Falha no Metabase expõe 1,08 milhão de estudantes australianos

O incidente da Mathspace é um caso limpo de falha de gestão de vulnerabilidades com consequências em escala — sem ator identificado, sem ransomware, sem negação da vítima. A cadeia de eventos é bem documentada pelo próprio comunicado da empresa: a Metabase publicou um patch para CVE-2026-72898 em 6 de agosto; a instância self-hosted da Mathspace permaneceu desatualizada porque o processo interno de monitoramento de avisos não capturou o alerta; o ataque começou em 10 de agosto, quatro dias após o patch estar disponível; os dados foram baixados em 27 de agosto; e a empresa só descobriu o comprometimento ao revisar logs históricos em 3 de setembro — após já ter atualizado o Metabase.

A falha técnica central é CVE-2026-72898: injeção SQL não autenticada no endpoint /api/session/reset_password do Metabase versão 0.58+, com CVSS 10.0. O exploite não requer credenciais — um atacante com acesso de rede à instância pode escalar para administrador diretamente. Mathspace operava esta instância de forma self-hosted, exposta para uso de relatórios internos. A empresa não divulgou se o serviço era acessível à internet pública ou apenas à rede interna; esta lacuna técnica é relevante para entender o escopo de atacantes potenciais.

A Mathspace admite duas falhas processuais distintas em seu comunicado oficial: primeiro, o processo de notificação de vulnerabilidades não identificou nem escalou o aviso crítico da Metabase de 6 de agosto; segundo, ao aplicar o patch em 29 de agosto, a empresa não executou as verificações de comprometimento recomendadas pelo fornecedor — verificações que poderiam ter identificado o acesso já ocorrido antes mesmo de a exfiltração ser rastreada pelos logs. Este segundo ponto é especialmente grave: significa que a empresa fechou a porta sem verificar se alguém já havia entrado.

Sobre atribuição: múltiplas fontes ligam este vetor ao ShinyHunters, grupo que opera uma campanha mais ampla contra instâncias Metabase vulneráveis e que também foi vinculado às brechas de ShipMonk/Trezor, Framework e Tally via a mesma CVE. A Dataminr identificou uma listagem de 'Metabase' no blog de extorsão associado ao ShinyHunters, e o BleepingComputer vincula o incidente Mathspace a este padrão de campanha. No entanto, a Mathspace não identificou publicamente o ator, e nenhuma fonte apresentou evidência técnica direta — log, IoC, TTPs — que vincule o grupo especificamente à intrusão na Mathspace. Tratar o ShinyHunters como ator provável é razoável como hipótese de trabalho, não como conclusão firmada.

Os dados exfiltrados não incluem senhas, hashes de senha, tokens SSO, credenciais de autenticação, registros acadêmicos ou resultados de avaliações. O comunicado informa ainda que os dados não ligam explicitamente contas a escolas — mas ressalva que domínios de e-mail identificáveis por escola podem permitir inferência. Este é o ponto mais relevante para o risco residual: a combinação de nome completo, e-mail, tipo de conta (estudante/professor/responsável) e datas de atividade é suficiente para campanhas de phishing altamente personalizadas direcionadas a uma população que inclui menores de idade.

A janela de 23 dias entre a detecção interna (3 de setembro) e a data da primeira notificação regulatória (4 de setembro) está dentro dos prazos legais. A janela de 5 semanas entre o início da intrusão (10 de agosto) e a detecção pública é o ponto que reguladores tenderão a examinar, particularmente se a empresa não conseguir demonstrar que suas capacidades de monitoramento eram adequadas para detectar anomalias de acesso em tempo hábil.

1.079.819 pessoas afetadas — estudantes, responsáveis, professores e funcionários da Mathspace na Austrália e Nova Zelândia. Os dados exfiltrados (nome, e-mail, tipo de conta, datas de acesso) são suficientes para phishing personalizado e enumeração de comunidades escolares. Nenhum dado financeiro, senha ou registro acadêmico foi exposto. A Mathspace começou a notificar afetados individualmente em 6 de setembro e desativou a instância comprometida. Nenhuma evidência de publicação ou venda dos dados foi identificada até o fechamento deste relatório. O incidente é parte de uma campanha mais ampla que, segundo o mapeamento de exposição da Dataminr, potencialmente atingiu milhares de instâncias Metabase self-hosted vulneráveis em setores que incluem governo, saúde, energia e finanças.