Ai theo dõi tin bảo mật ở Nhật Bản hẳn đã nhận ra: từ tháng 9/2026, gần như tuần nào cũng có thông báo rò rỉ dữ liệu mới. Chương trình tích điểm, ứng dụng nhà hàng, trang đặt chỗ, nền tảng cộng đồng và cổng tuyển dụng lần lượt ra thông báo — nhiều vụ đã được chúng tôi đưa tin, như Lawson ID, Bookoff, Commune và Baitoru.
Ngày 8–9/10, các cơ quan bảo mật chính thức của Nhật đồng loạt lên tiếng. JPCERT/CC phát cảnh báo JPCERT-AT-2026-0030, IPA (Cơ quan Xúc tiến Công nghệ Thông tin) công bố danh sách kiểm tra "cần làm ngay", còn METI (Bộ Kinh tế, Thương mại và Công nghiệp) gửi yêu cầu chính thức tới các hiệp hội doanh nghiệp. Bài viết này tóm tắt nội dung các tài liệu đó theo cách thực tế, dành cho người vận hành hệ thống ở doanh nghiệp vừa và nhỏ.
Lưu ý quan trọng trước khi bắt đầu: không cơ quan nào gắn vụ rò rỉ của một công ty cụ thể với một phương thức tấn công cụ thể. Các vụ ở trên chỉ là bối cảnh của làn sóng này — chúng tôi không nói từng vụ đã xảy ra theo cách mô tả bên dưới.
JPCERT/CC nói gì
Cảnh báo AT-2026-0030 được công bố ngày 8/10 và cập nhật ngày 9/10/2026. Theo JPCERT/CC, khoảng tháng 9 đã xảy ra hàng loạt vụ rò rỉ dữ liệu cá nhân do truy cập trái phép tại các tổ chức Nhật Bản, và thông tin kỹ thuật được chia sẻ đến nay vẫn "hạn chế và rời rạc". Dù vậy, cơ quan này quyết định cảnh báo vì thiệt hại đang lan rộng.
Có hai điểm đáng chú ý:
- Cảnh báo đề cập một loại tấn công khác với các vụ ransomware vẫn xảy ra lẻ tẻ: trọng tâm là các cuộc xâm nhập dẫn tới rò rỉ khối lượng lớn dữ liệu cá nhân.
- Không chỉ ứng dụng cho công chúng. Công cụ BI (phân tích kinh doanh) và hệ thống quản lý dành cho nhân viên cũng bị tấn công — những hệ thống mà bên vận hành nghĩ là "không mở cho bất kỳ ai".
JPCERT/CC nhấn mạnh rằng không phải mọi sự cố đều dùng cùng một phương thức và trang sẽ được cập nhật khi có thông tin mới.
Bốn kiểu tấn công đã ghi nhận
Cảnh báo mô tả bốn "trường hợp" dựa trên các báo cáo nhận được. Chúng tôi tóm tắt ở mức phòng thủ, không đi vào chi tiết thao tác:
- Trường hợp A — quét lỗ hổng đã biết. Không phải một lỗi duy nhất của một sản phẩm. Kẻ tấn công thử, từng mục tiêu một, nhiều lỗ hổng đã biết cũng như lỗi cấu hình, chẳng hạn tệp cấu hình môi trường hoặc bản sao lưu bị bỏ quên ở nơi truy cập được.
- Trường hợp B — lạm dụng API. Các yêu cầu trái phép tới API quản trị của ứng dụng, làm thay đổi dữ liệu. Báo cáo bao gồm việc phân tích ứng dụng di động công khai để tìm endpoint và khóa; tấn công API nội bộ vốn không truy cập được từ giao diện (đổi quyền người dùng, tạo tài khoản trái phép); dò phản hồi bằng token xác thực sai định dạng; tìm kiếm mù bằng NoSQL injection để xác định tài khoản; và dùng khóa API bị đánh cắp từ các vụ xâm nhập hệ thống khác.
- Trường hợp C — Metabase CVE-2026-72898. Lỗ hổng SQL injection trong công cụ BI Metabase, cũng bị khai thác qua API, mà JPCERT/CC đã cảnh báo từ ngày 14/8. Chúng tôi đã viết về lỗi này trong Metabase CVE-2026-72898.
