City Relay, doppio attacco a Metabase esporre dati finanziari e codici lockbox

City Relay, property manager londinese che gestisce migliaia di appartamenti nella capitale britannica e a Parigi, ha notificato ai propri clienti una doppia compromissione della sua istanza Metabase Cloud. L'intrusione, scoperta l'8 settembre 2026 e resa nota ai clienti il 14 settembre, ha potenzialmente esposto dati finanziari, credenziali di accesso e — in modo insolito per un data breach — i codici di lockbox e le ubicazioni delle chiavi fisiche di proprietà gestite. L'incidente solleva questioni sulla sicurezza delle piattaforme analytics cloud collegate a database transazionali non segmentati.

Il doppio accesso e i dati esposti

Nell'email inviata ai clienti e visionata dal The Register, City Relay ha scritto che la sua istanza su "piattaforma di terze parti" è stata "accessed [...] twice" a causa di una vulnerabilità "of which we were unaware". La dicitura "twice" — due volte — è significativa: non si tratta di un singolo evento, ma di accessi ripetuti alla stessa infrastruttura.

La fonte ha reso noto l'esatto elenco dei dati a rischio. Oltre a nomi, indirizzi email e fisici, numeri di telefono e password degli account, l'esposizione riguarda "bank account numbers, sort codes, IBANs, SWIFT references, and account names and addresses". Più inusitatamente, City Relay ha ammesso che "locations of stored keys and codes for lockboxes containing them" erano inclusi nei dati accessibili attraverso la piattaforma compromessa.

L'azienda ha dichiarato di aver "immediately took precautionary action to update the relevant access and key-storage codes", precisando che i codici precedenti "can no longer be used". City Relay ha aggiunto di non avere "evidence of any unauthorised property access arising from the incident". La dichiarazione non esclude che i codici siano stati copiati, ma afferma che non risultano usati per intrusioni fisiche.

La catena di attribuzione tecnica resta aperta

Il The Register ha tentato di collegare l'incidente a una zero-day SQL injection divulgata da Metabase il 6 agosto 2026, che secondo la stessa testata aveva colpito "less than 3% of customers". Metabase non ha confermato questo collegamento.

Parallelamente, il CVE-2026-27464 è stato pubblicato il 16 settembre 2026 nel National Vulnerability Database con CVSS 3.1 HIGH. La scheda NVD descrive una template injection in Metabase che permette a un utente con privilegi limitati di estrarre credenziali di database — una condizione che tecnicamente potrebbe aprire la strada all'accesso al backend. Tuttavia, la advisory GitHub GHSA-vcj8-rcm8-gfj9, datata 19 febbraio 2026, documenta una template injection nel notifications endpoint con meccanismo diverso dalla SQL injection di agosto. Il fix è disponibile nelle versioni v1.57.13 e v1.58.7.

Il dossier non stabilisce quale vulnerabilità abbia effettivamente colpito City Relay. La discrepanza tra il tipo di flaw menzionato nelle fonti giornalistiche (SQL injection zero-day di agosto) e quello documentato nel CVE-2026-27464 (template injection di febbraio) non è risolta. City Relay stessa ha usato una formula generica — "a vulnerability in the platform that we were unaware of" — senza specificare identificatore o classe.

"As property access and key-storage information was potentially included, we immediately took precautionary action to update the relevant access and key-storage codes" — City Relay, email ai clienti citata dal The Register

La lettura tecnica: quando il database transazionale si specchia nell'analytics

L'incidente offre un caso studio sulla configurazione errata di piattaforme business intelligence cloud. Dray Agha, ricercatore di Huntress citato dal The Register, ha distinto due scenari: "A company linking Metabase to a general analytics database will only expose harmless user metrics. A company that connects it directly to their core transactional database risks exposing highly sensitive financial records and credentials". La sua osservazione non attribuisce colpa a Metabase come prodotto, ma evidenzia una scelta architetturale: il punto di fallimento è la mancanza di segmentazione tra strato analytics e strato transazionale.

Agha ha aggiunto che "sensitive financial details should also be encrypted or tokenized when held in a database. Keeping this information readable creates a massive risk if a connected reporting tool is ever compromised". La citazione è una raccomandazione generale sulle best practice, non una constatazione documentata sull'implementazione specifica di City Relay. Il dossier non stabilisce se i dati bancari fossero cifrati, tokenizzati o in chiaro nel database a monte di Metabase.

Il nucleo tecnico, comunque, resta documentato: un'istanza Metabase Cloud connessa a un database che conteneva simultaneamente dati finanziari e credenziali di accesso fisico. La compromissione di un unico endpoint ha esposto due domini di sicurezza tradizionalmente separati — cybersecurity e physical security — attraverso un'unica superficie di attacco.

Cosa fare adesso

Per gli utenti di City Relay, le azioni documentate sono immediate e specifiche. L'azienda ha già disattivato i codici di lockbox esposti e li ha sostituiti: i clienti devono verificare di aver ricevuto i nuovi codici e segnalare eventuali anomalie nell'accesso alle proprietà. Per le credenziali account, la rotazione delle password è raccomandata, dato che le password degli account erano incluse nei dati a rischio.

Per i dati finanziari, il monitoraggio degli estratti conto è la misura pratica indicata: l'esposizione di IBAN, sort codes e riferimenti SWIFT espone a rischi di frodi bancarie o tentativi di social engineering. City Relay non ha indicato servizi di credit monitoring o rimborsi per eventuali perdite.

Per gli operatori che usano Metabase Cloud, il caso documenta tre controlli concreti. Verificare che l'istanza Metabase non sia collegata direttamente a database transazionali con dati finanziari o di accesso fisico: la segmentazione tra analytics e transazionale è la barriera che avrebbe limitato l'impatto. Controllare che la versione in uso sia aggiornata oltre v1.57.13/v1.58.7, fix della template injection documentata nella advisory GHSA-vcj8-rcm8-gfj9. Monitorare le advisory Metabase per la zero-day di agosto 2026, dato che il collegamento con l'incidente City Relay non è escluso ma non è confermato.

Domande e risposte

È confermato che il CVE-2026-27464 sia la vulnerabilità usata nell'attacco?
No. Il CVE-2026-27464 documenta una template injection in Metabase con estrazione di credenziali, ma né Metabase né City Relay hanno confermato che questa sia la flaw sfruttata. Le fonti giornalistiche menzionano anche una SQL injection zero-day di agosto 2026, senza risolvere la discrepanza.

I codici di lockbox sono stati effettivamente usati per intrusioni?
City Relay ha dichiarato di non avere evidenza di accessi non autorizzati alle proprietà. I codici esposti sono stati comunque disattivati e sostituiti.

Quanti clienti sono stati colpiti?
City Relay non ha dichiarato il numero. Il The Register, pur citando una fonte interna, non ha pubblicato una cifra indipendente.

Fonti

• https://www.theregister.com/security/2026/09/17/london-property-manager-breach-may-have-exposed-bank-details-and-lockbox-codes/5297232
• https://en.cryptonomist.ch/2026/09/17/london-property-data-breach/
• https://coindesk.cc/london-property-data-breach-exposes-bank-details-and-lockbox-codes-115467.html
• https://nvd.nist.gov/vuln/detail/cve-2026-27464
• https://github.com/metabase/metabase/security/advisories/GHSA-vcj8-rcm8-gfj9

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://t.co/WydnOZB0FE
• https://www.welivesecurity.com/en/eset-research/beware-sparrowock-backdoor-bites-commands-catch/#Backdoor%20commands