Fughe di dati web in Giappone collegate ad abusi delle API e a Metabase

Le fughe di dati web che colpiscono organizzazioni giapponesi sono state collegate all’abuso di API di applicazioni mobili, a controlli deboli dei sistemi web e allo sfruttamento di una vulnerabilità critica di Metabase, secondo un avviso dell’8 ottobre 2026 del JPCERT Coordination Center, o JPCERT/CC. Il centro ha dichiarato che le informazioni in suo possesso sono ancora limitate e frammentarie, e non ha indicato alcun aggressore né alcuna organizzazione colpita.

I casi descritti da JPCERT/CC riguardano più dei normali siti web pubblici. Tra gli obiettivi segnalati figurano back-end di app per consumatori, strumenti di business intelligence, cioè sistemi usati per analizzare i dati aziendali, e sistemi di gestione rivolti ai dipendenti che gli operatori non si aspettavano fossero raggiungibili da internet pubblico. In alcuni casi, i dati conservati in questi sistemi sono stati divulgati. JPCERT/CC ha inoltre avvertito che la stessa tecnica potrebbe non essere stata usata in tutti gli incidenti.

La tendenza è diventata visibile intorno a settembre 2026, separatamente dal ransomware e da altri incidenti di routine, e JPCERT/CC ha affermato che l’attività potrebbe essere in aumento. L’avviso in sé non fornisce un conteggio totale, ma cita un’analisi del 7 ottobre del Macnica Security Research Center. Macnica ha contato 119 incidenti divulgati nel 2026 fino al 6 ottobre in cui dati personali sono stati rubati o divulgati tramite sistemi web gestiti da organizzazioni in Giappone. Ne ha contati 84 di questo tipo in tutto il 2025 e 62 nel 2024. Dei 119 casi del 2026, 81 sono stati resi pubblici a luglio o successivamente.

Macnica ha dichiarato che il suo conteggio riguarda solo i casi che ha giudicato simili alla serie attuale. Esclude il ransomware e i casi che l’azienda associa ad altri gruppi di attacco. Degli 81 incidenti divulgati da luglio, 65 non fornivano informazioni sufficienti per determinare il metodo di intrusione. Gli obiettivi si sono ampliati dai negozi online ai servizi per membri, ai sistemi aziendali e alle piattaforme di assistenza clienti. Tra gli esempi recenti citati figurano un sistema di ricerca del catalogo di una biblioteca e un sistema di prenotazione dei posti di un treno turistico.

Due incidenti divulgati mostrano la possibile portata. Park24 ha dichiarato il 28 settembre che una terza parte ha ottenuto dati relativi a circa 6,6 milioni di account dal sistema web usato dal suo servizio di car sharing Times Car. Il giorno successivo ha dichiarato che documenti di identità, incluse immagini di patenti di guida, erano trapelati da circa 1,6 milioni di account. Monogatari Corporation, operatore della catena di ristoranti Yakiniku King, ha dichiarato che 10.788.963 record sono trapelati dal sistema membri della sua app Yakiniku King, secondo INTERNET Watch il 5 ottobre. Entrambe le aziende hanno dichiarato all’epoca che la causa era ancora oggetto di indagine.

Macnica ha inoltre individuato 99 casi simili in altri 13 Paesi e regioni, principalmente da luglio a settembre. I suoi dati includono 30 casi in Corea del Sud, 11 in Francia e 8 in Polonia. Macnica ha dichiarato di non sapere se il Giappone sia l’unico obiettivo, e ha osservato che le leggi e le prassi sulla divulgazione differiscono da Paese a Paese.

JPCERT/CC descrive tre ampi modelli di attacco. Il primo è l’uso non autorizzato di API di gestione, cioè le interfacce nascoste che app e siti web usano per richiedere o modificare dati. In alcuni casi, gli aggressori hanno inviato richieste che riscrivevano informazioni. JPCERT/CC ha affermato che le segnalazioni includono aggressori che analizzano app per smartphone rilasciate pubblicamente per trovare endpoint e chiavi API, attaccano API interne non raggiungibili attraverso le normali schermate dell’app, e usano chiavi API rubate quando un altro sistema era già stato compromesso.

