Kung sumusubaybay ka sa balitang seguridad sa Japan, napansin mo na ito: mula Setyembre 2026, halos linggo-linggo ay may bagong abiso ng data leak. Sunud-sunod na naglabas ng abiso ang mga loyalty program, app ng restawran, booking site, community platform at job portal — ilan dito ay naisulat na namin, gaya ng Lawson ID, Bookoff, Commune at Baitoru.
Noong Oktubre 8–9, sabay-sabay na kumilos ang mga opisyal na ahensya ng seguridad ng bansa. Naglathala ang JPCERT/CC ng alerto na JPCERT-AT-2026-0030, naglabas ang IPA (Information-technology Promotion Agency) ng listahan ng mga tseke na gagawin "agad", at nagpadala ang METI (Ministry of Economy, Trade and Industry) ng pormal na kahilingan sa mga samahan ng negosyo. Binubuod ng artikulong ito ang sinasabi ng mga dokumentong iyon, sa praktikal na paraan, para sa mga nagpapatakbo ng sistema sa maliliit at katamtamang negosyo.
Isang mahalagang paalala muna: wala sa mga ahensyang ito ang nag-ugnay sa breach ng isang partikular na kumpanya sa isang partikular na paraan ng pag-atake. Ang mga kasong nabanggit sa itaas ay konteksto lamang ng alon — hindi namin sinasabing nangyari ang bawat isa sa paraang inilalarawan sa ibaba.
Ano ang sinabi ng JPCERT/CC
Inilathala ang alertong AT-2026-0030 noong Oktubre 8 at in-update noong Oktubre 9, 2026. Ayon sa JPCERT/CC, bandang Setyembre ay nagkaroon ng sunud-sunod na pagtagas ng personal na datos dahil sa hindi awtorisadong access sa mga organisasyon sa Japan, at ang teknikal na impormasyong naibahagi ay "limitado at pira-piraso" pa. Gayunman, nagpasya itong magbabala dahil kumakalat ang pinsala.
Dalawang punto ang kapansin-pansin:
- Saklaw ng alerto ang uri ng atake na iba sa mga kaso ng ransomware na paminsan-minsang nangyayari: ang pokus ay ang mga panghihimasok na humahantong sa pagtagas ng napakaraming personal na datos.
- Hindi lang mga app para sa publiko. Tinamaan din ang mga BI (business intelligence) tool at mga sistema ng pamamahala para sa empleyado — mga sistemang inaakala ng mga nagpapatakbo na "hindi bukas sa kahit sino".
Idiniin ng JPCERT/CC na hindi lahat ng insidente ay gumamit ng parehong paraan at ia-update ang pahina kapag may bagong impormasyon.
Ang apat na pattern ng atake na nakita
Inilalarawan ng alerto ang apat na "kaso" batay sa mga ulat na natanggap. Binubuod namin ang mga ito sa antas ng depensa, nang walang detalyeng operasyonal:
- Kaso A — pag-scan ng mga kilalang kahinaan. Hindi ito iisang depekto sa iisang produkto. Sinusubukan ng mga umaatake, target por target, ang maraming kilala nang kahinaan pati na rin ang maling configuration, gaya ng mga environment configuration file o backup na naiwan sa lugar na naaabot.
- Kaso B — pang-aabuso sa API. Mga hindi wastong request sa management API ng mga app, na may binagong datos. Kabilang sa mga ulat ang pagsusuri sa mga pampublikong smartphone app para matuklasan ang mga endpoint at key; pag-atake sa mga internal API na hindi dapat naaabot mula sa UI (pagpapalit ng pribilehiyo ng user, paggawa ng pekeng account); pagsubok gamit ang maling format na authentication token; blind na paghahanap gamit ang NoSQL injection para matukoy ang mga account; at paggamit ng mga API key na ninakaw sa breach ng ibang sistema.
- Kaso C — Metabase CVE-2026-72898. Ang SQL injection na kahinaan sa BI tool na Metabase, na inaabuso rin sa pamamagitan ng API, na binalaan na ng JPCERT/CC noong Agosto 14. Naisulat namin ito sa Metabase CVE-2026-72898.
