国内組織で個人情報の漏えい被害が相次ぐ

JPCERT/CCは10月8日、国内組織への不正アクセスや個人情報などの漏えいを受け、攻撃手法と対策をまとめた注意喚起を公表しました。直近では複数の製品やサービスで被害が発生しており、被害の拡大状況から、大量の情報漏えいにつながる攻撃類型が増えている可能性があるとしています。

対象には一般利用者向けアプリだけでなく、ビジネスインテリジェンス（BI）ツールや従業員向け管理システムも含まれます。こうしたシステムは、不特定多数からのアクセスを想定していない場合でも、内部に保存した情報が漏えいすることがあります。

JPCERT/CCが挙げた手法は、さまざまなソフトウェアの既知の脆弱性を探す攻撃、API経由の不正操作、BIツール「Metabase」の脆弱性を悪用する攻撃の3類型です。全事案で同じ手法が使われたとは限らず、把握した情報に応じて注意喚起を更新する方針です。

脆弱性探索と機器の管理不備を狙う

脆弱性探索では、特定のソフトウェアに共通する弱点だけでなく、標的ごとに異なるソフトウェアの既知の脆弱性を調べ、悪用を試みている可能性があります。JPCERT/CCは、機器の管理不備を突いて環境設定ファイルやバックアップファイルの窃取を試みる攻撃も挙げています。

そのため、確認対象は個別製品の更新状況に限りません。既知の脆弱性の影響を受けるバージョンを使っている場合は修正版を適用し、ウェブサーバーなどの侵害後に別のシステムへ被害が広がる経路も点検するよう求めています。

3つ目の類型は、MetabaseのSQLインジェクション脆弱性（CVE-2026-72898）を悪用する攻撃です。SQLインジェクションは、細工した入力を通じてデータベースに不正な命令を実行させる手法です。この脆弱性では、認証なしで細工されたリクエストを送ると、アプリケーションデータベースに不正なSQLクエリを実行され、管理者権限を取得される可能性があります。

APIへの不正リクエストで権限や情報を狙う

APIは、アプリや別のシステムが機能やデータを利用するための接続口です。JPCERT/CCには、公開スマートフォンアプリを解析してAPIの接続先やキーを特定し、管理用APIへ不正なリクエストを送る手口が報告されています。本来は画面から実行できない内部APIが攻撃対象になる場合もあります。

報告された操作には、ユーザー権限の変更や不正なアカウントの作成があります。また、認証トークンの形式を変えたり、ヘッダーの有無を切り替えたりして応答の違いを調べる手口や、NoSQLインジェクションによるアカウント情報の探索も含まれます。

APIキーが使われる経路は、アプリから見つけ出される場合に限りません。別のシステムへの侵害で窃取したAPIキーを使う攻撃も報告されています。さらに、Metabaseの脆弱性もAPIへの不正なリクエストを通じて悪用される類型として紹介されています。

APIの制限と権限、システム全体を点検

API対策としてJPCERT/CCは、一定時間内に受け付けるリクエスト数を制限し、短時間の反復アクセスや大量実行を防ぐよう推奨しています。ログイン、パスワードリセット、SMS送信、検索など、負荷や悪用のリスクが高い機能には個別の回数制限を設けます。

非公開APIを含む各エンドポイントでアクセスを制御し、許可された利用者とHTTPメソッドからのアクセスだけを受け付けることも対策に挙げています。API利用者やトークンには必要最小限の権限を設定し、トークンに有効期限を設け、不要になったものや漏えいが疑われるものを速やかに無効化できるようにします。

そのほか、利用地域が限られるサービスではアクセス元の地域を制限し、不要な管理機能のインターネット公開を停止すること、不正アクセスの検知体制と検知後の初動対応を見直すことを推奨しています。保存期間や利用目的を終えたデータを残さないことや、漏えい後の二次被害を防ぐ多要素認証も対策に含まれます。

JPCERT/CCは、一般公開を想定していない従業員向けシステムやBIツールも点検するよう呼びかけています。新たな攻撃手法や侵害原因が判明した場合は、注意喚起を更新するとしています。関連する不審なアクセスや侵害の情報提供、インシデント対応の相談も受け付けています。