关注日本安全新闻的读者应该已经注意到：自 2026 年 9 月以来，几乎每周都有新的数据泄露公告。积分会员计划、餐饮 App、预订网站、社区平台和招聘网站接连发布通知——其中多起我们已经报道过，例如 Lawson ID、Bookoff、Commune 和 Baitoru。
10 月 8 日至 9 日，日本官方安全机构集体作出回应。JPCERT/CC 发布了预警 JPCERT-AT-2026-0030，IPA（信息处理推进机构）公布了"应立即实施"的检查清单，METI（经济产业省）向行业团体发出了正式协助请求。本文面向在中小企业负责系统运维的读者，用实用的语言整理这些文件的要点。
先说明一个重要前提：这些机构都没有把某家具体企业的泄露归因于某种具体攻击手法。开头提到的案例只是这波事件的背景，我们并不是说它们都是按下文方式发生的。
JPCERT/CC 说了什么
AT-2026-0030 于 2026 年 10 月 8 日发布，10 月 9 日更新。JPCERT/CC 表示，9 月前后日本国内组织接连发生因未授权访问导致的个人信息泄露，而目前共享的技术信息仍"有限且零散"。尽管如此，鉴于损害正在扩大，仍决定发出预警。
有两点值得注意：
- 预警针对的是与平时零星发生的勒索软件攻击不同的攻击类型，重点是导致大量个人信息泄露的入侵。
- 受害的不只是面向公众的 App。BI（商业智能）工具和员工用管理系统——运维方认为"不会被任意人访问"的系统——同样遭到攻击。
JPCERT/CC 强调，并非所有事件都使用了相同手法，并会在获得新信息后更新页面。
已观察到的四种攻击模式
预警根据收到的报告描述了四个"案例"。我们仅从防御角度概括，不涉及操作细节：
- 案例 A——扫描已知漏洞。 并非某个产品的单一缺陷。攻击者针对每个目标扫描多种已知漏洞，同时也利用管理疏漏，例如窃取环境配置文件或遗留在可访问位置的备份文件。
- 案例 B——滥用 API。 有案例通过向 App 管理 API 发送非法请求篡改信息。报告的手法包括：分析公开的手机 App 以找出端点和密钥；攻击本不应通过界面操作访问的内部 API（修改用户权限、创建非法账号）；用格式错误的认证令牌探测响应差异；通过 NoSQL 注入盲探识别账号信息；以及使用在其他系统入侵中窃取的 API 密钥。
- 案例 C——Metabase CVE-2026-72898。 BI 工具 Metabase 的 SQL 注入漏洞，同样通过 API 被利用，JPCERT/CC 已于 8 月 14 日发布过预警。我们的报道见 Metabase CVE-2026-72898。
- 案例 D——应用服务器上的 Web Shell。 在可从公开 Web 服务器访问的应用服务器上发现被部署的 WAR 文件，其中的 JSP 作为简易 Web Shell 运行。
JPCERT/CC 还公布了可疑来源 IP 地址和 User-Agent 示例供排查使用，并提醒部分 IP 目前可能处于正常使用中。如需检查日志，请直接使用官方页面（见来源链接）上的列表，因为它可能会更新。
针对 API 的建议措施
预警中最实用的部分是对策清单。针对经由 API 的访问，JPCERT/CC 建议：
- 限制单位时间内的请求数，防止短时间重复访问或批量执行。
- 为登录、密码重置、短信发送、搜索等高风险功能单独设置速率或次数限制。
- 对每一个端点（包括非公开 API）实施访问控制，只接受授权用户和 HTTP 方法。
- 只给 API 用户和令牌授予必要的最小权限。
- 为令牌设置合理有效期，避免使用长期有效的令牌。
- 能够迅速吊销不再使用或疑似泄露的令牌。
通用补充措施包括：服务只在特定地区使用时限制来源地区；为易受攻击的版本打上修复更新；重新检查 Web 服务器被攻破后的横向移动防护；检查检测体制和初步响应；平时就提醒客户防范二次损害（如多因素认证）；停止在互联网上公开不必要的管理功能；不保留超过法定保存期限或已完成使用目的的数据。参考资料为 OWASP API Security Top 10。
IPA 的立即检查清单
