Framework โดนแฮกข้อมูลลูกค้าทั้งหมดผ่านช่องโหว่ของ Metabase คนร้ายขโมยชื่อ-ที่อยู่-เบอร์โทรศัพท์

เมื่อวันที่ 6 สิงหาคม 2026 Framework Computer ซึ่งเป็นบริษัทผู้ผลิตโน้ตบุ๊กแบบโมดูลาร์ที่ซ่อมเองได้ เริ่มส่งอีเมลแจ้งข่าวร้ายถึงลูกค้าทุกคน: ข้อมูลส่วนตัวของคุณถูกขโมยไปแล้ว การรั่วไหลครั้งนี้ไม่ได้เกิดจากระบบของ Framework โดยตรง แต่เกิดจากผู้ให้บริการซอฟต์แวร์วิเคราะห์ข้อมูลต้นน้ำที่ชื่อ Metabase ซึ่งแฮกเกอร์ใช้ประโยชน์จากช่องโหว่ที่ไม่เคยมีใครรู้มาก่อนที่มีความรุนแรงระดับสูงสุด นี่คือรายละเอียดทั้งหมดที่ Framework เปิดเผย สิ่งที่ถูกขโมย วิธีการโจมตี และสิ่งที่ลูกค้าควรทำต่อไป

ข้อมูลส่วนตัวอะไรบ้างที่ถูกขโมย

Framework ยืนยันว่าแฮกเกอร์เข้าถึงชุดข้อมูลระบุตัวตนส่วนบุคคล (PII) ที่ครอบคลุมของลูกค้าทั้งหมด ข้อมูลที่ถูกขโมยประกอบด้วย:

• ชื่อ-นามสกุล
• ที่อยู่อีเมล
• เบอร์โทรศัพท์
• ที่อยู่ทางกายภาพ/ที่อยู่จัดส่ง
• IP แอดเดรสที่ใช้เข้าสู่ระบบ

สำหรับลูกค้าธุรกิจ ข้อมูลที่ถูกเปิดเผยอาจรวมถึงชื่อบริษัท ตำแหน่งงาน และเบอร์โทรศัพท์ของบริษัทด้วย

สิ่งที่ถูกขโมย ไม่รวมอะไรบ้าง

Framework ระบุอย่างชัดเจนว่า ไม่มีข้อมูลการชำระเงินหรือคำสั่งซื้อ ถูกเข้าถึง หมายเลขบัตรเครดิต รายละเอียดบัญชีการเงิน และประวัติการซื้อไม่ได้รับผลกระทบ นี่คือข้อแตกต่างที่สำคัญ — แม้การรั่วไหลครั้งนี้จะร้ายแรงและทำให้ลูกค้าเสี่ยงต่อการถูกฟิชชิ่งและการโจมตีทางสังคม (social engineering) แต่ข้อมูลบัญชีการเงินยังคงปลอดภัย

ลูกค้าได้รับผลกระทบกี่คน

Framework ระบุว่าได้แจ้งเตือน "ลูกค้าทุกคน" — หมายถึงการรั่วไหลครอบคลุมฐานลูกค้าทั้งหมด อย่างไรก็ตาม Framework ยังไม่ได้เปิดเผยจำนวนที่แน่ชัด ของผู้ได้รับผลกระทบ Eric Schumacher โฆษกของ Framework บอกกับ TechCrunch ว่าการรั่วไหลส่งผลกระทบต่อ "ลูกค้าทุกคน" แต่ปฏิเสธที่จะระบุตัวเลข รายงานหนึ่งประมาณการว่ามีลูกค้าประมาณ 18,000 ราย โดยอิงจากขนาดชุมชนผู้ใช้ของ Framework ที่รู้จัก แต่ตัวเลขนี้ไม่ใช่ตัวเลขอย่างเป็นทางการและอาจต่ำกว่าความเป็นจริงอย่างมาก

ผู้ให้บริการต้นน้ำ: Metabase

Framework โทษการรั่วไหลทั้งหมดไปที่ Metabase แพลตฟอร์ม Business Intelligence (BI) แบบโอเพนซอร์สที่ Framework ใช้ในการจัดเก็บข้อมูลวิเคราะห์ นี่คือการโจมตีห่วงโซ่อุปทาน (supply-chain attack) โดยตรง — ระบบของ Framework ไม่ได้ถูกเจาะโดยตรง แต่ผู้ให้บริการบุคคลที่สามที่ไว้ใจได้ถูกโจมตี

