Покупатели Framework получили письмо об «ограниченной» утечке данных: хакеры вытащили имена, адреса и другую личную информацию, но не платёжные данные. Обсуждение на форуме быстро перешло в разбор того, насколько правильно компания отреагировала. Инцидент нашла платформа бизнес-аналитики Metabase: она заметила проблему и за три дня уведомила Framework, а тем потребовалось всего шесть часов, чтобы подтвердить утечку и оповестить клиентов. Такой скорости пользователи не видели — обычно компании тянут месяцами. Пара человек всё равно переживает за карты, хотя в письме сказано, что платежи обрабатывает Stripe и данные карт не тронуты. Один на всякий случай отменил карту.
Главная претензия — к слову «limited». Утекла почти вся личная информация, которая у Framework была. «Вы перечислили все персональные данные, а потом пишете, что других не взято. Так это всё, что у вас было!» — возмущается пользователь. Он называет это тёмным паттерном. Другие злятся, что данные вообще отдавали третьей стороне. Metabase нужна для аналитики, но зачем ей знать имена и адреса? Framework обещает сократить доступ до нужных колонок, но это подтверждает: раньше отдавали лишнее.
Отдельная проблема — фишинг. Один покупатель незадолго до уведомления получил легитимное письмо «Action Required» — обновить способ оплаты, чтобы ноутбук отправили. Он не стал жать на кнопку, а сам зашёл на сайт, и это спасло. Мошенники, у которых теперь есть база адресов, могут сделать точную копию такого письма. Пользователь предлагает, как скандинавские банки, убрать ссылки из писем и просить заходить на сайт вручную.
Скептик Vikram сомневается в истории про zero-day: обычно такие уязвимости не закрывают мгновенно, скорее всего кто-то проспал патч. Он же напоминает: теперь у злоумышленников есть адреса, так что те, кто публично рассказывал о заказах в темах Batch X, рискуют физической кражей. Он предлагает почистить эти темы.
Несмотря на претензии, многие благодарят Framework за скорость и прямоту. На фоне других компаний это образец, хотя осадок от утечки остался.