Die Online-Mathematiklernplattform Mathspace hat eine Datenpanne aufgedeckt, die 1.079.819 Menschen in Australien und Neuseeland betrifft, darunter Schüler, Eltern oder Erziehungsberechtigte, Lehrer und Mitarbeiter des Unternehmens.
Der Einbruch betraf die selbstgehostete Installation von Metabase durch Mathspace, einer intern genutzten Analyseplattform. Angreifer nutzten eine Sicherheitslücke aus, die es ihnen ermöglichte, auf Administratorebene Zugriff zu erhalten, ohne legitime Zugangsdaten zu besitzen.
Mathspace verfolgte unautorisierte Aktivitäten bis zum 10. August 2026. Die Informationen wurden am 27. August aus seiner australischen Berichtsdatenbank heruntergeladen, aber das Unternehmen bestätigte erst am 3. September, dass seine Umgebung kompromittiert worden war.
Die Schwachstelle war bereits von Metabase behoben worden, bevor der Einbruch entdeckt wurde. Ein kritischer Sicherheitshinweis und gepatchte Versionen wurden am 6. August verfügbar. Mathspace teilte jedoch mit, dass sein Meldeprozess für Schwachstellen die Warnung nicht identifizieren und eskalieren konnte.
Das Unternehmen aktualisierte seine Metabase-Installation schließlich am 29. August, nachdem es eine spätere Mitteilung erhalten hatte. Bei einer anschließenden Prüfung historischer Zugriffsprotokolle fanden die Ermittler Hinweise darauf, dass vor dem Update unbefugter Zugriff stattgefunden hatte.
Die von den Angreifern exportierten Informationen variierten je nach Kont. Sie konnten interne Benutzer-IDs, Benutzernamen, Vor- und Nachnamen, E-Mail-Adressen, Länder, Zeitzonen, Benutzertypen, E-Mail-Verifizierungsstatus, Daten der letzten Aktivität und Anmeldung sowie Kontoerstellungsdaten umfassen.
Wichtig ist, dass Mathspace angab, dass Passwörter, Passwort-Hashes, Authentifizierungstoken, Single-Sign-on-Zugangsdaten und API-Zugangsdaten nicht offengelegt wurden. Auch akademische Informationen blieben unbeeinflusst, einschließlich Lernaktivitäten, Ergebnisse und Bewertungsunterlagen. Die gestohlene Datenbank enthielt keine Datensätze, die einzelne Konten direkt mit ihren Schulen verknüpften.
Nach Bestätigung des Lecks nahm Mathspace das kompromittierte Metabase-System offline und entzog dessen API-Schlüssel. Datenbankzugriffskonten, die mit der Plattform verknüpft waren, wurden deaktiviert, während relevante Datenbankpasswörter im Rahmen des Eindämmungsprozesses geändert wurden.
Schulen begannen am 4. September Benachrichtigungen zu erhalten, gefolgt von Benachrichtigungen an betroffene Personen. Mathspace meldete den Vorfall außerdem den Datenschutz- und Cybersicherheitsbehörden in Australien und Neuseeland sowie den australischen Bildungsministerien auf Landes- und Territorien.
Die Identität der Angreifer ist weiterhin unbekannt. Mathspace gibt an, bisher keine Beweise dafür gefunden zu haben, dass die gestohlenen Informationen veröffentlicht, verteilt, verkauft oder anderweitig missbraucht wurden.
Das Unternehmen überprüft nun, warum die ursprüngliche kritische Sicherheitswarnung nicht eskaliert wurde und warum empfohlene Kompromittierungsprüfungen nicht abgeschlossen wurden, als die Metabase-Installation erstmals aktualisiert wurde.