JPCERT/CC подробно описал три метода атак, стоящих за серией случаев несанкционированного доступа
Коротко
Координационный центр JPCERT (JPCERT/CC) 8 октября выпустил предупреждение в связи с серией случаев несанкционированного доступа в компаниях и организациях Японии примерно с сентября 2026 года, которые привели к утечкам персональных и иных данных. Центр описал три метода атак: попытки использовать известные уязвимости или недостатки управления, незаконные действия через API и эксплуатацию уязвимости SQL-инъекции в Metabase CVE-2026-72898.
Читать полностью 2 мин чтения
Координационный центр JPCERT (JPCERT/CC) 8 октября опубликовал предупреждение после серии случаев несанкционированного доступа в компаниях и организациях Японии примерно с сентября 2026 года, сообщили Mynavi News и ASCII.jp. По словам Mynavi News, эти случаи привели к утечкам персональных и иных данных. NHK сообщил, что специализированная организация по информационной безопасности опубликовала три подтверждённых к настоящему времени метода атак и призывает компании быть осторожными. [ 1 , 2 , 3 ]
Три метода — это попытки атаковать известные уязвимости или недостатки управления, незаконные действия через API и эксплуатация уязвимости SQL-инъекции в BI-инструменте Metabase, CVE-2026-72898. ASCII.jp сообщил, что, вместо того чтобы нацеливаться на одну общую уязвимость, злоумышленники, возможно, проверяют каждую цель на наличие уязвимостей или используют недостатки управления, не являющиеся уязвимостями. Mynavi News сообщил, что JPCERT/CC 14 августа выпустил отдельное предупреждение об уязвимости Metabase. [ 1 , 2 ]
При атаках на API анализировали общедоступные приложения для смартфонов, чтобы выявить ключи API, а по данным ASCII.jp, и конечные точки, и атаковали внутренние API. Mynavi News сообщил, что это внутренние API, которые нельзя запустить обычными действиями на экране, и что подтверждены изменения привилегий пользователей, создание несанкционированных учётных записей и неправомерное использование ключей API, украденных из других систем. ASCII.jp сообщил, что помимо приложений для широкой публики пострадали бизнес-инструменты и другие системы, не предназначенные для доступа неопределённого круга лиц. [ 1 , 2 ]
В JPCERT/CC заявили, что технической информацией о недавних случаях обмениваются недостаточно, а то, что известно центру, ограничено, сообщил Mynavi News. Центр опубликовал примеры IP-адресов, использованных со злоупотреблениями в период с августа по сентябрь 2026 года, которые, как он указал, на момент расследования могут использоваться законно, а также User-Agent, замеченные при подозрительном доступе, в том числе «curl/7.88.1», «Python-requests/2.34.2» и «Metabase-GHSA-vwf4/2.0», отметив, что одни лишь эти User-Agent не свидетельствуют о несанкционированном доступе. [ 1 ]
JPCERT/CC рекомендует устанавливать обновления, устраняющие известные уязвимости, больше не открывать в интернет ненужные административные функции и проверять системы управления для сотрудников и BI-инструменты, а также публичные сервисы, сообщил Mynavi News. Против атак на API центр называет ограничение числа запросов, надлежащий контроль доступа и минимальные права для токенов API; ASCII.jp добавил установку подходящих сроков действия токенов API и, где возможно, ограничение регионов, из которых разрешён доступ. По словам Mynavi News, JPCERT/CC также призвал пересмотреть мониторинг и первоначальное реагирование и удалять данные, срок хранения или цель использования которых истекли, чтобы ограничить ущерб от утечек. [ 1 , 2 ]
Почему это важно
ASCII.jp сообщил, что помимо приложений для широкой публики пострадали бизнес-инструменты и другие системы, не рассчитанные на доступ неопределённого круга лиц, а JPCERT/CC призвал организации проверить системы управления для сотрудников и BI-инструменты, а также публичные сервисы. В JPCERT/CC заявили, что знают о недавних случаях немного, поэтому их полный масштаб в сообщениях не раскрыт.
Ключевые факты
- JPCERT/CC 8 октября опубликовал предупреждение о серии случаев несанкционированного доступа в Японии. [ 1 , 2 ]
- Случаи происходят примерно с сентября 2026 года; по словам Mynavi News, они привели к утечкам персональных и иных данных в компаниях и организациях. [ 1 , 2 ]
- Описаны три метода атак: попытки использовать известные уязвимости или недостатки управления, незаконные действия через API и эксплуатация уязвимости в Metabase. [ 1 , 2 , 3 ]
- Недостаток Metabase — это уязвимость SQL-инъекции CVE-2026-72898; отдельное предупреждение о ней JPCERT/CC выпустил 14 августа. [ 1 ]
- При атаках на API анализировали общедоступные приложения для смартфонов, чтобы выявить ключи API, атаковали внутренние API и использовали ключи API, украденные из других систем. [ 1 , 2 ]
- Подтверждены изменения привилегий пользователей и создание несанкционированных учётных записей, сообщил Mynavi News. [ 1 ]
- Среди рекомендуемых мер — ограничение числа запросов к API, установка обновлений для известных уязвимостей и предоставление токенам API только минимально необходимых прав. [ 1 , 2 ]
Подтверждено несколькими источниками
- JPCERT/CC 8 октября выпустил предупреждение о серии случаев несанкционированного доступа в Японии примерно с сентября 2026 года. [ 1 , 2 ]
- Обнародованы три метода атак. [ 1 , 2 , 3 ]
- Случаи несанкционированного доступа привели к утечкам персональных данных. [ 1 , 3 ]
- Один из методов использует уязвимость SQL-инъекции в Metabase CVE-2026-72898. [ 1 , 2 ]
- Атаки на API включают анализ общедоступных приложений для смартфонов с целью найти ключи API и использование ключей API, украденных из других систем. [ 1 , 2 ]
- JPCERT/CC рекомендует ограничивать число запросов к API. [ 1 , 2 ]
Пока неясно
- Какие компании и организации пострадали и сколько было случаев. Ни в одном из сообщений не названы пострадавшие и не указано число случаев.
- Насколько много известно об атаках. Mynavi News сообщил, что, по словам JPCERT/CC, технической информацией обмениваются недостаточно, а то, что известно центру, ограничено.
- Связаны ли эти случаи между собой. ASCII.jp сообщил, что злоумышленники, возможно, проверяют каждую цель на наличие уязвимостей или используют недостатки управления, а не эксплуатируют одну общую уязвимость; это сведения из единственного источника, высказанные как предположение.
- Остаются ли перечисленные IP-адреса вредоносными. Mynavi News сообщил, что их использовали со злоупотреблениями в августе и сентябре 2026 года, но на момент расследования они могут использоваться законно.
Что пишут местные СМИ
Хронология, местное время
- Mynavi News сообщает о предупреждении JPCERT/CC от 8 октября о случаях несанкционированного доступа. [ 1 ]
- ASCII.jp сообщает о трёх методах атак, описанных JPCERT/CC. [ 2 ]
- NHK сообщает, что специализированная организация по информационной безопасности опубликовала три метода атак и призвала компании быть осмотрительными. [ 3 ]