Framework、Metabaseのゼロデイ脆弱性を悪用したデータ漏洩を公表

Framework データ漏洩に関する議論 marsmathis 2026年8月6日 午後10時37分 限定的なデータ漏洩で、顧客情報が漏洩した（請求情報はない）というメールを受け取りました。Frameworkはこの件をうまく処理していると思いますか？メールは非常に詳細で透明性があるように見えました。 Alex_Shoup 2026年8月7日 午前0時38分 透明性と特に迅速な通知は、FrameworkチームだけでなくMetabaseにとっても高く評価されるべきです。Metabaseがインシデントを発見してからビジネスパートナーに通知するまでの3日間というターンアラウンドは印象的です。そしてFrameworkチームは、Metabaseからの通知を受けてからわずか6時間で社内確認を行い、顧客に通知しました!!これは前例のないことです!!ほとんどの企業は、セキュリティ上の問題が公衆の信頼を失わせると考えて、顧客に通知するまでに（通知する場合でも）数ヶ月（最低でも）待つように思われます。今日では、セキュリティインシデントが発生するかどうかではなく、どれだけ迅速かつ透明性をもって対応し、顧客に通知するかが問題です。私の意見では、Frameworkチームは期待をはるかに超えており、今後のアップデートも同様の透明性をもって行われると予想しています。他の企業もこれに注目すべきです。これがセキュリティインシデントの対処法です。 Nick_Debord 2026年8月7日 午前0時53分 クレジットカード情報はどうでしょうか。ハッカーにアクセスされなかったという保証が必要です。 Alex_Shoup 2026年8月7日 午前1時16分 プライバシーポリシーでは、支払いの処理にはStripeを使用していると記載されており、メールでも支払い情報は含まれていないとすでに述べられています。 Chironjit_Das 2026年8月7日 午前2時36分 別の企業が私たちの個人情報を別の第三者と共有することを選んだのは残念です。現時点ですべての情報が漏洩した可能性が高いと思いますが、それでも私のデータが第三者プロバイダーと共有されることは望んでいません。一度も聞いたこともない、あるいはやり取りしたこともない企業が個人情報を漏洩させるということが、信じられないほど普通になってきています。 skorov 2026年8月7日 午前4時04分 Frameworkの通知と透明性（ほとんどの組織よりも）には感謝していますが、またデータ漏洩の一部になったことに不満がないとは言えません。もしかしたら、第三者と共有するデータを減らすべきではないでしょうか？ Alk 2026年8月7日 午前4時28分 同意します。このレベルのコミュニケーションは評価されます。しかし、Frameworkは、どのような曖昧な分析に使用するにしても、第三者とデータを保存することから利益を得ており、本来公開されるべきではないデータが公開された場合、私たちはその結果を負うことになります。Frameworkの通知から：将来これを防ぐためにどのような措置を講じましたか？ビジネスインテリジェンスプラットフォームと共有されるデータの範囲と深さを評価しており、分析に必要な列のみにアクセスを制限しています。明らかにこれは正しい方向への一歩ですが、このプラットフォームと以前共有されていた情報の深さがそもそも過剰であったことが明らかになるかもしれません。 Henrikas 2026年8月7日 午前5時00分 透明性は評価しますが、メッセージの言葉遣いは評価しません。メールの件名でこれを「限定的」な漏洩と呼ぶのは、ほぼすべての個人識別情報が含まれていることを考えると、かなり不誠実です。また、メールにはすべての個人識別情報がリストアップされており、その後「他に個人識別情報は取得されていません」と書かれています。ええ、それがすべてだったのですね！これはコミュニケーションのダークパターンのように感じます。Frameworkはもっとうまくやれます。また、ビジネス側は顧客の名前やメールアドレスを持つ必要があるのでしょうか？そして、これらの質問を今になって始めたというのは、もちろん残念です。 ontheroad 2026年8月7日 午前5時28分 今日、漏洩通知を受け取りました。今週初めに、「要対応」というメールを受け取り、ラップトップが出荷される前に支払い方法を更新するように求められました。私はいつも、ボタンをクリックせずに、関連するウェブサイト（今回はFramework）に直接ログインすることで、このようなメールに対応しています。うまくいきましたし、メールは明らかに正当なものでした。しかし、そのパターンを指摘したいと思います。漏洩したデータに基づいたフィッシングメールは、私が受け取ったものとほぼ同じように見えるでしょう（同じ送信者名、同じレイアウト、同じ緊急性、同じ大きなボタンで支払い情報を更新）。Frameworkはおそらくリンクを完全に削除しないでしょう。なぜなら、一部のユーザーにとって支払い情報を更新する手間が大きすぎるからです。しかし、メールでは、リンク経由ではなく、ウェブサイトを通じて顧客にログインするように主に促すべきだと提案します。ほとんどの北欧の銀行は、この理由から数年前に顧客からのメールでの支払いリンクを廃止しました。私の知る限り、これは問題にはなっていません。Frameworkの顧客が現在、名前と住所のリストとして知られていることを考えると、再検討する価値があるようです。漏洩を迅速に開示してくれたことに感謝します。それは非常によく処理されました。現在ラップトップの配送を待っているため、輸入手数料などに関するメールを受け取った場合、ターゲットを絞ったフィッシングの試みである可能性を考慮して、通常よりもさらに警戒します。 Vikram 2026年8月7日 午前5時32分 発生したのは残念ですが、すぐに通知されたことに感謝しています。ただし、アクセスされた情報を考慮すると、「限定的」なデータ漏洩と呼ぶことについては疑問があります。 vintagesprout 2026年8月7日 午前5時55分 購入したわけではないのに、メールが届いた理由がわかりません。待機リストに登録したと思いますが。 Matthew_Janulewicz 2026年8月7日 午前6時22分 対応には感謝しています。確かに。一部の法域（米国の州）では、「軽微な」公開情報の漏洩を開示する必要はなく、多くの企業が開示しないことを選択しています。私は何十年もこの業界を見てきましたが、ゼロデイエクスプロイトだと主張されていたのに、ハッキングが発見されたらすぐにパッチが適用されたという点に引っかかりました。その二つは通常一致しません。そして、誰かがパッチ適用でミスを犯したのではないかと勘ぐってしまいます。「限定的」という言葉の解釈として、私の情報すべてが取得されたかもしれませんが、顧客全体のデータベースすべてではないかもしれません。私の「限定的」の考えとFrameworkの「限定的」の考えは、全く異なる可能性があります。私はgopherやusenetの時代からオンラインにいますが、もしかしたら私の疲れた骨がそう言わせているのかもしれませんが、私は、私が取ったすべての予防策にもかかわらず、私がかつて持っていたすべての住所、雇用記録、クレジットカード、銀行口座、社会保障番号（米国）などがすでに流出しているという前提で生活しています。ただ、組織的な犯罪シンジケートも、二流のストリート詐欺師も、1000ドルの限度額のHome Depotカードを見て、それに手間をかけることはないでしょう。