IPA 于 10 月 9 日发布了面向持有大量数据的企业经营者的文件。据该机构介绍，泄露公告来自金融机构、电信运营商等广泛行业，目前尚不能断定攻击针对某一特定产品或服务的漏洞。从公开案例的趋势看，起点似乎是对外公开的应用和服务被入侵，以及账号被盗用。
IPA 要求现在就做的检查：
- 对外公开的应用： 梳理所有自建、自运维的对外公开 App 和服务；检查近期日志是否有异常（错误量、与平时的差异），先查最近一个月，再扩大到三个月；确认是否有未打的补丁并尽快应用。
- 企业使用的外部服务： 列出全部服务——云、VPN 等，包括各部门自行签约的服务；检查每项服务的日志（登录失败、异常的登录 IP 和时间）；排查是否有无人创建的账号，或本应停用却重新启用的账号。
- 持有的数据： 被窃取的数据会被用于勒索和非法买卖，因此要重新审视企业真正需要保留哪些数据。
一旦发现异常日志或账号，IPA 建议立即将其判定为安全事件，并强烈建议委托专业安全厂商进行详细调查。
此后的中期措施包括：重新审视公开范围、加强认证（多因素认证和密码）、重新检查权限和 API 集成、调整日志采集内容和保存期限，以及重新考虑数据的存放位置和加密。
经济产业省的请求
经济产业省将国家网络统括室（NCO）、JPCERT/CC 和个人信息保护委员会（PPC）的预警转达给日本通信销售协会（JADMA）、日本商工会议所等行业团体。该省提出三点要求：最高管理层亲自主导、尽早掌握并应对漏洞信息、向"零信任"迁移，并要考虑整个供应链。一旦发生事件，所管辖行业的企业应尽快向主管部门报告时间线、受损情况和攻击类型，同时考虑向警方报案。
中小企业本周应做的事
把这些文件转化为切实可行的任务：
- 做资产盘点。 列出所有以公司名义放在互联网上的东西：网站、网店、App、管理后台、BI 工具、VPN 以及各部门签约的云服务。
- 查看最近 30 天的日志。 留意错误激增、来自未开展业务国家的登录、异常大量的 API 调用以及无人认识的新账号。
- 关闭不需要开放的东西。 管理后台和内部工具不应对互联网上的任意 IP 作出响应。
- 检查 API 密钥。 吊销旧密钥、收紧权限，并确认已发布的 App 中没有嵌入密钥。
- 及时更新。 优先处理暴露在外的组件；如使用 Metabase，请确认已是修复版本。
- 删除不需要保存的数据。 数据越少，损失越小。
针对小型企业，IPA 还介绍了免费或低成本的资源，例如"5 分钟信息安全自我诊断"、SECURITY ACTION 自我声明，以及整合监控、上门响应和保险的"网络安全助援队服务"。
目前仍不清楚的部分
各机构尚未将这些事件归于单一团伙或单一漏洞，JPCERT/CC 自己也表示掌握的信息并不全面。我们将继续跟进 AT-2026-0030 的更新和受影响企业的公告，如有重要变化会更新本文。
来源
- JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)
- IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026-10-09)
- JADMA: 経済産業省の注意喚起及び情報提供に係る協力依頼 (2026-10-09)
- 日本商工会議所: 不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について（経済産業省）
- JPCERT/CC: MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
- Impress Watch: 国内で情報漏えい被害が相次ぐ JPCERT/CCが攻撃手法と対策を公表
- マイナビ TECH+: 国内で不正アクセス相次ぐ、JPCERT/CCが注意喚起
- Macnica セキュリティ研究センター: 相次ぐWEBシステムからの情報漏洩事案について
- OWASP API Security Top 10 (2023)
想把这些带到您的业务中吗？
KGA IT 帮助中小企业部署 AI 助手、业务自动化和网站。咨询免费，我们会在 24 小时内回复。方案每月 ¥5,000 起。
- 电话: 080-9732-1062
- 邮箱: kga-it@outlook.com
- 联系页面: kga-it.com/zh/contact