Die australische Online-Plattform für Mathematikunterricht Mathspace hat am vergangenen Wochenende eine Datenpanne bestätigt, von der mehr als eine Million Schüler, Lehrkräfte und Eltern betroffen sind. Angreifer verschafften sich Zugang zu dem internen Reporting-System Metabase, das das Unternehmen selbst hostet, und erbeuteten umfangreiche personenbezogene Daten. Die Plattform wird weltweit von tausenden Schulen genutzt, insbesondere in Australien, Neuseeland, den USA und Großbritannien.
Alvin Savoy, Chief Technology Officer von Mathspace, erklärte, dass unbekannte Angreifer am 10. August eine Sicherheitslücke in der selbst gehosteten Metabase-Installation ausnutzten und sich Administratorrechte verschaffen konnten. Am 27. August luden sie die Daten aus der australischen Reporting-Datenbank herunter, bevor der Vorfall am 3. September entdeckt wurde. Die gestohlenen Informationen umfassen Namen, E-Mail-Adressen und in einigen Fällen Verknüpfungen zu den jeweiligen Schulen – jedoch keine akademischen Aufzeichnungen, Lernaktivitäten, Passwörter oder Authentifizierungstokens.
Insgesamt sind 1.079.819 Personen betroffen, darunter Schüler, Schulpersonal sowie Eltern und Erziehungsberechtigte. Der Datendiebstahl beschränkt sich auf Australien und Neuseeland; Nutzer in anderen Ländern sind nicht betroffen. Savoy warnte die betroffenen Gruppen vor gezielten Phishing-Angriffen mit den gestohlenen Daten und riet, verdächtige Aktivitäten wie unerwartete Passwortzurücksetzungen oder Änderungen der Kontodetails genau zu beobachten.
Metabase-Sicherheitslücke zieht weitere Kreise
Der Angriff auf Mathspace reiht sich in eine Serie von Sicherheitsvorfällen ein, bei denen eine kritische SQL-Injection-Schwachstelle in der Business-Intelligence-Software Metabase ausgenutzt wurde. Im August hatten bereits das Hardware-Unternehmen Framework und der Formularanbieter Tally ähnliche Datenlecks gemeldet. Auch der Krypto-Wallet-Hersteller Trezor war betroffen: Nachdem Angreifer seinen Logistikdienstleister ShipMonk kompromittiert hatten, stahlen sie die Daten von zunächst rund 14.000 Kunden; die Zahl stieg später auf 81.000.
Hinter den Angriffen steht mutmaßlich die Erpresserbande ShinyHunters. Die Gruppe hatte Metabase Mitte August auf ihrer Dark-Web-Erpressungsseite gelistet. ShinyHunters wird zudem für eine Reihe weiterer großangelegter Datendiebstähle verantwortlich gemacht, darunter Angriffe auf Dutzende Snowflake-Kunden, Hunderte Salesforce-Instanzen sowie über hundert Enterprise-Opfer nach einer Oracle-PeopleSoft-Zero-Day-Attacke. Die Täter nutzen offenbar gezielt selbst gehostete Metabase-Instanzen als Einfallstor, da diese oft nicht ausreichend gegen bekannte Schwachstellen abgesichert sind.
Handlungsempfehlungen für betroffene Nutzer
Mathspace rät allen Betroffenen, insbesondere Schulpersonal und Schülern in Australien und Neuseeland, wachsam zu sein. Ungewöhnliche E-Mails oder Nachrichten, die persönliche Daten erfragen oder zu Kontoänderungen auffordern, sollten ignoriert werden. Es empfiehlt sich, die Sicherheitseinstellungen des eigenen Accounts zu überprüfen und bei Verdacht auf Missbrauch den Support zu kontaktieren. Da keine Passwörter oder Authentifizierungstokens abgeflossen sind, besteht kein unmittelbarer Zwang zur Passwortänderung – dennoch kann ein zusätzlicher Schutz durch Zwei-Faktor-Authentifizierung sinnvoll sein.
Der Vorfall zeigt einmal mehr, wie verwundbar selbst gehostete Analysesysteme sein können, wenn sie nicht regelmäßig auf bekannte Schwachstellen geprüft und zeitnah aktualisiert werden. Die Angriffswelle auf Metabase-Instanzen verschiedener Unternehmen unterstreicht, dass Angreifer zunehmend gezielt nach solchen Einfallstoren suchen. Für Bildungsplattformen, die sensible Daten von Minderjährigen verwalten, ist dies ein alarmierender Trend – umso wichtiger sind proaktive Sicherheitsmaßnahmen und transparente Kommunikation mit den betroffenen Familien und Schulen.
