Vazamento de Dados na Mathspace Afeta Mais de 1 Milhão de Usuários na Oceania

A Mathspace, plataforma de ensino de matemática online, confirmou um incidente cibernético que expôs dados de mais de 1 milhão de usuários na Austrália e Nova Zelândia. O ataque, confirmado em 3 de setembro de 2026, explorou uma vulnerabilidade crítica em uma instância auto-hospedada da Metabase, software utilizado para relatórios internos. Esta falha, descrita como uma injeção SQL zero-day, permitiu que os atacantes obtivessem acesso de administrador sem credenciais legítimas, uma falha grave de controle de acesso.

Os criminosos acessaram os sistemas da Mathspace em 10 de agosto de 2026 e extraíram os dados em 27 de agosto de 2026. Embora a empresa assegure que registros acadêmicos, senhas e credenciais de autenticação não foram comprometidos, informações de identificação, como domínios de e-mail que podem ser associados a escolas, foram vazadas. Este tipo de dado, mesmo que não seja imediatamente sensível, representa um risco significativo de ataques de phishing direcionados e outras fraudes de engenharia social para estudantes, pais e funcionários.

A mais recente violação da Mathspace não é um evento isolado, mas parte de uma campanha de ataques mais ampla. Enquanto o CEVIU já cobriu incidentes envolvendo o grupo ShinyHunters, como o vazamento na InfiniteCampus em 16 de junho de 2026, a novidade é a onda de exploração de vulnerabilidades em instâncias Metabase. Este padrão revela uma mudança tática, onde o foco dos atacantes se volta para um software de relatórios específico, transformando o que pareciam ser incidentes isolados em uma série coordenada.

Essa escalada de ataques contra o Metabase indica uma exploração em massa, onde várias empresas que usam a ferramenta estão sob risco. Antes, a preocupação era com vulnerabilidades em diversas plataformas; agora, o holofote está sobre um ponto comum de falha que os cibercriminosos, possivelmente ShinyHunters, estão ativamente explorando. A notícia da Mathspace é um lembrete urgente da necessidade de proteção robusta para ferramentas internas, muitas vezes negligenciadas.

Este incidente reforça a importância da gestão de vulnerabilidades, mesmo em sistemas internos. Ferramentas como o Metabase, embora cruciais para operações, podem se tornar vetores de ataque se não forem rigorosamente atualizadas e monitoradas. Para empresas que adotam soluções auto-hospedadas, a responsabilidade de manter a segurança recai inteiramente sobre elas, exigindo equipes de segurança da informação vigilantes e processos de patching eficientes.

O envolvimento de atores de ameaças persistentes como ShinyHunters destaca a necessidade de uma defesa em camadas e a conscientização sobre táticas de engenharia social. Dados de contato e afiliações escolares, mesmo sem informações financeiras ou credenciais, são ouro para campanhas de phishing altamente personalizadas. Empresas e instituições de ensino devem redobrar a vigilância para proteger seus ecossistemas digitais e educar seus usuários sobre os riscos de ciberataques.