Mathspace beschreibt den Ablauf in einer Vorfallsmitteilung ungewöhnlich offen: „Unsere Untersuchung hat unbefugten Zugriff bis zum 10. August 2026, australische Ostküstenzeit, zurückverfolgt. Wir haben bestätigt, dass am 27. August Informationen aus unserer australischen Reporting-Datenbank heruntergeladen wurden.“
Der Einbruch gelang über eine selbst gehostete Metabase-Instanz. Die dabei ausgenutzte Schwachstelle CVE-2026-72898 ist eine SQL-Injection mit dem höchstmöglichen CVSS-Wert von 10 und wurde am 6. August behoben – zu diesem Zeitpunkt war sie bereits als Zero-Day in freier Wildbahn ausgenutzt worden. Unmittelbar nach der Veröffentlichung der Korrekturen bekannte sich die Erpressergruppe ShinyHunters zu dem Angriff auf Metabase.
Bei Mathspace blieb die kritische Warnung von Metabase zunächst folgenlos. Das Unternehmen räumt ein, die Meldung nicht eskaliert und die Instanz erst am 29. August aktualisiert zu haben – da lagen die Angreifer bereits seit mehr als zwei Wochen im System. Zudem führte Mathspace die von Metabase empfohlenen Prüfungen auf eine mögliche Kompromittierung nicht durch und bemerkte den Einbruch beim Einspielen des Updates nicht.
„Wir untersuchen, warum die ursprüngliche Sicherheitsmeldung nicht eskaliert und warum diese Prüfungen nicht früher abgeschlossen wurden. Wir ändern beide Prozesse als Teil unserer Reaktion auf den Vorfall“, teilt die Plattform mit.
Als Sofortmaßnahmen hat Mathspace die Metabase-Instanz vom Netz genommen, API-Schlüssel zurückgezogen, die Zugangskonten zur Datenbank deaktiviert, Passwörter geändert und die Protokolldaten für die Untersuchung exportiert.
Betroffen sind 1.079.819 Personen aus Australien und Neuseeland – Schülerinnen und Schüler, Lehrkräfte, Mitarbeitende sowie Eltern und Erziehungsberechtigte. Abgeflossen sind Namen, Nutzer-IDs, Benutzernamen, E-Mail-Adressen, der Verifizierungsstatus der E-Mail-Adresse, Zeitzone, Land, Registrierungsdatum sowie Angaben zur letzten Anmeldung und zur letzten Aktivität.
Nicht betroffen sind nach Darstellung des Unternehmens sensiblere Bestände: „Es wurden keine akademischen Aufzeichnungen, Lernaktivitäten, Ergebnisse, Prüfungsunterlagen, Passwörter (Hashes), Authentifizierungstoken, SSO-Zugangsdaten oder API-Zugangsdaten offengelegt. Die offengelegten Daten enthielten keine Datensätze, die Nutzerkonten mit ihren Schulen verknüpfen.“
Mathspace warnt davor, dass die Angreifer die erbeuteten Angaben für Phishing nutzen könnten, und rät den möglicherweise Betroffenen, unaufgeforderte Nachrichten mit zutreffenden Verweisen auf den Vorfall mit äußerster Vorsicht zu behandeln. Der Vorfall wurde den zuständigen Behörden in Australien gemeldet; die Benachrichtigung der Betroffenen begann am Wochenende.