Los clientes de Framework recibieron el correo primero

El 7 de agosto, Framework, el fabricante de portátiles reparables y modulares, escribió a toda su base de clientes para informar de que sus datos habían sido expuestos. La empresa se había enterado un día antes, el 6 de agosto, de que un atacante había irrumpido en su instancia de Metabase el 3 de agosto y había extraído registros de clientes. Framework confirmó que se sustrajeron nombres, direcciones de correo electrónico, números de teléfono y direcciones de facturación y envío. Los datos de pago quedaron explícitamente excluidos, una distinción que Framework marcó con claridad en su aviso.

Framework en sí no fue hackeada en ningún sentido directo. Ninguna línea de código defectuosa en su propio sistema fue la causa. La empresa era cliente de Metabase, la plataforma de inteligencia de negocio que muchas firmas usan para consultar sus propios datos operativos y de ventas, y el atacante entró a través de Metabase, no a través de Framework.

El fallo estaba en Metabase, no en ninguno de sus clientes

Metabase reveló un fallo crítico de día cero por inyección SQL sin autenticación en el endpoint de su API para restablecer contraseñas. Un atacante sin ninguna credencial podía inyectar SQL arbitrario contra la base de datos de la aplicación subyacente, lo cual bastaba para otorgarle directamente acceso de administrador a una instancia de Metabase. Metabase declaró que el fallo afectaba también a su producto Cloud SaaS y confirmó explotación activa antes de publicar una solución. Las versiones parcheadas comienzan en 0.58.24 y llegan hasta 0.63.5 y superiores, cubriendo todas las líneas de versión compatibles.

Este es el detalle que los propietarios suelen pasar por alto: la vulnerabilidad residía en el propio código de Metabase, no en cómo Framework, Tally o LexisNexis configuraron sus cuentas. Todo cliente con una instancia afectada y sin parchear quedó expuesto de la misma manera, sin culpa propia.

Tres empresas, un proveedor, una misma tarde

Framework no estuvo sola. Tally, un producto de formularios, y LexisNexis, la firma de datos e investigación jurídica, también fueron alcanzadas por el mismo fallo de Metabase. Tres empresas sin nada en común operativamente, que atienden mercados distintos con productos distintos, terminaron avisando a sus clientes sobre la misma causa raíz con días de diferencia entre sí. Ninguna compartía con las otras una base de código, un equipo de seguridad ni una relación con el mismo proveedor. Compartían una herramienta de inteligencia de negocio.

Ese es el patrón que merece atención. Un único fallo en una plataforma SaaS de uso extendido no produce una sola brecha. Produce tantas brechas como clientes tenga esa plataforma con datos explotables dentro, todas a la vez, todas rastreables hasta un proveedor del que los propios clientes de las empresas afectadas nunca habían oído hablar.

Qué se sustrajo y qué excluye explícitamente el aviso

El aviso de Framework es una plantilla útil para leer cualquier notificación de brecha. Nombra cuatro categorías sustraídas: nombres, direcciones de correo electrónico, números de teléfono y direcciones de facturación o envío. Nombra una categoría explícitamente excluida: los datos de pago. Esa exclusión importa, pero no es el cuadro completo. Nombres, correos, teléfonos y direcciones físicas son exactamente la materia prima para phishing dirigido, intentos de SIM-swap y toma de cuentas en otros servicios, incluso sin un solo número de tarjeta de por medio.

Lee cada aviso de brecha buscando ambas listas, lo confirmado como sustraído y lo confirmado como no sustraído, y trata lo no mencionado como desconocido, no como seguro. Un aviso que te tranquiliza sobre los datos de pago no te ha dicho nada sobre tu número de teléfono.

La pregunta que todo propietario debería hacerse esta semana

La mayoría de las empresas pueden nombrar a su banco y a su aseguradora sin dudar. Muchas menos pueden nombrar cada herramienta SaaS y de inteligencia de negocio que guarda una copia viva de los datos de sus clientes, ni decir con confianza cómo es la postura de seguridad de ese proveedor. Metabase, Salesforce, HubSpot, un panel de analítica, una plataforma de soporte: cada una es una puerta hacia tu lista de clientes que no controlas y rara vez auditas. Para las empresas en la eurozona, esto también implica cumplir los plazos de notificación de brechas del RGPD, que corren desde que el proveedor te avisa, no desde que descubres el problema por tu cuenta.

El paso práctico no es abandonar las herramientas SaaS de inteligencia de negocio. Es elaborar una lista breve de cada proveedor con acceso de escritura o lectura a datos personales de clientes, confirmar cuáles tienen autenticación multifactor activa y parchean con rapidez, y preguntar a cada uno directamente cuál es su plazo de notificación de incidentes. Los clientes de Framework se enteraron al cuarto día. Planifica que tu propio aviso llegue en un plazo igual de corto y decide ahora, no después de que llegue el correo, qué le dirás a tus propios clientes.

Leer a continuación: El interruptor de apagado de Rovo no apaga nada  |  Sus servidores heredaron un fallo de Linux de 18 años