ช่องโหว่: CVE-2026-72898

เวกเตอร์การโจมตีคือ ช่องโหว่ SQL injection แบบไม่ต้องยืนยันตัวตน (unauthenticated) ที่มีความรุนแรงวิกฤต (zero-day) ในซอฟต์แวร์ของ Metabase ลักษณะสำคัญ:

• คะแนน CVSS: 10.0 (ความรุนแรงสูงสุด) — คะแนนสูงสุดที่เป็นไปได้
• รหัส CVE: CVE-2026-72898
• เวอร์ชันที่ได้รับผลกระทบ: Metabase เวอร์ชัน 1.58 ถึง 1.63
• วิธีการโจมตี: ช่องโหว่นี้ทำให้ผู้โจมตีระยะไกลสามารถฉีดคำสั่ง SQL ลงในฐานข้อมูลแอปพลิเคชัน Metabase ผ่านจุดสิ้นสุด /reset_password ทำให้สามารถ เข้าถึงสิทธิ์ผู้ดูแลระบบเต็มรูปแบบ โดยไม่ต้องใช้ข้อมูลประจำตัวใดๆ
• ผลกระทบ: เมื่อแฮกเกอร์ได้สิทธิ์ผู้ดูแลระบบ พวกเขาสามารถขโมยข้อมูลประจำตัวฐานข้อมูลที่เก็บไว้และข้อมูลอื่นๆ ที่เข้าถึงได้ รวมถึงข้อมูลส่วนตัวของลูกค้า (PII)

สิ่งที่ Metabase เปิดเผย

Metabase เปิดเผยเหตุการณ์นี้เมื่อ วันที่ 6 สิงหาคม 2026 โดยเผยให้เห็นว่าแพลตฟอร์ม Metabase Cloud SaaS ถูกบุกรุกผ่านช่องโหว่ที่ไม่เคยรู้จักมาก่อนนี้ ไทม์ไลน์และรายละเอียดสำคัญ:

• 3 สิงหาคม 2026: การโจมตีเกิดขึ้น — สามวันก่อนที่แพตช์จะถูกปล่อยออกมา
• 6 สิงหาคม 2026: Metabase แจ้งลูกค้าที่ได้รับผลกระทบ รวมถึง Framework และผู้ให้บริการฟอร์ม Tally
• 7 สิงหาคม 2026: เหตุการณ์ถูกเปิดเผยสู่สาธารณะ
• แพตช์ฉุกเฉิน: Metabase ปล่อยการแก้ไขสำหรับเวอร์ชัน 1.58+ อินสแตนซ์ที่โฮสต์เอง (self-hosted) ที่รันเวอร์ชัน 1.58 ถึง 1.63 ก็มีความเสี่ยงและต้องอัปเดตทันที

Metabase เตือนว่านอกจากข้อมูลลูกค้าแล้ว ช่องโหว่นี้อาจเปิดเผย ข้อมูลประจำตัวฐานข้อมูลที่เก็บไว้, โทเค็น, คีย์ API และข้อมูลการกำหนดค่าที่ละเอียดอ่อนอื่นๆ จากอินสแตนซ์ที่ได้รับผลกระทบ ซึ่งหมายความว่ารัศมีการระเบิด (blast radius) นั้นกว้างกว่าแค่ข้อมูลลูกค้าที่ Framework กำลังเปิดเผย — ผู้โจมตีสามารถกระโดดจาก Metabase ไปยังระบบอื่นๆ ที่เชื่อมต่ออยู่ได้

บริบทของห่วงโซ่อุปทาน: การโจมตีครั้งใหญ่

Framework ไม่ใช่บริษัทเดียวที่ได้รับผลกระทบ จากการสืบสวนของ Metabase พบว่ามีอย่างน้อยห้าบริษัทที่ยืนยันว่าถูกบุกรุก :

