日本组织中一系列个人数据泄露事件的攻击者滥用了移动应用程序的API，并针对已知软件漏洞，JPCERT协调中心（JPCERT/CC）表示。
位于东京的该中心负责接收事件报告，其2026年10月8日的警报基于这些报告和其他信息。警报中没有提到攻击者和受影响的组织。
JPCERT/CC在警报中称其所知的信息“有限且零散”，此处翻译自日文。它表示，其报告并不意味着每个事件都使用了相同的方法。
除了消费者应用程序外，受攻击的系统还包括商业智能（BI）工具和其运营者未预期公众能够访问的员工管理系统。在某些情况下，这些系统中存储的数据泄露了。
对于防御者，警报包括八个源IP地址、五个用户代理字符串，以及一份API控制列表，包括每个端点的访问控制，无论是公共的还是私有的。
它提到的唯一目标是Metabase，这是一款具有已知漏洞的BI工具，攻击者已对此进行了利用。Metabase已敦促用户升级到至少2023年8月14日更新的最低安全版本。这些版本比该漏洞的首次修复版本更新。
这些泄露事件在2026年9月相继发生。JPCERT/CC表示，背后的攻击与勒索软件和其他常规事件是分开的，导致大量个人数据泄露，并可能在增加。
JPCERT/CC没有给出具体数量。一个数据来自日本公司Macnica的安全研究中心，其在10月7日发布的分析中提到。
Macnica统计了截至10月6日，今年通过日本组织运行的网络系统泄露或被盗的个人数据的119起事件。它在2025年统计了84起，2024年为62起，而今年119起事件中有81起发生在7月或之后。
该统计仅涵盖Macnica认为与当前系列相似的事件。它排除了勒索软件和Macnica与其他攻击组相关联的案例。在7月以来公开的81起事件中，有65起提供的细节太少，无法判断攻击者是如何入侵的。
目标从在线商店扩展到会员服务、商业系统和客户支持。最近的案例包括一个图书馆的目录搜索和一个旅游列车的座位预订系统。
两个案例显示了规模。Park24在9月28日表示，第三方从其Times Car共享服务的网络系统中获取了大约660万个账户的数据。一天后，它表示大约160万个账户的身份文件，例如驾驶执照图像，已泄露。
经营烧肉王餐厅连锁的Monogatari Corporation表示，10,788,963条记录从其烧肉王应用的会员系统中泄露，INTERNET Watch在10月5日报道。两家公司当时表示，原因仍在调查中。
Macnica还在其他13个国家和地区发现了99起类似案例，主要发生在7月至9月，包括30起在韩国、11起在法国和8起在波兰。它不确定日本是否是唯一的目标，并表示各国的披露法律和实践不同。
攻击者如何入侵
JPCERT/CC的警报描述了三种模式。第一种是对应用程序后端管理API的未经授权请求。在某些情况下，这些请求重写了信息。
JPCERT/CC收到了多个报告，描述了攻击者执行此操作的三种方式：
他们分析公开发布的智能手机应用程序，以找到其API端点和密钥。
他们攻击无法通过应用程序界面使用的内部API。报告的行为包括更改用户权限、创建未经授权的账户、比较添加或移除头部或发送格式错误的身份验证令牌时服务器的响应，以及通过盲目NoSQL注入查找账户详细信息。
他们使用在其他系统被攻破时窃取的API密钥。
Macnica的帖子报告了相同的方法，部分基于事件响应和日志分析。在某些情况下，攻击者从智能手机应用程序中获取API密钥，并以看似正常使用的方式调用API。
攻击者搜索每个网站及其API，寻找任何允许他们获取数据的漏洞。这些漏洞包括返回超过必要数据的API、权限过大的API、匿名用户可访问的会员功能、逻辑错误和会话管理缺陷。
在某些情况下，还确认了对弱管理屏幕密码的攻击和已知漏洞的利用。
第二种模式是JPCERT/CC提出的可能性。攻击者可能不会依赖所有目标共享的单一漏洞，而是扫描每个目标以寻找一系列已知漏洞并尝试利用它们。他们也可能在尝试利用糟糕的系统管理进行攻击，例如窃取配置和备份文件。
Metabase漏洞及应运行的版本
第三种模式是利用CVE-2026-72898，这是Metabase中的一个SQL注入漏洞，Metabase是一款开源BI工具，企业将其连接到数据库。
该漏洞在Metabase自己的云服务中被利用为零日漏洞，该公司在8月6日表示。它的CVSS评分为10.0。美国网络安全和基础设施安全局（CISA）在8月11日将其添加到已知利用漏洞目录中。
攻击者无需账户即可利用该漏洞。该漏洞允许对Metabase自己的应用程序数据库进行SQL注入，这可能授予管理员访问权限。从那里，攻击者可以窃取连接数据库的存储凭据并读取或导出其数据。
JPCERT/CC在8月14日警告了该漏洞。其新警报增加了三个在8月初到9月初期间被滥用的源IP地址，以及两个用户代理示例。警报没有说明来自这些地址的请求击中了哪些组织。
修复发布后攻击仍在继续。AhaSlides表示，第三方在其Metabase中利用了该漏洞，并在8月12日至9月7日期间获得了访问权限。
Metabase在8月6日的安全更新修复了CVE。