Mathspaceは、内部のレポーティングシステムに存在した未パッチのMetabase脆弱性を突かれて侵入され、100万人を超える生徒、保護者、学校職員のデータが盗まれたことを確認したと発表しました。
シドニーを拠点とするこの数学教育企業はブログ投稿の中で、自社がセルフホストしていたMetabaseに存在した脆弱性により、攻撃者が正規のログインを経ずに管理者権限でシステムへアクセスできる状態になっていたと明らかにしました。
Metabaseは、企業のデータベースに接続してデータを探索するために使われるビジネスインテリジェンスツールです。無料のオープンソース・セルフホスト版のほか、クラウド版・セルフホスト版を含む有料サービスとしても提供されています。
MathspaceのCTOを務めるAlvin Savoy氏は、「2026年9月3日、Mathspaceが利用する内部レポーティングシステムに不正アクセスがあり、生徒、その保護者、そして学校職員に関する情報がダウンロードされたことを確認しました」と述べています。
Savoy氏はさらに、「調査の結果、オーストラリア東部標準時で2026年8月10日にまで遡る不正アクセスが判明しました。オーストラリアのレポーティングデータベースから情報がダウンロードされたのは8月27日であると確認しています」と付け加えました。
同社によると、今回の侵害の影響を受けたのは合計1,079,819人で、全員がオーストラリアおよびニュージーランドに所在しています。
流出したデータには、ユーザー名、姓名、メールアドレス、国、タイムゾーン、ユーザー種別、メール認証の状態、最終アクティブ日、最終ログイン日、登録日が含まれていました。これらの一部は、生徒のアカウントに紐づくMathspace内部の識別子です。
Mathspaceによれば、学習記録、評価結果、パスワード、認証トークン、APIクレデンシャルは流出していないとのことです。流出したデータにはユーザーアカウントと所属校を結び付ける記録は含まれていませんが、識別可能なメールドメインを使用している学校については、こうした紐づけが可能になる可能性があるとしています。
Savoy氏は「顧客のパスワード、シングルサインオン(SSO)トークン、その他の顧客認証情報は流出していません」と述べています。
「これまでのところ、データが公開・拡散・売買、あるいはその他の形で悪用された証拠は確認されていません」
ログイン認証情報が流出していないため、Mathspaceはパスワードの再設定を求めていません。ただし、流出した氏名とメールアドレスがフィッシングを本物らしく見せかけるために悪用される恐れがあるとして、注意を呼びかけています。
Savoy氏は利用者に対し、身に覚えのないメッセージに警戒すること、パスワードや認証コードを決して他人と共有しないこと、そしてアカウントごとに固有のパスワードを使用することを推奨しています。
Savoy氏は「これまでの調査結果を踏まえると、Mathspaceは引き続き授業や課題に利用いただけます。影響を受けた内部レポーティングシステムはオフラインにしました」と結論付けました。
攻撃者がMetabaseの脆弱性を悪用して顧客データにアクセスした事例は、今回が初めてではありません。Framework、Tally、Kilo Codeも、自社のMetabaseインスタンスに存在した同一のSQLインジェクションの欠陥を突かれ、2026年8月に同様の情報漏えいを公表しています。
翻訳元: https://www.helpnetsecurity.com/2026/09/08/mathspace-data-breach-metabase-vulnerability/
