Uma falha na Metabase atingiu três empresas de uma vez

Os clientes da Framework receberam o e-mail primeiro

A 7 de agosto, a Framework, fabricante de portáteis reparáveis e modulares, escreveu a toda a sua base de clientes a informar que os dados tinham sido expostos. A empresa tinha sabido no dia anterior, 6 de agosto, que um atacante tinha entrado na sua instância da Metabase a 3 de agosto e retirado registos de clientes. A Framework confirmou que foram retirados nomes, endereços de e-mail, números de telefone e moradas de faturação e envio. Os dados de pagamento ficaram explicitamente excluídos, uma distinção que a Framework tornou clara no seu aviso.

A própria Framework não foi pirateada em sentido direto. Nenhuma linha de código defeituosa no seu próprio sistema foi a causa. A empresa era cliente da Metabase, a plataforma de business intelligence que muitas empresas utilizam para consultar os seus próprios dados operacionais e de vendas, e o atacante entrou através da Metabase, não através da Framework.

A falha estava na Metabase, não em nenhum dos seus clientes

A Metabase divulgou uma falha crítica, zero-day, de injeção SQL não autenticada no ponto de acesso da sua API de redefinição de palavra-passe. Um atacante sem quaisquer credenciais podia injetar SQL arbitrário contra a base de dados da aplicação subjacente, o que bastava para lhe conceder diretamente acesso de administrador a uma instância da Metabase. A Metabase declarou que a falha afetava também o seu produto Cloud SaaS e confirmou exploração ativa antes de publicar uma correção. As versões corrigidas começam em 0.58.24 e vão até 0.63.5 e posteriores, cobrindo todas as linhas de versão suportadas.

Este é o pormenor que os proprietários tendem a ignorar: a vulnerabilidade estava no próprio código da Metabase, não na forma como a Framework, a Tally ou a LexisNexis tinham configurado as suas contas. Todos os clientes com uma instância afetada e não corrigida ficaram expostos da mesma forma, sem culpa própria.

Três empresas, um fornecedor, uma tarde

A Framework não esteve sozinha. Também a Tally, um produto de formulários, e a LexisNexis, a empresa de dados e investigação jurídica, foram atingidas através da mesma falha da Metabase. Três empresas sem nada em comum a nível operacional, a servir mercados diferentes com produtos diferentes, acabaram por informar os seus clientes sobre a mesma causa raiz com poucos dias de diferença entre si. Nenhuma partilhava com as outras uma base de código, uma equipa de segurança ou uma relação com o mesmo fornecedor. Partilhavam uma ferramenta de business intelligence.

É este o padrão que merece atenção. Uma única falha numa plataforma SaaS amplamente utilizada não produz uma única violação. Produz tantas violações quantos os clientes que essa plataforma tiver com dados exploráveis dentro dela, todas ao mesmo tempo, todas rastreáveis até um fornecedor de que os próprios clientes das empresas afetadas nunca tinham ouvido falar.

O que foi retirado, e o que o aviso exclui explicitamente

O aviso da Framework é um modelo útil para ler qualquer notificação de violação. Indica quatro categorias retiradas: nomes, endereços de e-mail, números de telefone e moradas de faturação ou envio. Indica uma categoria explicitamente excluída: dados de pagamento. Essa exclusão importa, mas não é o quadro completo. Nomes, e-mails, telefones e moradas físicas são exatamente a matéria-prima para phishing direcionado, tentativas de troca de cartão SIM e tomada de contas noutros serviços, mesmo sem um único número de cartão envolvido.

Leia todos os avisos de violação à procura de ambas as listas, o que foi confirmado como retirado e o que foi confirmado como não retirado, e trate o que não é mencionado como desconhecido, não como seguro. Um aviso que o tranquiliza quanto aos dados de pagamento não lhe disse nada sobre o seu número de telefone.

A pergunta que todo o proprietário devia fazer esta semana

A maioria das empresas consegue nomear o seu banco e a sua seguradora sem hesitar. Muito menos conseguem nomear todas as ferramentas de SaaS e de business intelligence que guardam uma cópia viva dos dados dos seus clientes, ou dizer com confiança como é a postura de segurança desse fornecedor. Metabase, Salesforce, HubSpot, um painel de análise, uma plataforma de apoio ao cliente: cada uma é uma porta para a sua lista de clientes que não controla e raramente audita. Para as empresas em Portugal, isto também implica cumprir os prazos de notificação à CNPD previstos no RGPD, que correm a partir do momento em que o fornecedor avisa, e não a partir do momento em que a própria empresa descobre o problema.

O passo prático não é abandonar as ferramentas de SaaS de business intelligence. É elaborar uma lista breve de todos os fornecedores com acesso de escrita ou leitura a dados pessoais de clientes, confirmar quais têm autenticação multifator ativa e corrigem rapidamente, e perguntar diretamente a cada um qual é o seu prazo de notificação de incidentes. Os clientes da Framework souberam ao quarto dia. Planeie que o seu próprio aviso chegue num prazo igualmente curto e decida agora, não depois de o e-mail chegar, o que irá dizer aos seus próprios clientes.

Leia a seguir: O botão de desligar do Rovo não desliga nada  |  Os servidores herdaram uma falha Linux de 18 anos