierpnia 2026: Doszło do ataku – trzy dni przed wydaniem łatki
• 6 sierpnia 2026: Metabase powiadomiło dotkniętych klientów chmurowych, w tym Framework i dostawcę formularzy Tally
• 7 sierpnia 2026: Incydenty trafiły do opinii publicznej
• Awaryjna łatka: Metabase wydało poprawki dla wersji 1.58+. Samodzielnie hostowane instalacje w wersjach od 1.58 do 1.63 również były podatne i wymagały natychmiastowej aktualizacji

Metabase ostrzegło, że poza danymi klientów exploit mógł ujawnić przechowywane dane uwierzytelniające do baz danych, tokeny, klucze API i inne wrażliwe dane konfiguracyjne z dotkniętych instancji . Oznacza to, że zasięg ataku był szerszy niż tylko dane klientów, które ujawnia Framework – atakujący mogli potencjalnie przejść z Metabase do innych połączonych systemów.

Kontekst łańcucha dostaw: Szersza kampania

Framework nie był jedyną dotkniętą firmą. W miarę rozwoju śledztwa Metabase co najmniej pięć firm publicznie potwierdziło, że padło ofiarą ataku :

• Framework (7 sierpnia) – kradzież danych osobowych klientów
• Tally (7 sierpnia) – platforma do budowania formularzy; ujawniono adresy e-mail i hashe haseł klientów
• n8n (8 sierpnia) – platforma do automatyzacji przepływów pracy
• Kilo Code / Anaconda (9 sierpnia) – platforma AI do kodowania
• ChecklyHQ (10 sierpnia) – platforma monitorująca

Ten wzór pokazuje, że luka zero-day w Metabase została wykorzystana jako uniwersalne narzędzie ataku na wielu klientów chmurowych, a nie był to atak wymierzony konkretnie we Framework.

Co powinni zrobić klienci Frameworku

Oficjalne powiadomienie Frameworku, cytowane przez wiele mediów, zawierało zalecenia dla klientów. Bazując na typie skradzionych danych i standardowych praktykach reagowania na wycieki, poszkodowani klienci powinni:

1. Uważać na próby phishingu: Atakujący mają teraz imiona, nazwiska, adresy e-mail, numery telefonów i adresy fizyczne – wszystkie składniki niezbędne do wysoce spersonalizowanych ataków phishingowych, SMS-owych, a nawet korespondencyjnych
2. Monitorować konta pod kątem podejrzanej aktywności: Adresy IP logowania zostały ujawnione; jeśli używałeś tego samego hasła w innych serwisach, rozważ jego zmianę
3. Nie klikać w linki w nieoczekiwanych e-mailach dotyczących wycieku: Atakujący prawdopodobnie będą podszywać się pod Framework lub firmy ochroniarskie, aby wyłudzić więcej informacji lub zainstalować złośliwe oprogramowanie
4. Korzystać tylko z oficjalnych kanałów komunikacji Frameworku: Firma poinformowała, że analizuje i ulepsza swoje metody przechowywania danych oraz będzie udzielać aktualizacji za pośrednictwem oficjalnych kanałów

Rzecznik Frameworku powiedział TechCrunch, że firma jest „głęboko zasmucona tym wyciekiem danych” i „analizuje i ulepsza” swoją metodologię przechowywania danych .

Kluczowe wnioski

• Cała baza klientów Frameworku została skompromitowana w wyniku ataku na łańcuch dostaw Metabase, a nie bezpośredniego włamania do infrastruktury Frameworku
• Skradzione dane obejmują dane osobowe (imiona, nazwiska, adresy, numery telefonów, e-maile), ale nie dane płatnicze ani informacje o zamówieniach
• Użyta luka to CVE-2026-72898, SQL injection z oceną CVSS 10.0 w Metabase w wersjach 1.58-1.63
• Framework nie ujawnił dokładnej liczby klientów, choć wszyscy zostali powiadomieni
• Co najmniej pięć firm padło ofiarą tej samej kampanii wykorzystującej lukę zero-day w Metabase
• Wszyscy użytkownicy samodzielnie hostowanego Metabase w dotkniętych wersjach powinni byli natychmiast zainstalować łatki na początku sierpnia 2026

• Pełne imiona i nazwiska
• Adresy e-mail
• Numery telefonów
• Adresy fizyczne/wysyłkowe
• Adresy IP logowania

W przypadku klientów biznesowych wyciek mógł również objąć nazwy firm, stanowiska i służbowe numery telefonów .

Czego NIE skradziono

Framework wyraźnie podkreślił, że nie wyciekły żadne dane płatnicze ani informacje o zamówieniach. Numery kart kredytowych, dane kont finansowych i historia zakupów nie zostały naruszone . To ważne rozróżnienie – choć wyciek jest poważny i naraża klientów na phishing oraz ataki socjotechniczne, dane finansowe pozostają bezpieczne.

Ilu klientów zostało dotkniętych

Framework poinformował, że powiadomił „wszystkich klientów” – co oznacza, że wyciek dotknął całą bazę . Firma nie podała jednak publicznie dokładnej liczby poszkodowanych. Rzecznik Frameworku, Eric Schumacher, powiedział TechCrunch, że wyciek dotknął „wszystkich klientów”, ale odmówił podania konkretnej liczby . Jeden z raportów oszacował liczbę poszkodowanych na około 18 000 klientów, bazując na znanej wielkości społeczności użytkowników Frameworku, ale nie jest to oficjalna liczba i może być znacząco zaniżona .

