Mathspace-CTO Alvin Savoy schilderte den Ablauf in einem am Samstag veröffentlichten Blogbeitrag. “Am 3. September 2026 haben wir bestätigt, dass unbefugte Dritte auf ein internes Berichtssystem von Mathspace zugegriffen und Informationen über Schüler, deren Eltern oder Erziehungsberechtigte sowie Schulpersonal heruntergeladen haben. Auch Personalakten von Mathspace-Mitarbeitern waren betroffen”, so Savoy.
Zur Ursache erklärte er: “Die Angreifer haben eine Sicherheitslücke in unserer selbst gehosteten Metabase-Installation ausgenutzt, einer Software, die wir für interne Auswertungen verwenden. Die Schwachstelle erlaubte es den Angreifern, ohne legitime Anmeldung Administratorzugriff auf dieses System zu erlangen.”
Die Zeitachse reicht deutlich weiter zurück als die Bestätigung: Zugang zu den betroffenen Systemen erlangten die Täter bereits am 10. August, die Daten aus der australischen Berichtsdatenbank luden sie am 27. August herunter. Erst am 3. September bestätigte Mathspace den Datendiebstahl.
Nach Darstellung des Unternehmens blieben sensible Kategorien außen vor. “Es wurden keine akademischen Aufzeichnungen, Lernaktivitäten, Ergebnisse, Prüfungsunterlagen, Passwörter (Hashes), Authentifizierungs-Token, SSO-Zugangsdaten oder API-Zugangsdaten offengelegt. Die offengelegten Daten enthielten keine Verknüpfung von Nutzerkonten zu ihren Schulen”, so Savoy. Er räumte jedoch eine Einschränkung ein: Bei Schulen mit erkennbaren E-Mail-Domains halte man eine solche Zuordnung für möglich.
Savoy warnte betroffene Schüler und Schulbeschäftigte davor, dass die gestohlenen Daten für Angriffe gegen sie genutzt werden könnten, und riet, auf verdächtige Aktivitäten rund um die eigenen Konten zu achten — etwa Änderungen an Kontodaten oder unerwartete Nachrichten zum Zurücksetzen von Passwörtern.
Mathspace ist nicht der einzige Fall dieser Kampagne. Der Hardware-Wallet-Hersteller Trezor teilte am 13. August mit, dass Angreifer nach einem Einbruch bei seinem Versand- und Logistikdienstleister ShipMonk Daten von knapp 14.000 Kunden entwendet hatten; am Freitag korrigierte das Unternehmen die Zahl der Betroffenen auf 81.000 nach oben. Trezor hat den Angriff bislang keiner konkreten Gruppe zugeordnet, doch BleepingComputer erfuhr, dass ShipMonk Erpressungsmails der Gruppe ShinyHunters erhalten hat. ShinyHunters hatte Metabase am 11. August auf seine Darknet-Leak-Seite gesetzt.
Zu den weiteren Unternehmen, die nach der Übernahme ihrer Metabase-Instanzen Datenabflüsse eingeräumt haben, zählen der Notebook-Hersteller Framework und die Formular-Plattform Tally. ShinyHunters wurde zuvor mit Einbrüchen bei mehr als einem Dutzend Snowflake-Kunden, mit den Kampagnen gegen Salesloft Drift und Salesforce Aura, die hunderte Salesforce-Kunden betrafen, sowie mit über 100 Unternehmensopfern nach Angriffen über eine Zero-Day-Lücke in Oracle PeopleSoft in Verbindung gebracht.