Androidworld: gehashte wachtwoorden gelekt bij hack

Samenvatting

Androidworld meldt een datalek via Metabase: gegevens van ongeveer 5000 gebruikers, waaronder gehashte wachtwoorden, zijn ingezien.

Metabase en het Androidworld-datalek

Op 3 september 2026 kreeg Androidworld van de politie te horen dat een onbevoegde toegang had tot het interne analysesysteem van de site. Androidworld gebruikte Metabase om interne gegevens te analyseren. Via die omgeving zijn e-mailadressen, gebruikersnamen en gehashte wachtwoorden opgevraagd.

Androidworld weet zeker dat de gegevens zijn ingezien, maar niet welke gegevens daadwerkelijk zijn gekopieerd of buiten het systeem zijn gebracht. De site heeft alle wachtwoorden gereset en de betrokken gebruikers per e-mail geïnformeerd. Ongeveer 5000 lezers zijn volgens Androidworld slachtoffer van het incident.

Waarom het Metabase-datalek telt voor BI

Het incident maakt duidelijk dat een analysesysteem niet alleen rapportages bevat. Ook accountgegevens kunnen in de omgeving terechtkomen of via koppelingen bereikbaar zijn. Daardoor hoort toegangsbeheer rond Metabase bij de beveiliging van de totale BI-omgeving, niet alleen bij de applicatiebeheerder.

De aanval bleef bovendien niet beperkt tot Androidworld. Metabase meldde begin augustus zelf slachtoffer te zijn geworden van een hack. Vorige maand bleek ook Framework getroffen. De bron vermeldt niet hoe Androidworld de wachtwoorden heeft gehasht en evenmin welke afzonderlijke records buiten het systeem zijn gebracht. Die onzekerheid maakt forensisch onderzoek en heldere communicatie richting gebruikers nodig.

Voor BI-teams ligt hier een concrete controlelijst: welke persoonsgegevens staan in analysesystemen, welke accounts hebben toegang en welke externe verbindingen blijven actief? De zaak gaat niet over de kwaliteit van een rapport, maar over de gegevens die achter dat rapport beschikbaar zijn.

Concrete takeaway voor Metabase-beheer

Inventariseer direct welke gebruikers- en authenticatiegegevens via Metabase bereikbaar zijn. Controleer toegangsrechten, actieve koppelingen en logging, en scheid accountgegevens van interne analyses waar dat niet nodig is. Bij een incident moet je bovendien wachtwoorden resetten en gebruikers informeren, zoals Androidworld deed. Leg ook vast welke gegevens zeker zijn ingezien en welke gegevens mogelijk zijn gekopieerd; dat onderscheid bepaalt hoe je het incident uitlegt.