Dostawca zewnętrzny: Metabase

Framework wini za wyciek w całości Metabase, platformę business intelligence (BI) o otwartym kodzie źródłowym, której Framework używał do hostowania swoich danych analitycznych . To klasyczny atak na łańcuch dostaw – systemy samego Frameworku nie zostały bezpośrednio naruszone, ale jego zaufany zewnętrzny dostawca już tak.

Luka: CVE-2026-72898

Wektor ataku stanowiła krytyczna, nieuwierzytelniona luka SQL injection typu zero-day w oprogramowaniu Metabase . Kluczowe cechy:

• Wynik CVSS: 10.0 (maksymalna dotkliwość) – najwyższa możliwa ocena
• Identyfikator CVE: CVE-2026-72898
• Dotknięte wersje: Metabase w wersjach od 1.58 do 1.63
• Metoda ataku: Exploit pozwalał zdalnemu atakującemu na wstrzyknięcie dowolnego kodu SQL do bazy danych aplikacji Metabase przez endpoint /reset_password, co dawało pełny dostęp administratora bez żadnych poświadczeń
• Konsekwencje: Po uzyskaniu dostępu administratora atakujący mogli wykraść przechowywane dane uwierzytelniające do baz danych i wszelkie dostępne dane, w tym dane osobowe klientów

Co ujawniło samo Metabase

Metabase ujawniło incydent 6 sierpnia 2026 roku, informując, że jego platforma Metabase Cloud SaaS została skompromitowana poprzez tę nieznaną wcześniej lukę . Kluczowe daty i szczegóły:

• 3 sierpnia 2026: Doszło do ataku – trzy dni przed wydaniem łatki
• 6 sierpnia 2026: Metabase powiadomiło dotkniętych klientów chmurowych, w tym Framework i dostawcę formularzy Tally
• 7 sierpnia 2026: Incydenty trafiły do opinii publicznej
• Awaryjna łatka: Metabase wydało poprawki dla wersji 1.58+. Samodzielnie hostowane instalacje w wersjach od 1.58 do 1.63 również były podatne i wymagały natychmiastowej aktualizacji

Metabase ostrzegło, że poza danymi klientów exploit mógł ujawnić przechowywane dane uwierzytelniające do baz danych, tokeny, klucze API i inne wrażliwe dane konfiguracyjne z dotkniętych instancji . Oznacza to, że zasięg ataku był szerszy niż tylko dane klientów, które ujawnia Framework – atakujący mogli potencjalnie przejść z Metabase do innych połączonych systemów.

Kontekst łańcucha dostaw: Szersza kampania

Framework nie był jedyną dotkniętą firmą. W miarę rozwoju śledztwa Metabase co najmniej pięć firm publicznie potwierdziło, że padło ofiarą ataku :

• Framework (7 sierpnia) – kradzież danych osobowych klientów
• Tally (7 sierpnia) – platforma do budowania formularzy; ujawniono adresy e-mail i hashe haseł klientów
• n8n (8 sierpnia) – platforma do automatyzacji przepływów pracy
• Kilo Code / Anaconda (9 sierpnia) – platforma AI do kodowania
• ChecklyHQ (10 sierpnia) – platforma monitorująca

Ten wzór pokazuje, że luka zero-day w Metabase została wykorzystana jako uniwersalne narzędzie ataku na wielu klientów chmurowych, a nie był to atak wymierzony konkretnie we Framework.

Co powinni zrobić klienci Frameworku

Oficjalne powiadomienie Frameworku, cytowane przez wiele mediów, zawierało zalecenia dla klientów. Bazując na typie skradzionych danych i standardowych praktykach reagowania na wycieki, poszkodowani klienci powinni:

1. Uważać na próby phishingu: Atakujący mają teraz imiona, nazwiska, adresy e-mail, numery telefonów i adresy fizyczne – wszystkie składniki niezbędne do wysoce spersonalizowanych ataków phishingowych, SMS-owych, a nawet korespondencyjnych
2. Monitorować konta pod kątem podejrzanej aktywności: Adresy IP logowania zostały ujawnione; jeśli używałeś tego samego hasła w innych serwisach, rozważ jego zmianę
3. Nie klikać w linki w nieoczekiwanych e-mailach dotyczących wycieku: Atakujący prawdopodobnie będą podszywać się pod Framework lub firmy ochroniarskie, aby wyłudzić więcej informacji lub zainstalować złośliwe oprogramowanie
4. Korzystać tylko z oficjalnych kanałów komunikacji Frameworku: Firma poinformowała, że analizuje i ulepsza swoje metody przechowywania danych oraz będzie udzielać aktualizacji za pośrednictwem oficjalnych kanałów

Rzecznik Frameworku powiedział TechCrunch, że firma jest „głęboko zasmucona tym wyciekiem danych” i „analizuje i ulepsza” swoją metodologię przechowywania danych .

Kluczowe wnioski

• Cała baza klientów Frameworku została skompromitowana w wyniku ataku na łańcuch dostaw Metabase, a nie bezpośredniego włamania do infrastruktury Frameworku
• Skradzione dane obejmują dane osobowe (imiona, nazwiska, adresy, numery telefonów, e-maile), ale nie dane płatnicze ani informacje o zamówieniach
• Użyta luka to CVE-2026-72898, SQL injection z oceną CVSS 10.0 w Metabase w wersjach 1.58-1.63
• Framework nie ujawnił dokładnej liczby klientów, choć wszyscy zostali powiadomieni
• Co najmniej pięć firm padło ofiarą tej samej kampanii wykorzystującej lukę zero-day w Metabase
• Wszyscy użytkownicy samodzielnie hostowanego Metabase w dotkniętych wersjach powinni byli natychmiast zainstalować łatki na początku sierpnia 2026