JPCERT/CC detalla tres métodos de ataque detrás de una serie de casos de acceso no autorizado
En breve
El JPCERT Coordination Center (JPCERT/CC) emitió el 8 de octubre una alerta por una serie de casos de acceso no autorizado a empresas y organizaciones de Japón desde aproximadamente septiembre de 2026, que han provocado filtraciones de datos personales y de otro tipo. Describió tres métodos de ataque: intentos contra vulnerabilidades conocidas o fallos de gestión, operación ilícita a través de API y explotación de la vulnerabilidad de inyección SQL de Metabase CVE-2026-72898.
Leer la noticia completa 2 min de lectura
El JPCERT Coordination Center (JPCERT/CC) publicó el 8 de octubre una alerta tras una serie de casos de acceso no autorizado a empresas y organizaciones de Japón desde aproximadamente septiembre de 2026, informaron Mynavi News y ASCII.jp. Mynavi News dijo que los casos han provocado filtraciones de datos personales y de otro tipo. NHK informó de que un organismo especializado en seguridad de la información había publicado tres métodos de ataque confirmados hasta ahora e instaba a las empresas a ser cautelosas. [ 1 , 2 , 3 ]
Los tres métodos son intentos de atacar vulnerabilidades conocidas o fallos de gestión, operación ilícita a través de API y explotación de una vulnerabilidad de inyección SQL en la herramienta de BI Metabase, CVE-2026-72898. ASCII.jp informó de que, en lugar de apuntar a una única vulnerabilidad común, los atacantes podrían estar comprobando las vulnerabilidades de cada objetivo o aprovechando fallos de gestión que no son vulnerabilidades. Mynavi News informó de que JPCERT/CC había emitido el 14 de agosto una alerta aparte sobre la vulnerabilidad de Metabase. [ 1 , 2 ]
En los ataques a API se analizaron aplicaciones para teléfonos inteligentes de acceso público para identificar claves de API y, según ASCII.jp, puntos de conexión, y se atacaron API internas. Mynavi News dijo que se trataba de API internas que no pueden ejecutarse mediante las operaciones normales en pantalla, y que se habían confirmado cambios en los privilegios de usuarios, la creación de cuentas no autorizadas y el uso indebido de claves de API robadas de otros sistemas. ASCII.jp informó de que, además de aplicaciones para el público general, se han visto afectadas herramientas empresariales y otros sistemas no destinados al acceso de un número indeterminado de personas. [ 1 , 2 ]
JPCERT/CC dijo que la información técnica sobre los casos recientes no se ha compartido lo suficiente y que lo que sabe es limitado, informó Mynavi News. Publicó ejemplos de direcciones IP utilizadas de forma abusiva entre agosto y septiembre de 2026, que, según indicó, podrían tener un uso legítimo en el momento de la investigación, y User-Agents vistos en accesos sospechosos, entre ellos «curl/7.88.1», «python-requests/2.34.2» y «Metabase-GHSA-vwf4/2.0», y precisó que estos User-Agents por sí solos no demuestran un acceso no autorizado. [ 1 ]
JPCERT/CC recomienda aplicar las actualizaciones que corrigen vulnerabilidades conocidas, dejar de exponer a internet las funciones administrativas innecesarias y revisar los sistemas de gestión para empleados y las herramientas de BI, además de los servicios públicos, informó Mynavi News. Contra los ataques a API enumera limitar el número de solicitudes, un control de acceso adecuado y permisos mínimos para los tokens de API; ASCII.jp añadió fijar plazos de caducidad adecuados para los tokens de API y, cuando sea posible, restringir las regiones desde las que se accede. Mynavi News dijo que JPCERT/CC también pidió revisar la supervisión y la respuesta inicial, y eliminar los datos cuyo plazo de conservación o finalidad haya terminado para limitar los daños de las filtraciones. [ 1 , 2 ]
Por qué importa
ASCII.jp informó de que, además de aplicaciones para el público general, han sido atacadas herramientas empresariales y otros sistemas no concebidos para el acceso de un número indeterminado de personas, y JPCERT/CC instó a las organizaciones a revisar los sistemas de gestión para empleados y las herramientas de BI, además de los servicios públicos. JPCERT/CC dijo que lo que sabe sobre los casos recientes es limitado, por lo que los informes no exponen su alcance completo.
