Mathspaceのデータ侵害、100万人超に影響

学生向けオンライン数学プログラムを提供するMathspaceが、100万人を超える個人に影響するデータ侵害を公表しました。

同社によると、この事件が発覚したのは先週で、攻撃者が既知の脆弱性を利用して同社の自己ホスト型Metabaseインスタンスを侵害してから約3週間後のことでした。

この脆弱性はCVE-2026-72898（CVSSスコア10/10）として追跡されているSQLインジェクションの問題で、ゼロデイとして悪用された後、8月6日にパッチが提供されました。

パッチのリリース直後、悪名高い恐喝グループShinyHuntersがMetabaseへのハッキングの犯行を認めています。

Mathspaceは、Metabaseの緊急セキュリティ勧告をパッチ適用の優先事項としてエスカレーションすることを怠り、インスタンスをアップグレードしたのは8月29日と、攻撃者の侵入から2週間以上が経過した後でした。

「調査の結果、オーストラリア東部標準時で2026年8月10日に遡る不正アクセスが確認されました。8月27日には、当社のオーストラリア向けレポートデータベースから情報がダウンロードされたことを確認しています」と、Mathspaceはインシデント通知で述べています。

さらにMathspaceは、Metabaseが推奨していた侵害確認チェックを完了しておらず、アップデート適用時点でも侵入を検知できていませんでした。

「なぜ当初の勧告がエスカレーションされなかったのか、そしてなぜそれらのチェックがもっと早く完了しなかったのかを調査しています。インシデント対応の一環として、両方のプロセスを見直しています」と同プラットフォームは述べています。

Mathspaceは自社のMetabaseインスタンスをオフラインにし、APIキーを失効させ、データベースアクセスアカウントを無効化し、パスワードを変更したうえで、調査のためログをエクスポートしました。

今回のデータ侵害は、オーストラリアおよびニュージーランドの学生、教師、職員、保護者/後見人1,079,819人に影響しています。

攻撃者がダウンロードしたのは、氏名、ユーザーID、ユーザー名、メールアドレス、メール認証状況、タイムゾーン、国、登録日、直近のログイン日時およびアクティブ日時です。

「学業記録、学習活動、成績、評価記録、パスワード（ハッシュ値）、認証トークン、SSO認証情報、API認証情報は一切流出していません。流出したデータには、ユーザーアカウントを在籍校に紐づける記録も含まれていません」とMathspaceは述べています。

同プラットフォームは、脅威アクターが盗んだ情報をフィッシング攻撃に悪用する可能性があると警告し、影響を受けた可能性のある個人に対し、今回の事件に関する正確な情報を含む不審な連絡があった場合は細心の注意を払うよう呼びかけています。

Mathspaceはこの事件をオーストラリアの関係当局に報告し、週末にかけて影響を受けた可能性のある個人への通知を開始しました。