Framework notifica "todos os clientes" sobre vazamento de dados

A Framework, fabricante de computadores modulares e repar aveis, informou ter notificado "todos os clientes" de que hackers roubaram seus dados pessoais. Segundo a TechCrunch, os dados expostos incluem nomes, endere os de e-mail, n meros de telefone e endere os f sicos.

A notifica

correu na quinta-feira, quando v arios clientes relataram nas redes sociais ter recebido um e-mail da empresa alertando sobre o incidente. O porta-voz da Framework, Eric Schumacher, confirmou TechCrunch que o vazamento afetou "todos os clientes", mas n o informou um n mero espec fico. Os computadores da Framework s o produtos de nicho, mas algumas estimativas apontam que a empresa vendeu centenas de milhares de dispositivos.

A origem: um ataque ao Metabase

De acordo com a notifica

vista pela TechCrunch, a Framework atribuiu o vazamento a um ciberataque ocorrido em um fornecedor: o Metabase, empresa que oferece ferramentas de business intelligence↳Business intelligence10 conteúdos10 motivos para adotar o Power BIData · jul 2020Metabase: Como ter um BI de alto nível sem gastar com licenças por usuárioDevSecOps · abr 20265 tendências em BI para serem implementadas agoraData · abr 2022Ver tudo em Data →.

O pr prio Metabase divulgou o pr prio incidente em um post no site oficial, afirmando ter sido invadido por meio de uma falha de seguran a desconhecida, ou seja, um chamado zero-day. Segundo a empresa, os atacantes exploraram o bug para obter acesso aos bancos de dados de clientes armazenados nos servidores em nuvem do Metabase.

No e-mail enviado aos clientes, a Framework tamb m incluiu a mensagem que recebeu do Metabase, informando que os hackers acessaram a inst ncia em nuvem da fabricante. A Framework disse ter investigado o incidente e conclu do que dados pessoais foram roubados, mas afirmou que **informa

es de pagamento n o foram comprometidas**. O Metabase n o respondeu ao pedido de coment rio da TechCrunch.

O que muda para quem usa ou pensava em adotar a m

aquina

A Framework tem tra

crescente entre desenvolvedores por conta da proposta de hardware modular e repar avel, atraente para quem quer laptops com Linux↳Linux34 conteúdosKali Linux em um Servidor VPS: como, quando e por que usar?DevSecOps · dez 2024Construindo um Windows Service ou Linux Daemon com Worker Service & .NET Core – Parte 2Dev (Back & Front) · jul 2020Criando uma WebApi utilizando .NET, Linux e VSCodeDev (Back & Front) · ago 2019Ver tudo em DevSecOps →, upgrades f ceis e ciclo de vida longo. Quem comprou uma dessas m aquinas provavelmente teve dados de contato expostos.

Na pr tica, para o dev brasileiro que est na lista de clientes, os riscos imediatos s o de phishing e engenharia social. Com nome, e-mail, telefone e endere o em m os, atacantes podem montar mensagens direcionadas se passando pela pr pria Framework, por transportadoras ou por suporte t cnico. Vale desconfiar de e-mails e SMS que peçam a

es urgentes, cobranças ou confirma

es de dados.

Algumas medidas defensivas simples:

• Ativar autentica

o de dois fatores em contas associadas ao mesmo e-mail.

• Tratar com cautela qualquer contato inesperado que cite a compra do laptop.
• Ficar atento a tentativas de golpe por telefone, j

que o n mero tamb m vazou.

O recado sobre a cadeia de fornecedores

O caso refor a um ponto que interessa diretamente a quem constr i software: o vazamento n o partiu de uma falha na pr pria Framework, mas de um fornecedor terceirizado de BI. Esse tipo de incidente na cadeia de suprimentos vem crescendo, e mostra como uma nica falha zero-day em um SaaS pode expor a base de clientes de m ltiplas empresas de uma s vez.

Para times de engenharia e seguran a no Brasil, a li

o pr tica mapear quais dados de clientes trafegam por ferramentas de terceiros como plataformas de analytics e BI, e revisar contratos e pol ticas de resposta a incidentes desses fornecedores. Sob a LGPD↳LGPD14 conteúdosComo utilizar a LGPD com o objetivo de conformidade e inovação?Gestão Dev & TI · out 2021LGPD coloca pressão inédita nos responsáveis pela tecnologia das empresasData · ago 2021Proteção de dados: LGPD é sancionada e começa a valerData · set 2020Ver tudo em Gestão Dev & TI →, o controlador dos dados continua respons avel perante os titulares mesmo quando o vazamento ocorre em um operador contratado.

Fonte: TechCrunch