Datalek bij Androidworld.nl door kritiek lek in bedrijfstool Metabase

Techsite Androidworld.nl heeft een datalek gemeld nadat de politie het bedrijf op 3 september tipte dat er onbevoegd was ingebroken in het interne analysesysteem Metabase. Uit onderzoek bleek dat een aanvaller al op 10 augustus toegang had gekregen tot gegevens van ruim vijfduizend accounts, waaronder e-mailadressen, gebruikersnamen, publieke profielnamen en gehashte wachtwoorden. Dat meldt Androidworld zelf op de eigen site, en wordt bevestigd door Security.NL en IBgids.

Wat Androidworld deed na de melding

Androidworld benadrukt dat de gestolen wachtwoorden versleuteld waren opgeslagen en dus niet direct bruikbaar zijn voor een aanvaller. Toch heeft het bedrijf uit voorzorg de wachtwoorden van alle gebruikers gereset, zodat iedereen bij een volgende keer inloggen eerst een nieuw wachtwoord moet instellen. Het datalek is daarnaast gemeld bij de Autoriteit Persoonsgegevens, zoals verplicht is zodra persoonsgegevens bij een incident betrokken zijn.

Een kritiek lek dat verder reikt dan één site

Wat dit incident extra relevant maakt, is de oorzaak erachter. Metabase is een veelgebruikt platform waarmee bedrijven data uit meerdere systemen koppelen en omzetten in overzichtelijke rapportages en dashboards. De software bleek kwetsbaar voor een kritiek beveiligingslek met de hoogst mogelijke risicoscore: via het wachtwoord-resetproces kon een aanvaller, zonder in te loggen, willekeurige databasecommando's uitvoeren en zo volledige beheerderstoegang krijgen tot een Metabase-omgeving. Onderzoekers die het internet scanden op kwetsbare installaties troffen daarna nog duizenden zelfgehoste Metabase-omgevingen aan die de beschikbare update misten.

De criminele groep ShinyHunters claimt dit lek te hebben misbruikt om bij meerdere organisaties gegevens te stelen. Zo raakte eerder ook laptopfabrikant Framework getroffen, waar via een gekoppelde Metabase-omgeving klantgegevens werden buitgemaakt, meldt Help Net Security. Metabase heeft de kwetsbaarheid inmiddels verholpen in nieuwere versies van de software, maar de aanhoudende stroom aan meldingen laat zien dat lang niet elke organisatie die update al heeft doorgevoerd.

Niet het eerste datalek met Metabase als oorzaak

Voor wie het eerdere datalek bij cryptowallet Trezor volgde: ook daar bleek de bron een kwetsbaarheid in Metabase, destijds bij verzendpartner ShipMonk. Zoals we eerder schreven, ging het toen om een op zichzelf staand incident bij een andere partij, met een vergelijkbare SQL-injectiekwetsbaarheid als kern van het probleem. Dat hetzelfde lek in korte tijd bij meerdere, volledig losstaande organisaties tot een datalek heeft geleid, laat zien hoe groot de impact van één kwetsbaarheid in veelgebruikte bedrijfssoftware kan zijn.

Wat dit betekent voor jouw bedrijf

Gebruikt jouw bedrijf, of een leverancier waarmee je samenwerkt, een zelfgehoste tool zoals Metabase voor interne data en rapportages, dan is dit een goed moment om te checken of die omgeving is bijgewerkt naar een recente versie. Juist software die niet dagelijks in beeld is, zoals een intern dashboard of analysetool, wordt in de praktijk het snelst vergeten bij het bijwerken, terwijl dat soort systemen vaak wel toegang heeft tot gevoelige klant- of bedrijfsgegevens. Wil je dat iemand anders dit soort achterstallig onderhoud en kwetsbaarheden structureel voor je in de gaten houdt, ook buiten je website om? De dienst website-onderhoud en beheer van Infotrends helpt je daarbij. Meer nieuws over datalekken en digitale veiligheid voor ondernemers vind je op onze nieuwspagina.

Bronnen: Androidworld.nl, Security.NL en IBgids.