Mathspace ข้อมูลหลุดกว่า 1 ล้านคน: Metabase ที่แพตช์ช้าเปิดช่องให้โจร

ถ้าลูกหรือตัวเองเคยใช้ Mathspace (แอปฝึกคณิตศาสตร์ออนไลน์) ในออสเตรเลียหรือนิวซีแลนด์ ข่าวนี้กระทบอีเมลกับชื่อในบัญชีครับ ไม่ใช่แค่เซิร์ฟเวอร์ของบริษัท

Mathspace อัปเดตประกาศเมื่อ 6 กันยายน 2026 ว่าเมื่อ 3 กันยายนยืนยันแล้วว่ามีผู้ไม่ได้รับอนุญาตเข้า ระบบรายงานภายใน Metabase แล้วดาวน์โหลดข้อมูลนักเรียน ผู้ปกครอง/ผู้ปกครองตามกฎหมาย ครู และพนักงานของ Mathspace

BleepingComputer รายงานเมื่อ 7 กันยายน สรุปตัวเลขเดียวกันว่ากระทบรวม 1,079,819 คน และจำกัดเฉพาะออสเตรเลียกับนิวซีแลนด์

ช่องทางที่ถูกใช้

โจมตีใช้ช่องโหว่ใน Metabase ที่ Mathspace ติดตั้งเอง (self-hosted) จนได้สิทธิ์แอดมินโดยไม่ต้องล็อกอิน

• ช่องโหว่ที่เกี่ยว: CVE-2026-72898 (SQL injection ที่ endpoint /reset_password) ตาม บันทึก CVE คะแนนสูงสุด 10.0
• Metabase ออก advisory + แพตช์เมื่อ 6 สิงหาคม 2026
• Mathspace เขียนเองว่ากระบวนการแจ้งเตือนช่องโหว่ของบริษัท ไม่ดัน advisory รอบแรกขึ้นมาจัดการ จึงอัปอินสแตนซ์ช้าไปถึง 29 สิงหาคม
• การเข้าถึงโดยไม่ได้รับอนุญาตเริ่มประมาณ 10 สิงหาคม (AEST) และดาวน์โหลดจากฐานรายงานออสเตรเลียเมื่อ 27 สิงหาคม

ผมไม่ลงขั้นตอนโจมตี เพราะสิ่งที่ผู้อ่านต้องทำคือป้องกันฟิชชิงหลังข้อมูลหลุด ไม่ใช่ทำซ้ำ

อะไรหลุด / อะไรไม่หลุด

ตามประกาศทางการของ Mathspace ข้อมูลที่ถูกส่งออกมีอย่างน้อย user ID, username, ชื่อ-นามสกุล, อีเมล, ประเทศ, โซนเวลา, ประเภทผู้ใช้, สถานะยืนยันอีเมล, วันใช้งานล่าสุด, วันล็อกอินล่าสุด และวันที่สมัคร — ไม่ใช่ทุกฟิลด์ครบทุกคน

ไม่หลุด: รหัสผ่าน (รวมแฮช), โทเคน SSO, ข้อมูลผลการเรียน, กิจกรรมเรียน, ผลการประเมิน, ข้อมูลการเงิน และ API credentials

ยังไม่มีหลักฐานว่าข้อมูลถูกเผยแพร่ ขาย หรือนำไปใช้ต่อ และยังไม่ระบุตัวผู้โจมตี (ณ วันที่ประกาศ)

ถ้าได้รับอีเมลแจ้ง หรือสงสัยว่าอยู่ในกลุ่มนี้

Mathspace เริ่มแจ้งโรงเรียนเมื่อ 4 กันยายน และเริ่มแจ้งบุคคลตั้งแต่ 6 กันยายน บริษัทเตือนชัดว่า เหตุการณ์จริง แต่ทุกข้อความที่อ้างเหตุการณ์นี้อาจไม่ใช่ของจริง

• อย่ากดลิงก์หรือเปิดไฟล์แนบจากอีเมลที่ยังไม่แน่ใจ
• ตรวจข้อความแยกทาง: เปิดเว็บ Mathspace เอง หรือส่งอีเมลใหม่ไปที่ [email protected]
• อย่าส่งรหัสผ่านหรือรหัสยืนยันให้ใครที่ทักมา
• ถ้ารหัส Mathspace เคยใช้ซ้ำที่อื่น ให้เปลี่ยนรหัสที่อื่นนั้นเป็นรหัสคนละชุด
• เฝ้าอีเมลรีเซ็ตรหัสหรือการเปลี่ยนบัญชีที่ไม่ได้ทำเอง

บัญชีที่เลิกใช้แล้วยังอาจอยู่ในฐานรายงานได้ ถ้าไม่แน่ใจ ให้ถามที่อีเมลตอบเหตุการณ์ด้านบน

Recap

• เช็กว่าเคยใช้ Mathspace ในออสเตรเลีย/นิวซีแลนด์หรือไม่ — กระทบรวมราว 1.08 ล้านคน
• ข้อมูลหลักที่เสี่ยงคือชื่อ + อีเมล + เมตาบัญชี → ฟิชชิงจะดูน่าเชื่อมากขึ้น
• รหัสผ่าน Mathspace ไม่หลุด แต่ถ้ารหัสซ้ำที่อื่นให้เปลี่ยน
• อย่าเชื่อลิงก์ในอีเมลแจ้งเหตุการณ์แบบสุ่ม — ติดต่อ [email protected] เอง
• ที่มา: Mathspace official / BleepingComputer / CVE-2026-72898