"직접 수리하고 업그레이드 가능"을 내세운 Framework, 서드파티 0-day 공격으로 사용자 정보 유출

Framework가 팔고 있는 건 "직접 분해하고 직접 고칠 수 있다"는 신뢰감인데, 이번에는 자신들이 관리할 수 없는 곳에서 문제가 터졌다. 8월 6일 밤, 수리와 업그레이드가 가능한 노트북으로 유명한 이 회사는 모든 고객에게 개인정보가 한 차례 데이터 유출 사고에서 접근당했다는 사실을 이메일로 통지했다—문제는 Framework 자체 시스템이 아니라, 회사가 비즈니스 데이터 관리에 사용하는 서드파티 서비스 업체 Metabase에서 발생했다.

Framework가 이메일에서 인용한 Metabase의 설명에 따르면, 8월 3일 해당 회사는 누군가가 "알려지지 않은(0-day) 취약점"을 이용해 데이터에 접근한 사실을 발견했으며, 현재 해당 취약점을 식별하고 패치를 완료했다. Metabase는 이메일에서 제3의 포렌식 조사 업체와 협력하여 사고의 전체 범위와 규모를 파악하고 있다고 밝혔으며, 현재까지의 조사 결과와 보안 권고사항은 모두 "초기" 단계라고 전했다.

접근당한 데이터에는 고객 이름, 로그인 IP, 주소, 전화번호, 이메일이 포함되어 있으며, 결제 정보는 여기에 포함되지 않았다고 Framework는 특별히 강조했다. 통지를 받은 후 회사는 관련 인증 정보를 재설정했으며, "어떠한 관리자 권한 변경도 없었고, Metabase 외의 시스템이 접근당한 흔적도 없다"고 확인했다. Framework는 또한 외부 데이터베이스 공급업체에 데이터를 맡기는 방식을 검토하고 개선하겠다고 밝혔다.

이번 시기는 Framework에게 순탄치 않다. 올해 초 신제품 라인업을 발표한 이후, 회사는 메모리 부족 문제로 동종 업계보다 더 큰 어려움을 겪었으며, 1월에 한 차례 가격을 올렸고 3월에도 다시 인상했다. 막 예약 판매를 시작한 Framework Laptop Pro도 부품 비용 상승으로 일부 예약 주문에서 약속했던 RAM 용량을 낮출 수밖에 없었으며, 변경을 받아들이지 않는 고객에게는 전액 환불을 제공했다.

기사 작성 시점까지 Metabase의 포렌식 조사는 여전히 진행 중이며, 전체 영향 범위와 후속 조치는 아직 공개되지 않았다.