Mathspace Ungkap Kebocoran Data yang Berdampak pada Lebih dari 1 Juta Orang

Platform pembelajaran matematika online Mathspace mengungkap insiden kebocoran data yang berdampak pada lebih dari 1 juta siswa, staf sekolah, serta orang tua atau wali setelah sistem internal perusahaan yang menggunakan Metabase berhasil diretas.

Mathspace yang didirikan di Sydney pada 2010 digunakan oleh ribuan sekolah di Australia, Selandia Baru, Amerika Serikat, dan Inggris. Berdasarkan statistik perusahaan pada 2023, platform tersebut digunakan oleh 3.432 sekolah di Australia dan 3.557 sekolah lainnya di berbagai negara.

Dalam pengumuman pada Sabtu, CTO Mathspace Alvin Savoy mengatakan perusahaan mengonfirmasi pada 3 September 2026 bahwa pihak tidak berwenang telah mengakses sistem pelaporan internal dan mengunduh informasi mengenai siswa, orang tua atau wali, serta staf sekolah.

Hacker Eksploitasi Kerentanan Metabase

Menurut Mathspace, serangan terjadi setelah penyerang mengeksploitasi kerentanan keamanan pada instalasi Metabase self-hosted yang digunakan perusahaan untuk kebutuhan pelaporan internal.

Kerentanan tersebut memungkinkan attacker mendapatkan hak akses administrator pada sistem tanpa harus memiliki kredensial login yang sah.

Mathspace menyatakan threat actor pertama kali memperoleh akses ke sistem yang terdampak pada 10 Agustus 2026. Selanjutnya, data dari database pelaporan Mathspace di Australia diunduh pada 27 Agustus.

Perusahaan baru mengonfirmasi adanya pencurian data tersebut pada 3 September setelah melakukan penyelidikan.

Lebih dari 1,07 Juta Orang Terdampak

Mathspace mengatakan sebanyak 1.079.819 orang terdampak dalam insiden tersebut.

Kelompok yang termasuk di dalamnya adalah:

• Siswa
• Staf sekolah
• Orang tua atau wali siswa

Namun, dampak kebocoran disebut hanya mencakup pengguna yang berada di Australia dan Selandia Baru.

Mathspace menegaskan bahwa penyerang tidak mencuri password maupun kredensial autentikasi. Data akademik dan aktivitas pembelajaran juga tidak termasuk dalam informasi yang terekspos.

Perusahaan secara khusus menyatakan bahwa data berikut tidak ikut terekspos:

• Catatan akademik
• Aktivitas pembelajaran
• Hasil belajar
• Data assessment
• Password dan password hash
• Authentication token
• Kredensial SSO
• API credentials

Mathspace juga mengatakan data yang terekspos tidak berisi informasi yang secara langsung menghubungkan akun pengguna dengan sekolah mereka.

Meski demikian, untuk sekolah yang menggunakan domain email yang dapat diidentifikasi, penyerang mungkin tetap dapat menghubungkan sebagian akun dengan institusi tertentu.

Data Dapat Dimanfaatkan untuk Phishing

Walaupun kredensial login tidak termasuk dalam data yang dicuri, Mathspace memperingatkan bahwa informasi pribadi yang terekspos dapat dimanfaatkan untuk serangan lanjutan.

Siswa dan staf sekolah yang terdampak disarankan memperhatikan aktivitas mencurigakan pada akun mereka, terutama perubahan detail akun atau pesan yang berkaitan dengan permintaan reset password.

Penyerang dapat menggunakan informasi yang diperoleh untuk membuat email atau komunikasi lain yang terlihat meyakinkan sehingga korban lebih mudah tertipu.

Mathspace karena itu meminta pengguna untuk berhati-hati terhadap pesan yang tidak biasa, terutama komunikasi yang meminta informasi tambahan atau tindakan terkait akun.

Bagian dari Gelombang Serangan terhadap Metabase

Insiden Mathspace menambah daftar perusahaan yang mengalami kebocoran data setelah instance Metabase mereka dikompromikan dalam beberapa pekan terakhir.

Dalam kampanye tersebut, threat actor mengeksploitasi critical SQL injection zero-day pada Metabase untuk memperoleh akses administrator ke instance yang rentan. Setelah mendapatkan akses, penyerang dapat mengambil data dari lingkungan perusahaan yang menggunakan platform tersebut.

Salah satu perusahaan yang sebelumnya terdampak adalah Trezor. Produsen hardware wallet tersebut awalnya mengungkap kebocoran data hampir 14.000 pelanggan setelah penyedia logistiknya, ShipMonk, mengalami insiden keamanan. Jumlah korban kemudian meningkat menjadi 81.000 pelanggan setelah ditemukan bahwa data pelanggan lama masih tersimpan di sistem penyedia layanan tersebut.

Perusahaan lain yang turut melaporkan insiden serupa adalah Framework dan platform pembuatan formulir online Tally. Keduanya juga menggunakan Metabase dan mengalami pencurian data setelah instance Metabase mereka berhasil diambil alih.

ShinyHunters Dikaitkan dengan Kampanye Ini

Kampanye serangan terhadap Metabase tersebut juga dikaitkan dengan kelompok pemerasan data ShinyHunters.

Dalam kasus ShipMonk, perusahaan dilaporkan menerima email pemerasan dari kelompok tersebut. ShinyHunters juga sebelumnya mencantumkan Metabase dalam situs kebocoran data mereka pada 11 Agustus.

Namun, berdasarkan informasi yang tersedia, Mathspace belum secara resmi menyatakan bahwa ShinyHunters merupakan pelaku serangan terhadap sistemnya.

ShinyHunters sendiri sebelumnya telah dikaitkan dengan berbagai kampanye pencurian data berskala besar, termasuk serangan terhadap pelanggan Snowflake, Salesloft Drift, Salesforce, serta organisasi yang menggunakan Oracle PeopleSoft.

Rangkaian insiden terbaru ini kembali menunjukkan risiko keamanan yang muncul ketika platform pihak ketiga yang digunakan untuk kebutuhan internal perusahaan memiliki kerentanan yang dapat dieksploitasi dari jarak jauh.

Dalam kasus Mathspace, meskipun data akademik dan kredensial pengguna tidak ikut tercuri, jumlah korban yang mencapai lebih dari satu juta orang membuat insiden ini tetap menjadi kebocoran data yang signifikan.

Sumber: Mathspace