- Trường hợp D — web shell trên máy chủ ứng dụng. Phát hiện tệp WAR được triển khai trên máy chủ ứng dụng truy cập được từ máy chủ web công khai; tệp JSP bên trong hoạt động như một web shell đơn giản.
JPCERT/CC cũng công bố các địa chỉ IP nguồn đáng ngờ và ví dụ User-Agent để hỗ trợ điều tra, kèm lưu ý rằng một số IP có thể đang được dùng hợp pháp. Nếu cần kiểm tra log, hãy dùng danh sách trực tiếp trên trang chính thức (liên kết trong phần nguồn) vì nó có thể được cập nhật.
Biện pháp khuyến nghị cho API
Phần hữu ích nhất của cảnh báo là danh sách biện pháp. Với truy cập qua API, JPCERT/CC khuyến nghị:
- Giới hạn số yêu cầu trên mỗi đơn vị thời gian, chặn truy cập lặp lại hoặc thực thi hàng loạt.
- Đặt giới hạn riêng cho các chức năng rủi ro cao: đăng nhập, đặt lại mật khẩu, gửi SMS và tìm kiếm.
- Kiểm soát truy cập ở mọi endpoint, kể cả API không công khai, chỉ chấp nhận người dùng và phương thức HTTP được phép.
- Chỉ cấp cho người dùng và token API quyền tối thiểu cần thiết.
- Đặt thời hạn hợp lý cho token, tránh token có hiệu lực dài hạn.
- Có khả năng thu hồi nhanh các token không còn dùng hoặc nghi bị lộ.
Biện pháp chung bổ sung: giới hạn vùng truy cập khi dịch vụ chỉ dùng trong một quốc gia; áp dụng bản cập nhật cho phiên bản có lỗ hổng; xem lại biện pháp ngăn di chuyển ngang sau khi máy chủ web bị xâm nhập; rà soát khả năng phát hiện và phản ứng ban đầu; hướng dẫn khách hàng từ trước (ví dụ về xác thực đa yếu tố); gỡ các chức năng quản trị không cần thiết khỏi internet; và không giữ dữ liệu quá thời hạn luật định hoặc khi đã hết mục đích sử dụng. Tài liệu tham khảo được nêu là OWASP API Security Top 10.
Danh sách kiểm tra ngay của IPA
Ngày 9/10, IPA công bố tài liệu gửi lãnh đạo các doanh nghiệp nắm giữ nhiều dữ liệu. Theo cơ quan này, thông báo rò rỉ đến từ nhiều ngành, bao gồm tổ chức tài chính và nhà mạng viễn thông, và hiện chưa thể khẳng định các cuộc tấn công nhắm vào lỗ hổng của một sản phẩm cụ thể. Dựa trên xu hướng các vụ đã công bố, điểm khởi đầu dường như là việc xâm nhập ứng dụng, dịch vụ công khai ra bên ngoài và chiếm đoạt tài khoản.
Các bước kiểm tra IPA yêu cầu làm ngay:
- Ứng dụng công khai ra bên ngoài: liệt kê mọi ứng dụng, dịch vụ tự xây dựng đang công khai trên internet; kiểm tra log gần đây xem có bất thường (lượng lỗi, khác biệt so với bình thường), bắt đầu từ tháng gần nhất rồi mở rộng ra ba tháng; kiểm tra bản vá còn thiếu và áp dụng sớm nhất có thể.
- Dịch vụ bên ngoài mà công ty sử dụng: liệt kê tất cả — đám mây, VPN và các dịch vụ khác — kể cả dịch vụ do từng phòng ban tự ký; xem log của từng dịch vụ (đăng nhập thất bại, IP và giờ truy cập bất thường); và tìm các tài khoản không ai tạo hoặc tài khoản đã vô hiệu hóa nhưng lại được kích hoạt.
- Dữ liệu đang lưu giữ: xem lại những gì công ty thực sự cần giữ, vì dữ liệu bị đánh cắp hôm nay sẽ thành công cụ tống tiền và bị rao bán.
Nếu thấy bất kỳ log hay tài khoản bất thường nào, IPA khuyên coi đó là sự cố bảo mật ngay lập tức và đặc biệt khuyến nghị thuê đơn vị chuyên môn điều tra.
