Frameworkが全顧客にデータ漏洩を通知#
モジュラー設計の修理可能なコンピューターを製造するFrameworkは、ハッカーが顧客の氏名・メールアドレス・電話番号・住所を窃取したとして、全顧客に対してデータ漏洩の通知を行った。漏洩の根本原因は、ビジネスインテリジェンスツールを提供するサードパーティ企業「Metabase」へのサイバー攻撃であったことが明らかになっている。
何が起きたのか——事件の経緯#
2026年8月7日、Frameworkの複数の顧客がソーシャルメディア上で「Frameworkからデータ漏洩に関するメールを受け取った」と報告し、この問題が広く知られることとなった。
TechCrunchが確認した通知メールによると、Frameworkはデータ漏洩の責任を上流（アップストリーム）でのMetabaseへのサイバー攻撃に帰している。また、このメール内にはMetabaseがFrameworkに送付したメールも同封されており、そこにはハッカーがFrameworkのクラウドインスタンスにアクセスしたことが記載されていた。
Frameworkは自社で調査を実施し、顧客の個人データが盗まれたことを確認したとしている。なお、支払い情報（クレジットカード情報など）は漏洩していないと同社は説明している。
Metabaseのゼロデイ脆弱性とは#
Metabaseは自社の公式ウェブサイト上のブログ投稿で、自社が受けた攻撃の詳細を公開している。同社によると、攻撃者は**未知のセキュリティ上の欠陥（いわゆるゼロデイ脆弱性）**を悪用してシステムに侵入した。
ここで「ゼロデイ脆弱性」とは、ソフトウェアベンダーがまだ把握していない、あるいはパッチ（修正プログラム）が存在しない脆弱性のことを指す。攻撃者はこの脆弱性を利用することで、Metabaseのクラウドサーバー上に保存されている顧客のデータベースへのアクセス権限を手に入れたとMetabaseは説明している。
TechCrunchはMetabaseにコメントを求めたが、記事執筆時点で返答は得られていない。
このニュースが重要な理由#
影響範囲は「全顧客」#
Frameworkの広報担当者であるEric Schumacherは、TechCrunchの取材に対し、今回の漏洩が**「全顧客」に影響する**と明言した。具体的な被害者数の開示は断られたものの、一部の推計によればFrameworkはこれまでに数十万台規模のデバイスを販売しているとされている。
サードパーティリスクの問題#
今回の漏洩は、Frameworkが直接攻撃されたのではなく、同社が利用するサードパーティのサービス提供企業（Metabase）が攻撃されたことで引き起こされた点が特徴的だ。自社のシステムがどれだけ堅牢であっても、取引先やツールプロバイダーのセキュリティが侵害されれば、そのデータが危険にさらされるというリスクが改めて浮き彫りになっている。
漏洩した情報の種類#
今回漏洩したと確認されている情報は以下の通りである（ソース記事より）。
- 氏名
- メールアドレス
- 電話番号
- 住所（物理的な住所）
Frameworkは支払い情報は含まれていないとしているが、上記の個人情報はフィッシング詐欺やソーシャルエンジニアリング攻撃に悪用される可能性がある点は一般的に知られている。
まとめ#
Frameworkが全顧客の個人情報漏洩を通知した今回のインシデントは、Metabaseへのゼロデイ攻撃を起点とするサプライチェーン型のサイバー攻撃事例だ。支払い情報の漏洩はなかったとされるものの、氏名・連絡先・住所といった個人情報が流出した影響は無視できない。
筆者の見解: 今回の事例は、自社製品の品質や安全性にこだわるメーカーであっても、利用するサードパーティサービスの脆弱性が自社顧客のリスクに直結することを如実に示している。ベンダー管理やサプライチェーンリスク評価の重要性を、企業規模を問わず再認識すべき事案と言えるだろう。
出典: Computer maker Framework notifies ‘all customers’ of a data breach
