Framework bị rò rỉ dữ liệu khách hàng 2026: Toàn bộ thông tin cá nhân bị đánh cắp qua lỗ hổng zero-day từ đối tác Metabase

Dữ liệu nào KHÔNG bị đánh cắp?

Framework khẳng định rõ ràng rằng không có thông tin thanh toán hoặc đơn hàng nào bị truy cập. Số thẻ tín dụng, chi tiết tài khoản ngân hàng và lịch sử mua hàng không bị ảnh hưởng . Đây là một điểm khác biệt quan trọng – mặc dù vụ việc rất nghiêm trọng và khiến khách hàng đối mặt với nguy cơ bị lừa đảo qua email, tin nhắn (phishing) hoặc các chiêu trò xã hội, nhưng thông tin tài chính vẫn an toàn.

Có bao nhiêu khách hàng bị ảnh hưởng?

Framework tuyên bố đã thông báo tới "toàn bộ khách hàng" – điều này có nghĩa là vụ vi phạm đã ảnh hưởng đến toàn bộ danh sách khách hàng của họ . Tuy nhiên, Framework không công bố công khai con số chính xác về số người bị ảnh hưởng. Người phát ngôn của công ty, Eric Schumacher, nói với TechCrunch rằng vụ rò rỉ ảnh hưởng đến "toàn bộ khách hàng" nhưng từ chối đưa ra con số cụ thể . Một báo cáo ước tính khoảng 18.000 khách hàng dựa trên quy mô cộng đồng người dùng đã biết của Framework, nhưng đây không phải là con số chính thức và có thể bị đánh giá thấp hơn nhiều .

Nhà cung cấp trung gian: Metabase

Framework đổ lỗi hoàn toàn cho vụ vi phạm này là do Metabase – nền tảng thông minh kinh doanh (BI) mã nguồn mở mà Framework sử dụng để lưu trữ dữ liệu phân tích . Đây là một vụ tấn công chuỗi cung ứng điển hình – hệ thống của chính Framework không bị xâm nhập trực tiếp, nhưng một bên thứ ba đáng tin cậy đã bị tấn công.

Lỗ hổng: CVE-2026-72898

Phương thức tấn công là một lỗ hổng SQL injection zero-day chưa được xác thực, cực kỳ nguy hiểm trong phần mềm của Metabase . Các đặc điểm chính:

• Điểm CVSS: 10.0 (mức độ nghiêm trọng tối đa) – điểm số cao nhất có thể
• Mã CVE: CVE-2026-72898
• Phiên bản bị ảnh hưởng: Metabase phiên bản 1.58 đến 1.63
• Phương pháp tấn công: Lỗ hổng cho phép tin tặc từ xa thực thi mã SQL tùy ý vào cơ sở dữ liệu ứng dụng Metabase thông qua điểm cuối /reset_password, qua đó giành được quyền truy cập quản trị viên toàn quyền mà không cần bất kỳ thông tin xác thực nào
• Hậu quả: Sau khi có quyền quản trị, tin tặc có thể đánh cắp thông tin đăng nhập cơ sở dữ liệu đã lưu trữ và bất kỳ dữ liệu nào có thể truy cập, bao gồm cả PII của khách hàng

Metabase đã tiết lộ điều gì?

Metabase đã tiết lộ sự cố vào ngày 6 tháng 8 năm 2026, thông báo rằng nền tảng Metabase Cloud SaaS của họ đã bị xâm phạm thông qua lỗ hổng chưa từng được biết đến này . Dòng thời gian và chi tiết chính:

• Ngày 3 tháng 8 năm 2026: Cuộc khai thác diễn ra – ba ngày trước khi bản vá được phát hành
• Ngày 6 tháng 8 năm 2026: Metabase thông báo cho các khách hàng cloud bị ảnh hưởng, bao gồm Framework và nhà cung cấp biểu mẫu Tally
• Ngày 7 tháng 8 năm 2026: Sự việc trở nên công khai
• Bản vá khẩn cấp: Metabase đã phát hành bản sửa lỗi cho các phiên bản 1.58+. Các phiên bản tự lưu trữ (self-hosted) từ 1.58 đến 1.63 cũng bị ảnh hưởng và yêu cầu cập nhật ngay lập tức

Metabase cảnh báo rằng, ngoài dữ liệu khách hàng, lỗ hổng có thể làm lộ thông tin đăng nhập cơ sở dữ liệu, token, khóa API và các dữ liệu cấu hình nhạy cảm khác từ các phiên bản bị ảnh hưởng . Điều này có nghĩa là phạm vi ảnh hưởng vượt xa dữ liệu khách hàng mà Framework đang tiết lộ – tin tặc có thể chuyển từ Metabase sang các hệ thống được kết nối khác.

