「修理・アップグレード自由」を掲げるFramework、サードパーティの0-day攻撃でユーザー情報が流出

Frameworkが売りにしているのは「自分で分解・修理できる」という信頼感だ。しかし今回問題が起きたのは、自社ではコントロールできない領域だった。8月6日夜、修理・アップグレード可能なノートPCで知られる同社は、全顧客に対して個人情報がデータ漏洩事件でアクセスされたことをメールで通知した——問題はFramework自社のシステムではなく、ビジネスデータの管理に使用しているサードパーティサービスのMetabaseで発生したものだった。

Frameworkが送付したメールでMetabaseの説明を引用したところによると、8月3日に同社は誰かが「未知（0-day）の脆弱性」を利用してデータにアクセスしたことを発見した。現在この脆弱性は特定・修正済みだという。Metabaseはメール内で、サードパーティのフォレンジック調査会社と協力し、事件の全体的な範囲と規模を明らかにしている最中であり、現時点での調査結果とセキュリティ勧告はいずれも「初期段階」のものであると述べている。

アクセスされたデータには顧客の氏名、ログインIP、住所、電話番号、メールアドレスが含まれる。決済情報は含まれておらず、Frameworkはこの点を特に強調した。通知を受けたFrameworkは関連する認証情報をリセットし、「管理権限の変更は一切なく、Metabase以外のシステムがアクセスされた形跡もない」ことを確認したとしている。同社はまた、外部のデータベースプロバイダーへのデータ提供方法について見直し、改善を図ると表明した。

今回のタイミングはFrameworkにとって決して楽ではない。今年初めに新製品ラインナップを発表したばかりの同社は、メモリー不足問題で同業他社よりも苦戦しており、1月に一度価格を上げ、3月にも再度値上げした。予約受付を開始したばかりのFramework Laptop Proについても、部品コストの上昇によって一部の予約注文で約束していたRAM容量を下げざるを得なくなり、変更を受け入れない顧客には全額返金を提供している。

本稿執筆時点で、Metabaseのフォレンジック調査は依然進行中であり、影響範囲の全容や今後の対応については未公表となっている。