Le azioni segnalate contro API interne includono la modifica dei privilegi degli utenti, la creazione di account non autorizzati, il confronto del modo in cui i server rispondono quando vengono aggiunti o rimossi header o quando vengono inviati token di autenticazione malformati, e il reperimento di dettagli sugli account tramite blind NoSQL injection. La NoSQL injection è un modo per ingannare una query di database inducendola a rivelare o modificare dati. Macnica, sulla base di attività di risposta agli incidenti e analisi dei log, ha segnalato lo stesso metodo generale. In alcuni casi, gli aggressori hanno estratto chiavi API da un’app per smartphone e hanno chiamato l’API in un modo che assomigliava all’uso normale.

Le debolezze descritte sono familiari agli operatori di siti web e app: API che restituiscono più dati del necessario, privilegi eccessivi, funzioni per membri accessibili senza effettuare l’accesso, errori logici e difetti nella gestione delle sessioni. JPCERT/CC ha inoltre affermato che in alcuni casi sono stati confermati attacchi a password deboli delle schermate di amministrazione e lo sfruttamento di vulnerabilità note. Il suo secondo modello è che gli aggressori potrebbero effettuare scansioni di ciascun obiettivo alla ricerca di una serie di vulnerabilità note, invece di affidarsi a una sola debolezza condivisa, e potrebbero anche tentare di rubare file di configurazione e di backup dove la gestione del sistema è carente.

Il terzo modello è lo sfruttamento di CVE-2026-72898 in Metabase, uno strumento di business intelligence open-source che le organizzazioni collegano ai database. Metabase ha dichiarato che la vulnerabilità è stata sfruttata come zero-day contro il proprio servizio cloud e le ha assegnato un punteggio di gravità CVSS pari a 10.0. CISA ha aggiunto la vulnerabilità al suo catalogo Known Exploited Vulnerabilities l’11 agosto. JPCERT/CC ha emesso un avviso al riguardo il 14 agosto.

CVE-2026-72898 è una vulnerabilità di SQL injection, il che significa che un aggressore può interferire con i comandi del database. Metabase ha dichiarato che non è necessario alcun account per sfruttarla. La vulnerabilità colpisce il database applicativo di Metabase stesso e può concedere accesso da amministratore. Da lì, un aggressore potrebbe ottenere credenziali memorizzate per i database collegati e leggere o esportare i loro dati. Metabase ha pubblicato un aggiornamento di sicurezza il 6 agosto e un altro avviso critico l’11 agosto per problemi che ha dichiarato di aver individuato autonomamente. In seguito ha innalzato la versione minima che considera sicura per ciascuna versione supportata.

Per le build open-source di Metabase, le versioni che hanno corretto per prime CVE-2026-72898 sono 0.63.5, 0.62.9, 0.61.11, 0.60.17, 0.59.21 e 0.58.24. Le versioni minime sicure di Metabase sono più recenti: 0.63.13, 0.62.16, 0.61.18, 0.60.24, 0.59.28 e 0.58.31. Le build Enterprise delle correzioni del 6 agosto usano la numerazione 1.x invece di 0.x. Le versioni inferiori alla 58 non sono interessate da CVE-2026-72898 e Metabase ha corretto il proprio servizio cloud.

Metabase afferma che gli operatori che non possono eseguire subito l’aggiornamento possono bloccare temporaneamente l’endpoint /api/session/reset_password per CVE-2026-72898, anche se il suo avviso dell’11 agosto invita gli utenti ad aggiornare. Afferma inoltre che un server è probabilmente compromesso se i log mostrano una richiesta POST a /api/session/reset_password con risposta 400, seguita da una richiesta GET a /api/user/current con risposta 200. Se l’endpoint di reset era raggiungibile da internet, Metabase raccomanda di revocare le sessioni attive, esaminare chiavi API e account amministratore, ruotare le credenziali dei database collegati, controllare i log del data warehouse ed esaminare l’attività e la cronologia delle query di Metabase dopo l’aggiornamento.

JPCERT/CC ha pubblicato indirizzi IP sorgente e stringhe User-Agent collegati all’attività, ma ha avvertito che gli indirizzi sono stati abusati durante i periodi indicati e potrebbero ora essere usati normalmente. Per l’abuso di API intorno a settembre 2026, gli indirizzi IP elencati sono 3.112.252[.]14, 54.95.112[.]6, 69.10.51[.]162, 172.86.91[.]7 e 210.149.87[.]120. Per lo sfruttamento di Metabase dall’inizio di agosto all’inizio di settembre 2026, gli indirizzi IP elencati sono 213.163.202[.]171, 221.216.140[.]49 e 221.216.140[.]129. Macnica ha dichiarato che 210.149.87[.]120 e 69.