Bối cảnh tấn công chuỗi cung ứng: Một chiến dịch rộng lớn hơn

Framework không phải là công ty duy nhất bị ảnh hưởng. Khi cuộc điều tra của Metabase diễn ra, ít nhất năm công ty đã công khai xác nhận bị xâm phạm :

• Framework (7 tháng 8) – PII khách hàng bị đánh cắp
• Tally (7 tháng 8) – nền tảng tạo biểu mẫu; email và mật khẩu băm của khách hàng bị lộ
• n8n (8 tháng 8) – nền tảng tự động hóa quy trình làm việc
• Kilo Code / Anaconda (9 tháng 8) – nền tảng mã hóa AI
• ChecklyHQ (10 tháng 8) – nền tảng giám sát

Mô hình này cho thấy lỗ hổng zero-day của Metabase đã bị khai thác như một vũ khí tấn công đa năng nhằm vào nhiều khách hàng cloud, chứ không phải một cuộc tấn công có chủ đích vào Framework.

Khách hàng Framework nên làm gì?

Thông báo chính thức của Framework, như đã được đưa tin bởi nhiều hãng truyền thông, bao gồm những hướng dẫn dành cho khách hàng. Dựa trên loại dữ liệu bị đánh cắp và các thông lệ ứng phó rò rỉ tiêu chuẩn, khách hàng bị ảnh hưởng nên:

1. Cảnh giác với các nỗ lực lừa đảo: Tin tặc hiện có tên, địa chỉ email, số điện thoại và địa chỉ nhà – tất cả những nguyên liệu cần thiết để tạo ra các email, tin nhắn SMS hoặc thậm chí thư lừa đảo có mục tiêu cao.
2. Theo dõi các hoạt động đáng ngờ trên tài khoản: Địa chỉ IP đăng nhập đã bị lộ; nếu bạn dùng lại mật khẩu trên các dịch vụ khác, hãy cân nhắc thay đổi chúng.
3. Không nhấp vào các liên kết trong email bất thường về vụ rò rỉ: Tin tặc có thể mạo danh Framework hoặc các dịch vụ bảo mật để lừa nạn nhân tiết lộ thêm thông tin hoặc cài đặt phần mềm độc hại.
4. Chỉ kiểm tra các thông báo chính thức từ Framework: Công ty cho biết họ đang xem xét và cải thiện phương pháp lưu trữ dữ liệu và sẽ cung cấp thông tin cập nhật qua các kênh chính thức .

Người phát ngôn của Framework nói với TechCrunch rằng công ty "vô cùng xin lỗi về vụ rò rỉ thông tin này" và đang "xem xét và cải thiện" phương pháp lưu trữ dữ liệu của mình .

Những điểm chính cần nhớ

• Toàn bộ cơ sở dữ liệu khách hàng của Framework đã bị xâm phạm thông qua một cuộc tấn công chuỗi cung ứng vào Metabase, chứ không phải là một vụ xâm nhập trực tiếp vào hạ tầng của riêng Framework.
• Dữ liệu bị đánh cắp bao gồm PII (tên, địa chỉ, số điện thoại, email), nhưng không bao gồm thông tin thanh toán hoặc đơn hàng.
• Lỗ hổng được sử dụng là CVE-2026-72898, một lỗ hổng SQL injection chưa được xác thực, đạt điểm CVSS 10.0 trong Metabase phiên bản 1.58-1.63.
• Framework chưa tiết lộ số lượng khách hàng chính xác, mặc dù tất cả khách hàng đều đã được thông báo.
• Ít nhất năm công ty đã bị ảnh hưởng bởi cùng một chiến dịch khai thác lỗ hổng zero-day Metabase.
• Tất cả người dùng Metabase tự lưu trữ trên các phiên bản bị ảnh hưởng nên đã vá lỗi ngay lập tức vào đầu tháng 8 năm 2026.