概要

シドニー発の数学学習プラットフォームMathspaceは9月7日、社内の分析・レポーティングシステムが不正アクセスを受け、豪州とニュージーランドの生徒・保護者・学校職員ら合計1,079,819人分の個人情報が流出したと公表した。侵害は8月10日から27日にかけて発生しており、9月3日に過去のアクセスログを精査した結果発覚したという。流出したのはユーザーID、ユーザー名、氏名、メールアドレス、国・タイムゾーン、アカウント種別、メール確認状況、最終ログイン日時などで、パスワードやハッシュ値、SSO・APIの認証情報、学習記録や成績データは含まれていないとしている。

侵害の原因:パッチ未適用のMetabase脆弱性

侵入経路となったのは、Mathspaceが自社運用していた社内分析ツールMetabaseのパスワードリセットAPIに存在した未認証SQLインジェクション脆弱性(CVE-2026-72898、CVSSスコア10.0の最高深刻度)だった。この脆弱性は任意のSQLコマンドを注入し、正規の認証情報なしで管理者権限を奪取できるというもので、Metabase側は8月6日にこの脆弱性を公表し即座にパッチを公開、CISAも数日内に既知の悪用脆弱性(KEV)カタログへ追加していた。しかしMathspaceでは、この勧告を検知してエスカレーションする社内プロセスが機能しておらず、公表からわずか4日後の8月10日には攻撃者に侵入を許し、8月29日にようやく自社のMetabaseインスタンスにパッチを適用するという後手の対応となった。MathspaceのCTOであるAlvin Savoy氏は「攻撃者はセキュリティ上の脆弱性を悪用し、正規のログインなしでアクセスを可能にした」と説明している。

Metabaseを狙ったSQLインジェクション攻撃は今回が初めてではなく、ハッカー集団ShinyHuntersによるFrameworkやTallyなど他企業への同種の攻撃が既に報告されており、今回のMathspaceの事例も同一の攻撃手法の延長線上にあるとみられる。

対応状況と今後の影響

Mathspaceは侵害発覚後、該当のレポーティングシステムをオフラインにした上で、学校や教育当局、サイバーセキュリティ関連機関への通知を行い、影響を受けた利用者への個別連絡も進めている。また脆弱性情報のエスカレーション体制やパッチ適用後の検証プロセスを見直したとしている。同社は「盗まれたデータが公開または売買された証拠は今のところない」としつつも、「このようなことが起きてしまい心よりお詫び申し上げる。再発防止に努めている」とコメントした。

2010年にシドニーで設立されたMathspaceは、豪州・ニュージーランドに加え米国や英国の多数の学校で利用されている。今回流出したデータには学校とアカウントを直接紐付ける情報は含まれていないとされるが、学校ドメインを含むメールアドレスから間接的に所属先が推測できる可能性は残る。Mathspaceは利用者に対し、不審なパスワードリセットの通知やログイン試行に注意し、他サービスとパスワードを使い回さないこと、身に覚えのないメール内のリンクを不用意にクリックしないことを呼びかけている。