Il report interno diventa la porta su oltre un milione di record
Mathspace ha reso noto che attaccanti hanno violato il suo sistema interno di reporting basato su Metabase e hanno sottratto dati su 1.079.819 tra studenti, personale e genitori, con impatto limitato ad Australia e Nuova Zelanda. Il punto non era l’accesso a un’app per famiglie o docenti, ma a un piano centrale che aggregava record scolastici e anagrafici.
Mathspace dice che gli attaccanti hanno sfruttato una vulnerabilità nella propria installazione self-hosted di Metabase per ottenere accesso amministrativo senza un login legittimo. Da lì hanno potuto leggere i dati dietro il sistema di reporting, trasformando un pannello interno in un varco verso i record sottostanti. I dati esposti non includono password o token, ma possono comunque collegare identità, scuole e relazioni familiari.
Per chi usa BI o reporting self-hosted collegati a dati vivi, il caso mostra che il rischio non è solo vedere qualche dashboard: un singolo punto compromesso può aprire l’accesso a archivi consolidati che raccontano molto più di una singola schermata. Qui la rilevanza sta nella concentrazione del dato, non in una campagna più ampia o in un exploit da generalizzare oltre questo contesto.