- Kaso D — web shell sa application server. May natagpuang mga WAR file na naka-deploy sa mga application server na naaabot mula sa pampublikong web server; ang JSP sa loob nito ay gumana bilang simpleng web shell.
Naglathala rin ang JPCERT/CC ng mga kahina-hinalang source IP address at halimbawa ng User-Agent para makatulong sa imbestigasyon, na may paalalang maaaring lehitimong ginagamit na ngayon ang ilang IP. Kung kailangan mong suriin ang iyong mga log, gamitin nang direkta ang listahan sa opisyal na pahina (naka-link sa mga sanggunian) dahil maaari itong ma-update.
Mga inirerekomendang hakbang para sa API
Ang pinakakapaki-pakinabang na bahagi ng alerto ay ang listahan ng mga countermeasure. Para sa access sa pamamagitan ng API, inirerekomenda ng JPCERT/CC na:
- Limitahan ang bilang ng request kada yunit ng oras at harangin ang paulit-ulit na access o maramihang pagpapatakbo.
- Maglagay ng hiwalay na limitasyon para sa mga high-risk na function: login, pag-reset ng password, pagpapadala ng SMS at paghahanap.
- Ipatupad ang access control sa bawat endpoint, kasama ang mga hindi pampublikong API, at tumanggap lamang ng awtorisadong user at HTTP method.
- Bigyan ang mga user at API token ng pinakamababang pahintulot na kailangan lamang.
- Magtakda ng angkop na expiry para sa mga token at iwasan ang mga pangmatagalang token.
- Kakayahang mabilis na i-revoke ang mga token na hindi na ginagamit o maaaring nag-leak.
Karagdagang pangkalahatang hakbang: limitahan ang pinagmulang rehiyon kapag sa iisang bansa lang ginagamit ang serbisyo; i-apply ang mga update para sa mga bulnerableng bersyon; repasuhin ang pagpigil sa lateral movement matapos makompromiso ang web server; repasuhin ang detection at unang tugon; paalalahanan nang maaga ang mga customer (halimbawa, tungkol sa multi-factor authentication); alisin sa internet ang mga hindi kailangang admin function; at huwag magtago ng datos lampas sa legal na panahon o kapag tapos na ang layunin nito. Ang ibinigay na sanggunian ay ang OWASP API Security Top 10.
Ang agarang checklist ng IPA
Noong Oktubre 9, naglathala ang IPA ng dokumento para sa mga ehekutibo ng mga kumpanyang may hawak na maraming datos. Ayon sa ahensya, galing sa iba't ibang sektor ang mga abiso ng leak, kabilang ang mga institusyong pinansyal at telecom operator, at hindi pa masasabing tinatarget ng mga atake ang kahinaan ng isang partikular na produkto. Batay sa pattern ng mga pampublikong kaso, mukhang nagsisimula ito sa pagkompromiso ng mga application at serbisyong bukas sa labas, at ng mga account.
Ang mga tsekeng ipinapagawa ng IPA ngayon:
- Mga application na bukas sa labas: ilista ang lahat ng sariling app at serbisyong nakalathala sa internet; suriin ang mga kamakailang log para sa anomalya (dami ng error, kaibahan sa karaniwan), simula sa nakaraang buwan at palawakin sa tatlong buwan; tingnan kung may nakabinbing patch at i-apply ito sa lalong madaling panahon.
- Mga panlabas na serbisyong ginagamit ng kumpanya: ilista ang lahat — cloud, VPN at iba pa — kasama ang mga kinontrata ng bawat departamento; suriin ang log ng bawat serbisyo (bigong login, kakaibang source IP at oras ng access); at hanapin ang mga account na walang gumawa o mga na-disable na account na naging aktibo ulit.
- Nakaimbak na datos: repasuhin kung ano talaga ang kailangang itago ng kumpanya, dahil ang datos na ninakaw ngayon ay nagiging pangingikil at ibinebenta sa mga forum.
Kapag may lumitaw na kakaibang log o account, sinasabi ng IPA na ituring ito agad bilang security incident at mariing inirerekomenda ang pagkuha ng espesyalistang kumpanya para mag-imbestiga.
