Mathspace потвърди, че атакуващи са проникнали в нейната вътрешна система за отчитане чрез некоригирана уязвимост в Metabase и са откраднали данни, принадлежащи на повече от един милион ученици, родители и училищен персонал.
Базираната в Сидни компания за обучение по математика написа в публикация в блога си, че уязвимостта в нейната самостоятелно хоствана инсталация на Metabase е позволила на атакуващите да получат администраторски достъп до системата без легитимни данни за вход.
Metabase е инструмент за бизнес разузнаване (business intelligence), използван за свързване и проучване на фирмени бази данни. Той се предлага като безплатна версия с отворен код за самостоятелно хостване или като платена услуга с облачни и самостоятелно хоствани опции.
„На 3 септември 2026 г. потвърдихме, че неоторизирани страни са осъществили достъп до вътрешна система за отчитане, използвана от Mathspace, и са изтеглили информация за ученици, техните родители или настойници и училищен персонал“, каза Алвин Савой, главен технологичен директор в Mathspace.
„Нашето разследване установи неоторизиран достъп, датиращ от 10 август 2026 г., австралийско източно стандартно време. Потвърдихме, че информацията е била изтеглена от нашата австралийска база данни за отчитане на 27 август“, добави Савой.
Според компанията пробивът е засегнал общо 1 079 819 души, всички намиращи се в Австралия и Нова Зеландия.
Разкритите данни включват потребителски имена, първо и фамилно име, имейл адреси, държава, часова зона, тип потребител, статус на потвърждение на имейл, дата на последна активност, дата на последно влизане и дата на присъединяване. Някои от тях са вътрешни идентификатори на Mathspace, свързани с профилите на учениците.
От Mathspace заявяват, че не са разкрити академични досиета, резултати от оценки, пароли, токени за автентификация или API данни за достъп. Разкритите данни не включват записи, свързващи потребителските профили с техните училища, въпреки че от компанията отбелязват, че това все пак може да е възможно за училища с разпознаваеми имейл домейни.
„Паролите на клиентите, токените за еднократно влизане (SSO) и други данни за автентификация на клиентите не са били изложени на риск“, отбеляза Савой.
„Досега нямаме доказателства, че данните са били публикувани, разпространени, продадени или използвани по друг начин злонамерено.“
Mathspace не изисква нулиране на пароли, тъй като данните за вход не са били разкрити. Компанията обаче предупреждава,телно че изтеклите имена и имейл адреси могат да бъдат използвани, за да направят фишинг опитите по-убедителни.
Савой съветва потребителите да бъдат внимателни с неочаквани съобщения, никога да не споделят пароли или кодове за потвърждение и да използват уникална парола за всеки профил.
„Въз основа на нашето разследване до момента можете да продължите да използвате Mathspace за уроци и задачи. Засегнатата вътрешна система за отчитане е спряна от мрежата“, заключи Савой.
Това не е изолиран случай, при който атакуващите използват уязвимост в Metabase, за да достигнат до клиентски данни. Framework, Tally и Kilo Code съобщиха за подобни пробиви през август 2026 г., след като киберпрестъпници се възползваха от същия дефект за SQL инжекция в техните Metabase инстанции.