Japánt ért kiberműveletek
Japánban 2026 augusztusától, különösen szeptember folyamán több szervezetnél észleltek jogosulatlan hozzáféréseket, amelyek jelentős mennyiségű személyes adat kiszivárgásához vezettek. A helyzet miatt a JPCERT/CC október 8-án rendkívüli figyelmeztetést adott ki, amelyet október 9-én további támadási indikátorokkal és egy újabb fertőzési módszer leírásával egészített ki. A hatóság hangsúlyozza, hogy a rendelkezésre álló technikai információk még hiányosak, és az incidensek nem feltétlenül vezethetők vissza egyetlen támadói csoportra vagy közös sérülékenységre. A figyelmeztetés elsősorban a tömeges adatlopással járó támadásokra összpontosít, nem pedig a Japánban korábban is előforduló zsarolóvírus-incidensekre.
A támadások egyik jellemzője, hogy nem kizárólag a nyilvános weboldalakat és felhasználói alkalmazásokat érintik. Az áldozatok között üzletiintelligencia-platformok, belső adminisztrációs rendszerek és alkalmazásszerverek is találhatók. Ezeket gyakran nem nagyszámú külső felhasználó kiszolgálására tervezték, mégis elérhetők lehetnek az internetről, vagy közvetetten hozzáférhetők egy nyilvános alkalmazáson keresztül. A támadók így olyan adatbázisokhoz és kezelőfelületekhez juthatnak el, amelyek ügyféladatokat, munkavállalói információkat vagy más belső nyilvántartásokat tartalmaznak.
A JPCERT/CC négy támadási mintát különböztet meg. Az első esetben a támadók automatizált vizsgálatokkal keresnek ismert sérülékenységeket a célpontok rendszereiben, majd megpróbálják kihasználni azokat. A támadások azonban nem feltétlenül igényelnek szoftverhibát: a nem megfelelően védett konfigurációs állományok és biztonsági mentések megszerzése szintén hozzáférést biztosíthat érzékeny információkhoz. Ez arra utal, hogy a támadók az egyes szervezeteknél talált gyengeségekhez igazítják módszereiket, ahelyett hogy minden célpont ellen ugyanazt az exploitot alkalmaznák.
A második támadási módszer az alkalmazásprogramozási interfészek, vagyis az API-k jogosulatlan használatára épül. A támadók nyilvánosan elérhető mobilalkalmazásokat elemeznek, hogy azonosítsák a háttérrendszerekkel kommunikáló végpontokat és az alkalmazásban esetleg megtalálható API-kulcsokat. Ezt követően olyan belső funkciókat próbálnak közvetlenül meghívni, amelyek a felhasználói felületről nem érhetők el. A megfigyelt kísérletek között szerepel felhasználói jogosultságok módosítása, jogosulatlan fiókok létrehozása, valamint az API-k hitelesítési ellenőrzéseinek feltérképezése különböző HTTP-fejlécekkel és hibás formátumú tokenekkel. Egyes támadásoknál vak NoSQL-injekcióval próbáltak fiókadatokat azonosítani. A hatóság olyan esetekről is beszámolt, amelyekben a támadók egy korábban kompromittált rendszerből ellopott API-kulcsot használtak fel egy másik szolgáltatás elérésére.
A harmadik módszer egy konkrét szoftverhibához kapcsolódik. A Metabase üzletiintelligencia-platform CVE-2026-72898 azonosítójú SQL-injekciós sérülékenysége API-kéréseken keresztül használható ki. A JPCERT/CC már augusztus 14-én külön figyelmeztetést adott ki a problémáról, a mostani közlemény pedig a kapcsolódó gyanús hálózati aktivitásra is felhívja a figyelmet. A közzétett indikátorok között szerepel a 213.163.202[.]171, a 221.216.140[.]49 és a 221.216.140[.]129 IP-cím, valamint a Metabase-GHSA-vwf4/2.0 User-Agent. Ezek elsősorban a naplóállományok visszamenőleges vizsgálatához nyújtanak segítséget, jelenlegi használatuk önmagában nem bizonyít rosszindulatú tevékenységet.
Az október 9-i frissítésben ismertetett negyedik módszer már tartósabb szerveroldali hozzáférés kialakítására utal. A támadók egy nyilvános webszerveren keresztül elérhető alkalmazásszerverre WAR-állományt helyeztek el, amely rosszindulatú JSP-fájlt tartalmazott. A JSP egyszerű webshellként működött: egy meghatározott HTTP-paraméter értékét operációsrendszer-parancsként hajtotta végre. Ez lehetőséget adhat a kiszolgáló további felderítésére, állományok elérésére és újabb támadási lépések végrehajtására. A hatóság a 124.133.237[.]18 IP-címről ismétlődő GET- és POST-kéréseket figyelt meg a webshell irányába.
A figyelmeztetés az incidensek kivizsgálásához több további IP-címet és HTTP User-Agent értéket is közöl. Ezek között automatizált eszközökre utaló curl és python-requests azonosítók szerepelnek. A JPCERT/CC ugyanakkor külön jelzi, hogy a megadott címek meghatározott időszakokban kapcsolódtak gyanús aktivitáshoz, és később legitim célokra is használhatják őket. Ezért az indikátorok egyezését az érintett végpont, a kérés tartalma, az időbélyeg és a kapcsolódó rendszeresemények alapján kell értékelni.
A japán incidenskezelő központ az API-k védelmét különösen sürgető feladatnak tekinti. Javasolja a kérések gyakoriságának korlátozását, a bejelentkezési és jelszó-visszaállítási funkciók külön védelmét, valamint a jogosultságellenőrzést minden API-végponton, beleértve a belső használatra szántakat is. Az API-tokenekhez minimális jogosultságot és korlátozott érvényességi időt kell rendelni, a már nem használt vagy kompromittálódott kulcsokat pedig vissza kell vonni. Emellett szükséges a sérülékeny rendszerek frissítése, a feleslegesen nyilvános adminisztrációs felületek lezárása, a hálózaton belüli oldalirányú mozgás korlátozása és a naplózási, illetve incidenskezelési folyamatok felülvizsgálata. A közlemény az adatminimalizálásra is kitér: a szükségtelenül hosszú ideig megőrzött személyes adatok növelhetik egy sikeres támadás következményeit.
Az esetek közös tanulsága, hogy a támadók számára nem feltétlenül egy új, ismeretlen sérülékenység jelenti a belépési pontot. A meglévő API-k hibás jogosultságkezelése, az interneten elérhető belső rendszerek, az elavult szoftverek és a kiszivárgott hozzáférési kulcsok együttesen is lehetővé tehetik nagy mennyiségű adat megszerzését. A JPCERT/CC közleménye ezért nem egyetlen termék javítására, hanem a teljes alkalmazás- és hozzáféréskezelési környezet ellenőrzésére ösztönzi a szervezeteket.
