Japan Sees Sharp Rise in Web Data Leaks Amid Mobile API Abuse and Metabase Attacks
The Hacker News · 8 oct, 17:45
Qué hacer: Actualiza Metabase a las versiones mínimas seguras listadas por el proveedor en agosto de 2026.
Japón experimenta un aumento significativo de filtraciones de datos personales en organizaciones, según alerta del centro JPCERT/CC del 8 de octubre de 2026. Los atacantes abusan de APIs de aplicaciones móviles, explotan fallos conocidos (especialmente CVE-2026-72898 en Metabase) y aprovechan débiles controles de acceso en sistemas de inteligencia de negocio y gestión interna. Macnica registró 119 incidentes de robo de datos este año en Japón, con 81 desde julio, afectando a servicios de alquiler de coches, restaurantes y bibliotecas.
El análisis de Macnica documenta patrones de ataque consistentes: los intrusos extraen endpoints de APIs de aplicaciones móviles públicamente disponibles, roban claves API, explotan fallos de autorización como inyección NoSQL ciega, y acceden a APIs internas no destinadas al público. Algunos casos permiten cambiar privilegios de usuarios o crear cuentas no autorizadas. El ejemplo más notorio es Park24 (servicio Times Car), que perdió datos de 6,6 millones de cuentas el 28 de septiembre, incluyendo imágenes de documentos de identidad de 1,6 millones de usuarios.
CVE-2026-72898 es una inyección SQL de puntuación CVSS 10.0 en Metabase que permite acceso sin autenticación a la base de datos de la aplicación, comprometiendo credenciales almacenadas de bases de datos conectadas. Fue explotado como zero-day contra el servicio cloud de Metabase el 6 de agosto, incluido en el catálogo CISA KEV el 11 de agosto. Los ataques continuaron incluso tras la publicación del parche: AhaSlides reportó acceso no autorizado del 12 de agosto al 7 de septiembre. El patrón afecta también a otros países (30 casos en Corea del Sur, 11 en Francia, 8 en Polonia).
Puntos clave
- CVE-2026-72898: inyección SQL en Metabase, CVSS 10.0, sin autenticación necesaria
- Actualizar Metabase a versiones mínimas seguras según lista de agosto 14 de 2026
- 119 incidentes de fuga de datos personales en Japón en 2026, 81 desde julio
- Atacantes extraen claves API de apps móviles y explotan APIs con permisos excesivos