Sesiapa yang mengikuti berita keselamatan di Jepun pasti perasan: sejak September 2026, hampir setiap minggu muncul notis kebocoran data baharu. Program kesetiaan, aplikasi restoran, laman tempahan, platform komuniti dan portal pekerjaan menerbitkan notis satu demi satu — beberapa daripadanya sudah kami liputi, seperti kes Lawson ID, Bookoff, Commune dan Baitoru.
Pada 8–9 Oktober, badan keselamatan rasmi negara itu bertindak serentak. JPCERT/CC menerbitkan amaran JPCERT-AT-2026-0030, IPA (Agensi Promosi Teknologi Maklumat) mengeluarkan senarai semakan untuk dibuat "segera", dan METI (Kementerian Ekonomi, Perdagangan dan Industri) menghantar permintaan rasmi kepada persatuan perniagaan. Artikel ini merumuskan kandungan dokumen tersebut secara praktikal untuk mereka yang mengurus sistem di syarikat kecil dan sederhana.
Satu peringatan penting dahulu: tiada badan ini mengaitkan kebocoran mana-mana syarikat tertentu dengan kaedah serangan tertentu. Kes di atas hanyalah latar belakang gelombang ini — kami tidak mengatakan setiap satunya berlaku seperti yang diterangkan di bawah.
Apa kata JPCERT/CC
Amaran AT-2026-0030 diterbitkan pada 8 Oktober dan dikemas kini pada 9 Oktober 2026. JPCERT/CC menyatakan bahawa sekitar September berlaku siri kebocoran data peribadi akibat akses tanpa kebenaran di organisasi Jepun, dan maklumat teknikal yang dikongsi setakat ini masih "terhad dan berpecah-pecah". Namun, ia tetap memberi amaran kerana kerosakan semakin merebak.
Dua perkara menonjol:
- Amaran ini meliputi jenis serangan yang berbeza daripada kes ransomware yang berlaku secara sporadik sepanjang masa: fokusnya ialah pencerobohan yang membawa kepada kebocoran data peribadi dalam jumlah besar.
- Bukan hanya aplikasi untuk orang awam. Alat BI (risikan perniagaan) dan sistem pengurusan untuk pekerja juga diserang — sistem yang dianggap oleh pengendalinya "tidak terdedah kepada sesiapa sahaja".
JPCERT/CC menegaskan bahawa tidak semua insiden menggunakan kaedah yang sama dan halaman itu akan dikemas kini apabila maklumat baharu muncul.
Empat corak serangan yang diperhatikan
Amaran itu menerangkan empat "kes" berdasarkan laporan yang diterima. Kami merumuskannya pada tahap pertahanan, tanpa butiran operasi:
- Kes A — imbasan kelemahan yang diketahui. Bukan satu kecacatan tunggal dalam satu produk. Penyerang menguji, sasaran demi sasaran, banyak kelemahan yang sudah diketahui serta salah konfigurasi, seperti fail konfigurasi persekitaran atau sandaran yang tertinggal di lokasi yang boleh dicapai.
- Kes B — penyalahgunaan API. Permintaan tidak sah kepada API pengurusan aplikasi, dengan data diubah. Laporan termasuk menganalisis aplikasi telefon pintar awam untuk mencari endpoint dan kunci; serangan ke atas API dalaman yang sepatutnya tidak boleh dicapai melalui antara muka (menukar keistimewaan pengguna, mencipta akaun palsu); menguji dengan token pengesahan yang salah format; carian buta melalui suntikan NoSQL untuk mengenal pasti akaun; dan menggunakan kunci API yang dicuri dalam pencerobohan sistem lain.
- Kes C — Metabase CVE-2026-72898. Kelemahan suntikan SQL dalam alat BI Metabase, juga dieksploitasi melalui API, yang telah diberi amaran oleh JPCERT/CC pada 14 Ogos. Kami telah meliputinya dalam Metabase CVE-2026-72898.