Datos clave
- JPCERT/CC publicó el 8 de octubre una alerta sobre una serie de casos de acceso no autorizado en Japón. [ 1 , 2 ]
- Los casos se producen desde aproximadamente septiembre de 2026; Mynavi News dijo que han provocado filtraciones de datos personales y de otro tipo en empresas y organizaciones. [ 1 , 2 ]
- Se describieron tres métodos de ataque: intentos contra vulnerabilidades conocidas o fallos de gestión, operación ilícita a través de API y explotación de una vulnerabilidad de Metabase. [ 1 , 2 , 3 ]
- El fallo de Metabase es la vulnerabilidad de inyección SQL CVE-2026-72898; JPCERT/CC emitió una alerta aparte sobre ella el 14 de agosto. [ 1 ]
- En los ataques a API se analizaron aplicaciones para teléfonos inteligentes de acceso público para identificar claves de API, se atacaron API internas y se usaron claves de API robadas de otros sistemas. [ 1 , 2 ]
- Se confirmaron cambios en los privilegios de usuarios y la creación de cuentas no autorizadas, informó Mynavi News. [ 1 ]
- Entre las medidas recomendadas figuran limitar el número de solicitudes a las API, aplicar las actualizaciones para vulnerabilidades conocidas y conceder a los tokens de API solo los permisos mínimos necesarios. [ 1 , 2 ]
Confirmado por varias fuentes
- JPCERT/CC emitió el 8 de octubre una alerta por una serie de casos de acceso no autorizado en Japón desde aproximadamente septiembre de 2026. [ 1 , 2 ]
- Se han hecho públicos tres métodos de ataque. [ 1 , 2 , 3 ]
- Los casos de acceso no autorizado han provocado filtraciones de datos personales. [ 1 , 3 ]
- Uno de los métodos explota la vulnerabilidad de inyección SQL de Metabase CVE-2026-72898. [ 1 , 2 ]
- Los ataques a API incluyen analizar aplicaciones públicas para teléfonos inteligentes para hallar claves de API y usar claves de API robadas de otros sistemas. [ 1 , 2 ]
- JPCERT/CC recomienda limitar el número de solicitudes a las API. [ 1 , 2 ]
Aún sin aclarar
- Qué empresas y organizaciones se vieron afectadas y cuántos casos ha habido. Ninguno de los informes nombra a las víctimas ni da un número de casos.
- Cuánto se sabe sobre los ataques. Mynavi News informó de que JPCERT/CC dijo que la información técnica no se ha compartido lo suficiente y que lo que sabe es limitado.
- Si los casos están relacionados. ASCII.jp informó de que los atacantes podrían estar comprobando las vulnerabilidades de cada objetivo o aprovechando fallos de gestión, en lugar de explotar una única vulnerabilidad común; procede de una sola fuente y se plantea como posibilidad.
- Si las direcciones IP citadas siguen siendo maliciosas. Mynavi News informó de que fueron utilizadas de forma abusiva en agosto y septiembre de 2026, pero que podrían tener un uso legítimo en el momento de la investigación.
Qué dicen los medios locales
Cronología, hora local
- Mynavi News informa de la alerta de JPCERT/CC del 8 de octubre sobre los casos de acceso no autorizado. [ 1 ]
- ASCII.jp informa de los tres métodos de ataque descritos por JPCERT/CC. [ 2 ]
- NHK informa de que un organismo especializado en seguridad de la información ha publicado tres métodos de ataque y ha instado a las empresas a tener cuidado. [ 3 ]