Web-Datenlecks in Japan mit API-Missbrauch und Metabase verknüpft

Web-Datenlecks, die japanische Organisationen betreffen, wurden laut einer Warnmeldung des JPCERT Coordination Center, oder JPCERT/CC, vom 8. Oktober 2026 mit missbrauchten APIs mobiler Anwendungen, schwachen Kontrollen von Websystemen und der Ausnutzung einer kritischen Metabase-Schwachstelle in Verbindung gebracht. Das Zentrum erklärte, seine Informationen seien noch begrenzt und bruchstückhaft, und nannte weder einen Angreifer noch eine betroffene Organisation.

Die von JPCERT/CC beschriebenen Fälle betreffen mehr als gewöhnliche öffentliche Websites. Zu den gemeldeten Zielen gehören Backends von Verbraucher-Apps, Business-Intelligence-Tools, also Systeme zur Analyse von Unternehmensdaten, sowie Managementsysteme für Mitarbeitende, von denen die Betreiber nicht erwarteten, dass sie über das öffentliche Internet erreichbar sind. In einigen Fällen wurden in diesen Systemen gespeicherte Daten offengelegt. JPCERT/CC warnte außerdem, dass nicht bei jedem Vorfall dieselbe Technik verwendet worden sein muss.

Der Trend ist etwa seit September 2026 sichtbar, getrennt von Ransomware und anderen Routinevorfällen, und JPCERT/CC erklärte, die Aktivität könne zunehmen. Die Warnmeldung selbst nennt keine Gesamtzahl, verweist jedoch auf eine Analyse des Macnica Security Research Center vom 7. Oktober. Macnica zählte 119 Vorfälle, die 2026 bis zum 6. Oktober offengelegt wurden und bei denen personenbezogene Daten über Websysteme von Organisationen in Japan gestohlen oder offengelegt wurden. Für das gesamte Jahr 2025 zählte Macnica 84 solcher Vorfälle und 62 im Jahr 2024. Von den 119 Fällen im Jahr 2026 wurden 81 im Juli oder später öffentlich gemacht.

Macnica erklärte, die Zählung umfasse nur Fälle, die das Unternehmen als der aktuellen Serie ähnlich einstufte. Ransomware und Fälle, die das Unternehmen anderen Angreifergruppen zuordnet, sind ausgeschlossen. Von den 81 seit Juli offengelegten Vorfällen enthielten 65 nicht genügend Informationen, um die Eindringmethode zu bestimmen. Die Ziele haben sich von Onlineshops auf Mitgliederdienste, Geschäftssysteme und Kundensupport-Plattformen ausgeweitet. Als jüngste Beispiele wurden unter anderem ein Suchsystem für Bibliothekskataloge und ein Sitzplatzreservierungssystem für einen Touristenzug genannt.

Zwei offengelegte Vorfälle zeigen das mögliche Ausmaß. Park24 erklärte am 28. September, dass ein Dritter Daten von etwa 6,6 Millionen Konten aus dem Websystem erhalten habe, das vom Carsharing-Dienst Times Car genutzt wird. Am nächsten Tag teilte das Unternehmen mit, dass Ausweisdokumente, darunter Bilder von Führerscheinen, aus etwa 1,6 Millionen Konten offengelegt worden seien. Monogatari Corporation, Betreiber der Restaurantkette Yakiniku King, erklärte laut INTERNET Watch am 5. Oktober, dass 10.788.963 Datensätze aus dem Mitgliedersystem der Yakiniku-King-App offengelegt worden seien. Beide Unternehmen erklärten zu diesem Zeitpunkt, die Ursache werde weiterhin untersucht.

Macnica fand außerdem 99 ähnliche Fälle in 13 anderen Ländern und Regionen, hauptsächlich von Juli bis September. Die Zahlen umfassen 30 in Südkorea, 11 in Frankreich und 8 in Polen. Macnica erklärte, man wisse nicht, ob Japan das einzige Ziel sei, und wies darauf hin, dass Offenlegungsgesetze und -praktiken von Land zu Land unterschiedlich seien.

JPCERT/CC beschreibt drei breite Angriffsmuster. Das erste ist die unbefugte Nutzung von Management-APIs, also der verborgenen Schnittstellen, die Apps und Websites verwenden, um Daten anzufordern oder zu ändern. In einigen Fällen sendeten Angreifer Anfragen, die Informationen umschrieben. JPCERT/CC erklärte, Berichte umfassten Angreifer, die öffentlich veröffentlichte Smartphone-Apps analysierten, um API-Endpunkte und Schlüssel zu finden, interne APIs angriffen, die über normale App-Bildschirme nicht erreichbar sind, und API-Schlüssel verwendeten, die gestohlen wurden, nachdem ein anderes System bereits kompromittiert worden war.