Sau đó, cơ quan này liệt kê các biện pháp trung hạn: xem lại phạm vi công khai, tăng cường xác thực (MFA và mật khẩu), rà soát quyền và tích hợp API, mở rộng nội dung và thời gian lưu log, và cân nhắc lại nơi cũng như cách lưu dữ liệu, kể cả mã hóa.
Yêu cầu của METI
METI đã chuyển các cảnh báo của NCO (Văn phòng An ninh mạng Quốc gia), JPCERT/CC và Ủy ban Bảo vệ Thông tin Cá nhân (PPC) tới các hiệp hội như JADMA (Hiệp hội Bán hàng Trực tiếp Nhật Bản) và Phòng Thương mại và Công nghiệp Nhật Bản. Bộ yêu cầu ba điều: lãnh đạo cấp cao trực tiếp chỉ đạo, nắm bắt và xử lý nhanh thông tin lỗ hổng và chuyển sang "zero trust", tính đến toàn bộ chuỗi cung ứng. Khi xảy ra sự cố, doanh nghiệp thuộc ngành do bộ quản lý cần báo cáo kèm dòng thời gian, mức thiệt hại và loại tấn công, đồng thời cân nhắc báo cảnh sát.
Doanh nghiệp nhỏ nên làm gì trong tuần này
Chuyển các tài liệu thành việc cần làm thực tế:
- Lập danh mục. Liệt kê mọi thứ đang có trên internet dưới tên công ty: website, cửa hàng trực tuyến, ứng dụng, trang quản trị, công cụ BI, VPN và dịch vụ đám mây do từng bộ phận ký.
- Xem log 30 ngày gần nhất. Tìm các đợt tăng lỗi, đăng nhập từ quốc gia bạn không hoạt động, lượng gọi API bất thường và tài khoản mới không ai nhận ra.
- Đóng những gì không cần mở. Trang quản trị và công cụ nội bộ không nên phản hồi bất kỳ IP nào trên internet.
- Rà soát khóa API. Thu hồi khóa cũ, giảm quyền và chắc chắn không có khóa nào được nhúng trong ứng dụng đã phát hành.
- Cập nhật. Ưu tiên các thành phần công khai; nếu dùng Metabase, hãy xác nhận đã lên phiên bản đã sửa.
- Xóa những gì không cần giữ. Ít dữ liệu hơn, thiệt hại ít hơn.
Với doanh nghiệp nhỏ, IPA nhắc tới các nguồn lực miễn phí như bài tự đánh giá 5 phút và bản tự tuyên bố SECURITY ACTION, cùng dịch vụ "Cybersecurity Otasuketai" gói gọn giám sát, hỗ trợ tại chỗ và bảo hiểm.
Những gì vẫn chưa rõ
Các cơ quan chưa gắn các sự cố với một nhóm hay một lỗ hổng duy nhất, và chính JPCERT/CC cho biết bức tranh họ nắm được mới chỉ là một phần. Chúng tôi sẽ tiếp tục theo dõi các bản cập nhật của AT-2026-0030 và thông báo từ các công ty bị ảnh hưởng, và sẽ cập nhật bài viết nếu có thay đổi quan trọng.
Nguồn
- JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)
- IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026-10-09)
- JADMA: 経済産業省の注意喚起及び情報提供に係る協力依頼 (2026-10-09)
- 日本商工会議所: 不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について（経済産業省）
- JPCERT/CC: MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
- Impress Watch: 国内で情報漏えい被害が相次ぐ JPCERT/CCが攻撃手法と対策を公表
- マイナビ TECH+: 国内で不正アクセス相次ぐ、JPCERT/CCが注意喚起
- Macnica セキュリティ研究センター: 相次ぐWEBシステムからの情報漏洩事案について
- OWASP API Security Top 10 (2023)
Bạn muốn áp dụng điều này cho doanh nghiệp của mình?
KGA IT hỗ trợ doanh nghiệp vừa và nhỏ triển khai trợ lý AI, tự động hóa và website. Tư vấn miễn phí và chúng tôi phản hồi trong vòng 24 giờ. Gói dịch vụ từ ¥5.000/tháng.
- Điện thoại: 080-9732-1062
- Email: kga-it@outlook.com
- Trang liên hệ: kga-it.com/vi/contact