- Kes D — web shell pada pelayan aplikasi. Fail WAR ditemui dipasang pada pelayan aplikasi yang boleh dicapai dari pelayan web awam; JSP di dalamnya berfungsi sebagai web shell ringkas.
JPCERT/CC juga menerbitkan alamat IP sumber yang mencurigakan dan contoh User-Agent untuk membantu siasatan, sambil menyatakan bahawa sesetengah IP mungkin digunakan secara sah sekarang. Jika anda perlu menyemak log, gunakan senarai terus di halaman rasmi (pautan dalam sumber) kerana ia mungkin dikemas kini.
Langkah yang disyorkan untuk API
Bahagian paling berguna dalam amaran itu ialah senarai langkah balas. Untuk akses melalui API, JPCERT/CC mengesyorkan:
- Hadkan bilangan permintaan bagi setiap unit masa dan sekat akses berulang atau pelaksanaan besar-besaran.
- Tetapkan had khusus untuk fungsi berisiko tinggi: log masuk, set semula kata laluan, penghantaran SMS dan carian.
- Kuatkuasakan kawalan akses pada setiap endpoint, termasuk API bukan awam, dengan hanya menerima pengguna dan kaedah HTTP yang dibenarkan.
- Beri pengguna dan token API hanya kebenaran minimum yang diperlukan.
- Tetapkan tempoh sah yang sesuai untuk token dan elakkan token jangka panjang.
- Mampu membatalkan dengan cepat token yang tidak lagi digunakan atau mungkin telah bocor.
Langkah umum tambahan: hadkan rantau sumber apabila perkhidmatan hanya digunakan di satu negara; pasang kemas kini bagi versi yang terdedah; semak semula kawalan pergerakan sisi selepas pelayan web dicerobohi; semak pengesanan dan tindak balas awal; maklumkan pelanggan lebih awal (contohnya tentang pengesahan berbilang faktor); keluarkan fungsi pentadbiran yang tidak perlu dari internet; dan jangan simpan data melebihi tempoh simpanan undang-undang atau selepas tujuannya tamat. Rujukan yang diberi ialah OWASP API Security Top 10.
Senarai semakan segera IPA
Pada 9 Oktober, IPA menerbitkan dokumen yang ditujukan kepada eksekutif syarikat yang memegang banyak data. Menurut agensi itu, notis kebocoran datang daripada pelbagai sektor, termasuk institusi kewangan dan pengendali telekomunikasi, dan belum boleh dipastikan bahawa serangan menyasarkan kelemahan produk tertentu. Berdasarkan corak kes awam, titik permulaannya kelihatan seperti pencerobohan aplikasi dan perkhidmatan yang terdedah ke luar serta akaun yang dikompromi.
Semakan yang IPA minta dibuat sekarang:
- Aplikasi yang terdedah ke luar: senaraikan semua aplikasi dan perkhidmatan sendiri yang diterbitkan di internet; semak log terkini untuk anomali (jumlah ralat, perbezaan berbanding biasa), bermula dengan sebulan lepas dan diperluas kepada tiga bulan; semak tampalan yang belum dipasang dan pasang secepat mungkin.
- Perkhidmatan luar yang digunakan syarikat: senaraikan semuanya — awan, VPN dan lain-lain — termasuk yang dilanggan oleh jabatan tertentu; semak log setiap perkhidmatan (log masuk gagal, IP dan masa akses luar biasa); dan cari akaun yang tiada siapa cipta atau akaun yang dinyahaktifkan tetapi aktif semula.
- Data yang disimpan: semak semula apa yang benar-benar perlu disimpan, kerana data yang dicuri hari ini menjadi bahan ugutan dan jualan di forum.
Jika mana-mana log atau akaun luar biasa ditemui, IPA menasihatkan supaya ia dianggap insiden keselamatan dengan segera dan sangat mengesyorkan melantik firma pakar untuk menyiasat.