Zu den gemeldeten Aktionen gegen interne APIs gehören das Ändern von Benutzerrechten, das Erstellen unbefugter Konten, das Vergleichen, wie Server reagieren, wenn Header hinzugefügt oder entfernt werden oder fehlerhaft formatierte Authentifizierungstoken gesendet werden, sowie das Auffinden von Kontodetails durch Blind NoSQL Injection. NoSQL Injection ist eine Methode, eine Datenbankabfrage so zu täuschen, dass sie Daten offenlegt oder ändert. Macnica berichtete auf Grundlage von Incident Response und Log-Analyse über dieselbe allgemeine Methode. In einigen Fällen extrahierten Angreifer API-Schlüssel aus einer Smartphone-App und riefen die API auf eine Weise auf, die normaler Nutzung ähnelte.

Die beschriebenen Schwächen sind Website- und App-Betreibern vertraut: APIs, die mehr Daten zurückgeben als nötig, übermäßige Berechtigungen, ohne Anmeldung zugängliche Mitgliederfunktionen, Logikfehler und Mängel im Sitzungsmanagement. JPCERT/CC erklärte außerdem, dass in einigen Fällen Angriffe auf schwache Passwörter von Administrationsoberflächen und die Ausnutzung bekannter Schwachstellen bestätigt wurden. Das zweite Muster besteht darin, dass Angreifer jedes Ziel möglicherweise auf eine Reihe bekannter Schwachstellen scannen, statt sich auf eine gemeinsame Schwäche zu verlassen, und bei mangelhafter Systemverwaltung auch versuchen können, Konfigurations- und Backup-Dateien zu stehlen.

Das dritte Muster ist die Ausnutzung von CVE-2026-72898 in Metabase, einem Open-Source-Business-Intelligence-Tool, das Organisationen mit Datenbanken verbinden. Metabase erklärte, die Schwachstelle sei als zero-day gegen den eigenen Cloud-Dienst ausgenutzt worden, und wies ihr einen CVSS-Schweregradwert von 10.0 zu. CISA nahm die Schwachstelle am 11. August in ihren Known Exploited Vulnerabilities catalog auf. JPCERT/CC warnte am 14. August davor.

CVE-2026-72898 ist eine SQL injection-Schwachstelle, was bedeutet, dass ein Angreifer in Datenbankbefehle eingreifen kann. Metabase erklärte, dass kein Konto erforderlich sei, um sie auszunutzen. Die Schwachstelle betrifft die eigene Anwendungsdatenbank von Metabase und kann Administratorzugriff ermöglichen. Von dort aus könnte ein Angreifer gespeicherte Zugangsdaten für verbundene Datenbanken erlangen und deren Daten lesen oder exportieren. Metabase veröffentlichte am 6. August ein Sicherheitsupdate und am 11. August eine weitere kritische Empfehlung zu Problemen, die das Unternehmen nach eigenen Angaben selbst gefunden hatte. Später erhöhte es die Mindestversion, die es für jede unterstützte Version als sicher betrachtet.

Für Open-Source-Builds von Metabase sind die Versionen, die CVE-2026-72898 zuerst behoben haben, 0.63.5, 0.62.9, 0.61.11, 0.60.17, 0.59.21 und 0.58.24. Die minimal sicheren Versionen von Metabase sind neuer: 0.63.13, 0.62.16, 0.61.18, 0.60.24, 0.59.28 und 0.58.31. Enterprise-Builds der Fixes vom 6. August verwenden statt 0.x eine 1.x-Nummerierung. Versionen unter 58 sind nicht von CVE-2026-72898 betroffen, und Metabase hat seinen Cloud-Dienst gepatcht.

Metabase erklärt, dass Betreiber, die nicht sofort aktualisieren können, den Endpunkt /api/session/reset_password für CVE-2026-72898 vorübergehend blockieren können, obwohl die Empfehlung vom 11. August den Nutzern zur Aktualisierung rät. Außerdem heißt es, ein Server sei wahrscheinlich kompromittiert, wenn Logs eine POST-Anfrage an /api/session/reset_password zeigen, die 400 zurückgibt, gefolgt von einer GET-Anfrage an /api/user/current, die 200 zurückgibt. Wenn der Reset-Endpunkt aus dem Internet erreichbar war, empfiehlt Metabase, aktive Sitzungen zu widerrufen, API-Schlüssel und Administratorkonten zu überprüfen, Zugangsdaten verbundener Datenbanken zu rotieren, Data-Warehouse-Logs zu prüfen und nach dem Upgrade die Metabase-Aktivität sowie den Abfrageverlauf zu überprüfen.

JPCERT/CC veröffentlichte Quell-IP-Adressen und User-Agent-Zeichenketten, die mit der Aktivität in Verbindung stehen, warnte jedoch, dass die Adressen während der genannten Zeiträume missbraucht wurden und inzwischen wieder normal verwendet werden könnten. Für API-Missbrauch um September 2026 sind die aufgeführten IP-Adressen 3.112.252[.]14, 54.95.112[.]6, 69.10.51[.]162, 172.86.91[.]7 und 210.149.87[.]120. Für die Ausnutzung von Metabase von Anfang August bis Anfang September 2026 sind die aufgeführten IP-Adressen 213.163.202[.]171, 221.216.140[.]49 und 221.216.140[.]129. Macnica sagte 210.149.87[.]120 und 69.