Витік даних Framework 2026: що сталося, що вкрали та що робити клієнтам

6 серпня 2026 року компанія Framework Computer, відома своїми модульними ноутбуками, розіслала всім клієнтам листи з тривожною новиною: їхні персональні дані викрадено. Витік стався не через власні системи Framework, а через постачальника аналітики Metabase, де зловмисники скористалися раніше невідомою вразливістю максимального рівня критичності. Ось повний розбір того, що стало відомо з розслідування.

Яку саме інформацію викрадено

Framework підтвердив, що зловмисники отримали доступ до широкого набору персональних даних (PII) усіх клієнтів . Викрадена інформація включає:

• Повні імена
• Адреси електронної пошти
• Номери телефонів
• Фізичні адреси (доставки)
• IP-адреси для входу

Для корпоративних клієнтів додатково могли бути скомпрометовані назви компаній, посади та службові номери телефонів .

Що НЕ було викрадено

Framework наголошує, що інформація про платежі та замовлення не постраждала. Номери кредитних карток, банківські реквізити та історія покупок залишилися в безпеці . Це важливе уточнення: хоча витік серйозний і підвищує ризик фішингових атак, фінансові дані клієнтів не скомпрометовано.

Скільки клієнтів постраждало

Framework повідомив, що сповістив "усіх клієнтів", тобто витік торкнувся всієї клієнтської бази . Однак компанія не оприлюднила точну кількість постраждалих. Представник Framework Ерік Шумахер у коментарі TechCrunch підтвердив, що витік зачепив "усіх клієнтів", але відмовився називати цифру . Деякі джерела оцінюють кількість постраждалих приблизно в 18 000 на основі відомого розміру спільноти, але це неофіційна оцінка, яка може бути значно заниженою .

Постачальник Metabase: як відбулася атака

Framework покладає відповідальність за витік на Metabase — платформу бізнес-аналітики з відкритим кодом, яку Framework використовував для аналітики . Це класична атака на ланцюг постачання: власні системи Framework не були зламані безпосередньо, але постраждав довірений сторонній постачальник.

Вразливість: CVE-2026-72898

Вектором атаки стала критична SQL-ін'єкція без автентифікації (zero-day) у програмному забезпеченні Metabase . Ключові характеристики:

• Оцінка CVSS: 10.0 (максимальна критичність)
• Ідентифікатор CVE: CVE-2026-72898
• Уражені версії: Metabase 1.58 – 1.63
• Метод атаки: Експлойт дозволяв віддаленому зловмиснику виконувати довільний SQL-код у базі даних Metabase через кінцеву точку /reset_password, отримуючи повний доступ адміністратора без жодних облікових даних
• Наслідки: Отримавши права адміністратора, зловмисник міг викрасти збережені облікові дані баз даних та будь-які доступні дані, включаючи PII клієнтів

Що повідомив Metabase

Metabase розкрив інформацію про інцидент 6 серпня 2026 року, підтвердивши, що його хмарна платформа Metabase Cloud була скомпрометована через цю раніше невідому вразливість . Ключові дати та події:

• 3 серпня 2026 року: Відбулася експлуатація вразливості — за три дні до виходу патча
• 6 серпня 2026 року: Metabase повідомив постраждалих клієнтів хмари, включаючи Framework та Tally
• 7 серпня 2026 року: Інформація стала публічною
• Екстрений патч: Metabase випустив виправлення для версій 1.58+. Інсталяції, що самостійно розміщуються, на версіях 1.58–1.63 також були вразливими та потребували негайного оновлення

Metabase попередив, що, крім даних клієнтів, експлойт міг викрити збережені облікові дані баз даних, токени, API-ключі та інші конфігураційні дані . Це означає, що радіус ураження був ширшим, ніж просто дані, про які повідомляє Framework — зловмисники могли перейти з Metabase до інших підключених систем.

Атака на ланцюг постачання: ширша кампанія

Framework не була єдиною постраждалою компанією. У ході розслідування Metabase щонайменше п'ять компаній публічно підтвердили, що зазнали атаки :

• Framework (7 серпня) — викрадено PII клієнтів
• Tally (7 серпня) — конструктор форм; викрито адреси електронної пошти та хеші паролів
• n8n (8 серпня) — платформа автоматизації робочих процесів
• Kilo Code / Anaconda (9 серпня) — AI-платформа для кодування
• ChecklyHQ (10 серпня) — платформа моніторингу

Це свідчить про те, що zero-day вразливість Metabase використовувалася як загальний інструмент для атак на кількох клієнтів хмари, а не була цільовою атакою саме на Framework.

Що робити клієнтам Framework

Офіційне повідомлення Framework, оприлюднене кількома виданнями, містило рекомендації для клієнтів. З огляду на тип викрадених даних та стандартні практики реагування, постраждалим клієнтам варто:

1. Остерігатися фішингу: Зловмисники мають імена, адреси, номери телефонів та фізичні адреси — все необхідне для високоточних фішингових листів, SMS або навіть поштових шахрайств
2. Перевіряти облікові записи на підозрілу активність: IP-адреси для входу викрадено; якщо ви використовували той самий пароль на інших сервісах, змініть його
3. Не переходьте за посиланнями в несподіваних листах про витік: Зловмисники, найімовірніше, видаватимуть себе за Framework або служби безпеки, щоб виманити більше інформації або встановити шкідливе ПЗ
4. Користуйтеся лише офіційними каналами Framework: Компанія заявила, що переглядає та вдосконалює методи зберігання даних і надаватиме оновлення через офіційні канали

Представник Framework у коментарі TechCrunch висловив "глибокий жаль через цей витік інформації" та запевнив, що компанія "переглядає та вдосконалює" методологію зберігання даних .

Ключові висновки

• Уся клієнтська база Framework скомпрометована через атаку на ланцюг постачання через Metabase, а не через прямий злам інфраструктури Framework
• Викрадено PII (імена, адреси, номери телефонів, електронні пошти), але не платіжні дані або інформацію про замовлення
• Використана вразливість: CVE-2026-72898, CVSS 10.0, SQL-ін'єкція без автентифікації в Metabase версій 1.58-1.63
• Framework не розкрила точну кількість постраждалих клієнтів, хоча повідомлення отримали всі
• Щонайменше п'ять компаній постраждали від тієї ж кампанії через zero-day Metabase
• Усі користувачі Metabase на уражених версіях мали негайно встановити патч на початку серпня 2026 року