Selepas itu, agensi tersebut menyenaraikan langkah jangka sederhana: semak semula apa yang terdedah, kukuhkan pengesahan (MFA dan kata laluan), semak kebenaran dan integrasi API, perluas kandungan dan tempoh simpanan log, serta pertimbangkan semula di mana dan bagaimana data disimpan, termasuk penyulitan.
Permintaan METI
METI menyampaikan amaran daripada NCO (Pejabat Keselamatan Siber Kebangsaan), JPCERT/CC dan Suruhanjaya Perlindungan Maklumat Peribadi (PPC) kepada persatuan perniagaan seperti JADMA (Persatuan Pemasaran Langsung Jepun) dan Dewan Perniagaan dan Perindustrian Jepun. Kementerian itu meminta tiga perkara: kepimpinan langsung pengurusan atasan, tindakan pantas terhadap maklumat kelemahan dan peralihan kepada "zero trust", dengan mengambil kira seluruh rantaian bekalan. Jika insiden berlaku, syarikat dalam sektor yang diselia perlu melaporkan kepada kementerian dengan garis masa, jenis kerosakan dan jenis serangan, serta mempertimbangkan untuk memaklumkan polis.
Apa yang PKS patut buat minggu ini
Menterjemah dokumen ini kepada rutin yang realistik:
- Buat inventori. Senaraikan semua yang berada di internet atas nama syarikat: laman web, kedai dalam talian, aplikasi, panel pentadbir, alat BI, VPN dan perkhidmatan awan yang dilanggan setiap pasukan.
- Lihat log 30 hari lepas. Cari lonjakan ralat, log masuk dari negara tempat anda tidak beroperasi, jumlah panggilan API yang luar biasa dan akaun baharu yang tiada siapa kenal.
- Tutup apa yang tidak perlu dibuka. Panel pentadbir dan alat dalaman tidak sepatutnya menjawab mana-mana IP di internet.
- Semak kunci API. Batalkan yang lama, kurangkan kebenaran dan pastikan tiada kunci tertanam dalam aplikasi yang diterbitkan.
- Kemas kini. Utamakan komponen yang terdedah dan, jika menggunakan Metabase, sahkan versi yang telah dibaiki.
- Padam apa yang tidak perlu disimpan. Kurang data, kurang kerosakan.
Untuk syarikat kecil, IPA menyebut sumber percuma seperti penilaian kendiri lima minit dan pengisytiharan kendiri SECURITY ACTION, serta perkhidmatan "Cybersecurity Otasuketai" yang menggabungkan pemantauan, sokongan di lokasi dan insurans.
Apa yang masih belum diketahui
Agensi-agensi ini belum mengaitkan insiden tersebut dengan satu kumpulan atau satu kecacatan, dan JPCERT/CC sendiri berkata gambarannya masih separa. Kami akan mengikuti kemas kini baharu AT-2026-0030 dan notis daripada syarikat yang terjejas, serta mengemas kini artikel ini jika ada perubahan penting.
Sumber
- JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)
- IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026-10-09)
- JADMA: 経済産業省の注意喚起及び情報提供に係る協力依頼 (2026-10-09)
- 日本商工会議所: 不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について（経済産業省）
- JPCERT/CC: MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
- Impress Watch: 国内で情報漏えい被害が相次ぐ JPCERT/CCが攻撃手法と対策を公表
- マイナビ TECH+: 国内で不正アクセス相次ぐ、JPCERT/CCが注意喚起
- Macnica セキュリティ研究センター: 相次ぐWEBシステムからの情報漏洩事案について
- OWASP API Security Top 10 (2023)
Mahu manfaatkan ini untuk perniagaan anda?
KGA IT membantu perniagaan kecil dan sederhana menyediakan pembantu AI, automasi dan laman web. Konsultasi adalah percuma dan kami membalas dalam masa 24 jam. Pelan bermula dari ¥5,000/bulan.
- Telefon: 080-9732-1062
- E-mel: kga-it@outlook.com
- Halaman hubungi: kga-it.com/ms/contact