Pagkatapos, inilista ng ahensya ang mga hakbang sa katamtamang termino: repasuhin kung ano ang nakalantad, palakasin ang authentication (MFA at password), repasuhin ang mga pahintulot at API integration, palawakin ang nilalaman at retention ng log, at pag-isipang muli kung saan at paano iniimbak ang datos, kasama ang encryption.
Ang kahilingan ng METI
Ipinasa ng METI ang mga alerto ng NCO (National Cybersecurity Office), JPCERT/CC at ng Personal Information Protection Commission (PPC) sa mga samahan ng negosyo gaya ng JADMA (Japan Direct Marketing Association) at ng Japan Chamber of Commerce and Industry. Tatlong bagay ang hinihingi ng ministeryo: direktang pamumuno ng top management, mabilis na pagtugon sa impormasyon tungkol sa mga kahinaan at paglipat sa "zero trust", isinasaalang-alang ang buong supply chain. Kapag may insidente, dapat iulat ito ng mga kumpanya sa mga sektor na pinangangasiwaan nito kasama ang timeline, uri ng pinsala at uri ng atake, at isaalang-alang din ang pag-uulat sa pulisya.
Ano ang dapat gawin ng isang SMB ngayong linggo
Isinasalin ang mga dokumento sa makatotohanang gawain:
- Gumawa ng imbentaryo. Ilista ang lahat ng nasa internet sa ilalim ng pangalan ng kumpanya: website, online store, app, admin panel, BI tool, VPN at mga cloud service na kinontrata ng bawat team.
- Tingnan ang log ng nakaraang 30 araw. Hanapin ang biglang pagdami ng error, login mula sa mga bansang hindi ninyo pinagsisilbihan, kakaibang dami ng API call at mga bagong account na walang nakakakilala.
- Isara ang hindi kailangang bukas. Hindi dapat sumasagot sa kahit anong IP sa internet ang mga admin panel at internal tool.
- Repasuhin ang mga API key. I-revoke ang mga luma, bawasan ang pahintulot at tiyaking walang key na naka-embed sa nailathalang app.
- Mag-update. Unahin ang mga nakalantad na bahagi at, kung gumagamit ng Metabase, kumpirmahing nasa naayos na bersyon na.
- Burahin ang hindi kailangang itago. Mas kaunting datos, mas kaunting pinsala.
Para sa maliliit na kumpanya, binabanggit ng IPA ang mga libreng mapagkukunan gaya ng limang-minutong self-assessment at ang self-declaration na SECURITY ACTION, pati ang serbisyong "Cybersecurity Otasuketai" na pinagsasama ang monitoring, on-site na tugon at insurance.
Ano pa ang hindi alam
Hindi pa iniuugnay ng mga ahensya ang mga insidente sa iisang grupo o iisang depekto, at sinabi mismo ng JPCERT/CC na bahagya pa lamang ang hawak nitong larawan. Susubaybayan namin ang mga bagong update sa AT-2026-0030 at ang mga abiso ng mga apektadong kumpanya, at ia-update namin ang artikulong ito kung may mahalagang pagbabago.
Mga Sanggunian
- JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)
- IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026-10-09)
- JADMA: 経済産業省の注意喚起及び情報提供に係る協力依頼 (2026-10-09)
- 日本商工会議所: 不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について（経済産業省）
- JPCERT/CC: MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
- Impress Watch: 国内で情報漏えい被害が相次ぐ JPCERT/CCが攻撃手法と対策を公表
- マイナビ TECH+: 国内で不正アクセス相次ぐ、JPCERT/CCが注意喚起
- Macnica セキュリティ研究センター: 相次ぐWEBシステムからの情報漏洩事案について
- OWASP API Security Top 10 (2023)
Gusto mo ba ito para sa iyong negosyo?
Tinutulungan ng KGA IT ang maliliit at katamtamang negosyo na mag-set up ng mga AI assistant, automation at website. Libre ang konsultasyon at sasagot kami sa loob ng 24 oras. Ang mga plano ay nagsisimula sa ¥5,000/buwan.
- Telepono: 080-9732-1062
- Email: kga-it@outlook.com
- Pahina ng contact: kga-it.com/fil/contact