Vazamento de Dados na Framework em 2026: O Que Aconteceu, o Que Foi Roubado e o Que Você Precisa Saber

A Framework afirmou explicitamente que nenhuma informação de pagamento ou pedido foi acessada. Números de cartão de crédito, detalhes de contas financeiras e histórico de compras não foram afetados . Esta é uma distinção importante — embora o vazamento seja grave e exponha os clientes a riscos de phishing e engenharia social, os dados financeiros permanecem seguros.

Quantos Clientes Foram Impactados

A Framework afirmou ter notificado "todos os clientes" — o que significa que o vazamento atingiu toda a sua base de clientes . No entanto, a Framework não divulgou publicamente o número exato de pessoas afetadas. O porta-voz da empresa, Eric Schumacher, disse ao TechCrunch que o vazamento afetou "todos os clientes", mas se recusou a especificar um número . Um relatório estimou cerca de 18.000 clientes com base no tamanho conhecido da comunidade de usuários da Framework, mas este não é um número oficial e pode ser uma subestimativa significativa .

O Fornecedor Upstream: Metabase

A Framework atribuiu o vazamento inteiramente à Metabase, a plataforma de inteligência empresarial (BI) de código aberto que a Framework usava para hospedar seus dados de análise . Este é um ataque clássico à cadeia de suprimentos — os sistemas da Framework não foram invadidos diretamente, mas um fornecedor terceirizado de confiança foi.

A Vulnerabilidade: CVE-2026-72898

O vetor de ataque foi uma vulnerabilidade crítica de injeção de SQL não autenticada (zero-day) no software da Metabase . Principais características:

• Pontuação CVSS: 10.0 (gravidade máxima) — a classificação mais alta possível
• ID CVE: CVE-2026-72898
• Versões afetadas: Metabase versões 1.58 a 1.63
• Método de ataque: A exploração permitia que um invasor remoto injetasse SQL arbitrário no banco de dados do aplicativo Metabase por meio do endpoint /reset_password, concedendo acesso total de administrador sem quaisquer credenciais
• Impacto: Uma vez que um invasor obtinha acesso de admin, ele podia roubar credenciais de banco de dados armazenadas e quaisquer dados acessíveis, incluindo PII de clientes

O Que a Própria Metabase Divulgou

A Metabase divulgou o incidente em 6 de agosto de 2026, revelando que sua plataforma Metabase Cloud SaaS havia sido comprometida por meio desta vulnerabilidade anteriormente desconhecida . Principais detalhes da linha do tempo:

• 3 de agosto de 2026: A exploração ocorreu — três dias antes do patch ser lançado
• 6 de agosto de 2026: A Metabase notificou os inquilinos da nuvem afetados, incluindo a Framework e o provedor de formulários Tally
• 7 de agosto de 2026: Os incidentes se tornaram públicos
• Patch de emergência: A Metabase lançou correções para as versões 1.58+. Instâncias auto-hospedadas executando as versões 1.58 a 1.63 também estavam vulneráveis e exigiam atualização imediata

A Metabase alertou que, além dos dados de clientes, a exploração poderia expor credenciais de banco de dados armazenadas, tokens, chaves de API e outros dados de configuração confidenciais de instâncias afetadas . Isso significa que o raio de alcance foi além apenas dos dados de clientes que a Framework está divulgando — os atacantes poderiam potencialmente passar da Metabase para outros sistemas conectados.

Contexto da Cadeia de Suprimentos: Uma Campanha Mais Ampla

A Framework não foi a única empresa afetada. À medida que a investigação da Metabase se desenrolava, pelo menos cinco empresas confirmaram publicamente que foram comprometidas :

• Framework (7 de agosto) — PII de clientes roubados
• Tally (7 de agosto) — construtor de formulários; endereços de e-mail e hashes de senhas de clientes expostos
• n8n (8 de agosto) — plataforma de automação de fluxo de trabalho
• Kilo Code / Anaconda (9 de agosto) — plataforma de codificação de IA
• ChecklyHQ (10 de agosto) — plataforma de monitoramento

Esse padrão mostra que o zero-day da Metabase foi explorado como um ataque de propósito geral contra vários inquilinos da nuvem, e não um vazamento direcionado especificamente à Framework.

O Que os Clientes da Framework Devem Fazer

A notificação oficial da Framework, conforme relatado por vários veículos, incluiu orientações para os clientes. Com base nos tipos de dados roubados e nas práticas padrão de resposta a vazamentos, os clientes afetados devem:

1. Ficar atentos a tentativas de phishing: Os atacantes agora têm nomes, endereços de e-mail, números de telefone e endereços físicos — todos os ingredientes para e-mails de phishing altamente direcionados, mensagens SMS ou até mesmo golpes por correspondência física
2. Monitorar contas em busca de atividades suspeitas: Endereços IP de login foram expostos; se você reutilizou senhas em outros serviços, considere alterá-las
3. Não clicar em links em e-mails inesperados sobre o vazamento: Os atacantes provavelmente se passarão pela Framework ou por serviços de segurança para enganar as vítimas e fazê-las revelar mais informações ou instalar malware
4. Verificar apenas as comunicações oficiais da Framework: A empresa disse que está revisando e melhorando sua metodologia de armazenamento de dados e fornecerá atualizações por meio de seus canais oficiais

O porta-voz da Framework disse ao TechCrunch que a empresa "lamenta profundamente este vazamento de informações" e está "revisando e melhorando" sua metodologia de armazenamento de dados .

Principais Conclusões

• Todo o banco de dados de clientes da Framework foi comprometido por meio de um ataque à cadeia de suprimentos na Metabase, e não por uma invasão direta à infraestrutura da própria Framework
• Os dados roubados incluem PII (nomes, endereços, telefones, e-mails), mas não informações de pagamento ou pedido
• A vulnerabilidade usada foi a CVE-2026-72898, uma injeção de SQL de pré-autenticação CVSS 10.0 no Metabase versões 1.58-1.63
• A Framework não divulgou números exatos de clientes, embora todos os clientes tenham sido notificados
• Pelo menos cinco empresas foram afetadas pela mesma campanha de zero-day do Metabase
• Todos os usuários do Metabase auto-hospedados em versões afetadas devem ter aplicado o patch imediatamente no início de agosto de 2026