• Framework (7 สิงหาคม) — ข้อมูลส่วนตัวลูกค้าถูกขโมย
• Tally (7 สิงหาคม) — ผู้สร้างฟอร์มออนไลน์; ที่อยู่อีเมลและแฮชรหัสผ่านของลูกค้าถูกเปิดเผย
• n8n (8 สิงหาคม) — แพลตฟอร์มระบบอัตโนมัติ
• Kilo Code / Anaconda (9 สิงหาคม) — แพลตฟอร์มเขียนโค้ด AI
• ChecklyHQ (10 สิงหาคม) — แพลตฟอร์มตรวจสอบ

รูปแบบนี้แสดงให้เห็นว่าช่องโหว่ zero-day ของ Metabase ถูกใช้เป็นอาวุธโจมตีแบบครอบคลุมต่อผู้เช่าคลาวด์หลายราย ไม่ใช่การเจาะจงเป้าหมายที่ Framework เพียงแห่งเดียว

ลูกค้า Framework ควรทำอย่างไร

การแจ้งเตือนอย่างเป็นทางการของ Framework ตามที่สื่อหลายสำนักรายงาน รวมถึงคำแนะนำสำหรับลูกค้า จากประเภทของข้อมูลที่ถูกขโมยและแนวทางปฏิบัติมาตรฐานหลังจากเกิดการรั่วไหล ลูกค้าที่ได้รับผลกระทบควร:

1. ระวังการพยายามฟิชชิ่ง: ผู้โจมตีมีชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ และที่อยู่ที่อยู่แล้ว — ซึ่งเป็นส่วนผสมทั้งหมดสำหรับการทำฟิชชิ่งแบบเจาะจงเป้าหมาย ทางอีเมล SMS หรือแม้แต่จดหมายหลอกลวงทางไปรษณีย์
2. จับตาดูบัญชีต่างๆ ว่ามีกิจกรรมที่น่าสงสัยหรือไม่: IP เข้าสู่ระบบถูกเปิดเผย หากคุณใช้รหัสผ่านซ้ำกับบริการอื่นๆ ควรพิจารณาเปลี่ยนรหัสผ่าน
3. อย่าคลิกลิงก์ในอีเมลที่ไม่คาดคิดเกี่ยวกับการรั่วไหล: ผู้โจมตีมักจะแอบอ้างเป็น Framework หรือบริการด้านความปลอดภัยเพื่อหลอกลวงเหยื่อให้เปิดเผยข้อมูลเพิ่มเติมหรือติดตั้งมัลแวร์
4. ตรวจสอบช่องทางอย่างเป็นทางการของ Framework เท่านั้น: บริษัทกล่าวว่ากำลังทบทวนและปรับปรุงวิธีการจัดเก็บข้อมูล และจะให้ข้อมูลอัปเดตผ่านช่องทางอย่างเป็นทางการ

โฆษกของ Framework บอกกับ TechCrunch ว่าบริษัท "เสียใจอย่างสุดซึ้งต่อการรั่วไหลของข้อมูลในครั้งนี้" และกำลัง "ทบทวนและปรับปรุง" วิธีการจัดเก็บข้อมูล

ข้อควรจำ

• ฐานข้อมูลลูกค้าทั้งหมดของ Framework ถูกบุกรุกผ่านการโจมตีซัพพลายเชนที่ Metabase ไม่ใช่การเจาะระบบโครงสร้างพื้นฐานของ Framework โดยตรง
• ข้อมูลที่ถูกขโมยรวมถึง PII (ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล) แต่ ไม่รวม ข้อมูลการชำระเงินหรือคำสั่งซื้อ
• ช่องโหว่ที่ใช้คือ CVE-2026-72898 ซึ่งเป็น SQL injection แบบไม่ต้องยืนยันตัวตน (CVSS 10.0) ใน Metabase เวอร์ชัน 1.58-1.63
• Framework ยังไม่ได้เปิดเผยจำนวนลูกค้าที่แน่ชัด แต่ลูกค้าทุกคนได้รับการแจ้งเตือน
• อย่างน้อยห้าบริษัทได้รับผลกระทบจากการโจมตี zero-day ของ Metabase ครั้งนี้
• ผู้ใช้ Metabase แบบ self-hosted ทุกคนที่ใช้เวอร์ชันที่ได้รับผลกระทบควรรีบอัปเดตทันทีตั้งแต่ต้นเดือนสิงหาคม 2026