Data Leak in Giappone: hacker abusano API mobile e sfruttano Metabase CVE-2026-72898 per rubare dati personali

Negli ultimi mesi il Giappone sta registrando un aumento marcato di data leak web che coinvolgono organizzazioni e servizi digitali di vario tipo. Le analisi degli incidenti indicano un filo conduttore chiaro: abuso delle API mobile e sfruttamento di vulnerabilità note in software esposti su Internet, con un impatto diretto sulla sicurezza dei dati personali.

Schema ricorrente 1: abuso delle API mobile

Un primo schema ricorrente riguarda le richieste non autorizzate alle API di gestione dietro le app per smartphone. Gli attaccanti studiano le applicazioni pubblicate sugli store per individuare endpoint, chiavi e modalità di autenticazione, poi replicano le chiamate in modo simile a un utilizzo normale.

In altri casi tentano di raggiungere API interne non previste dalle schermate dell’app, cercando differenze nelle risposte del server quando cambiano header o token, oppure puntando a errori logici e difetti di session management.

Tra le tecniche osservate emergono anche tentativi di blind NoSQL injection per estrarre dettagli di account. Un ulteriore vettore è l’uso di API key rubate in seguito alla compromissione di altri sistemi.

Schema ricorrente 2: scanning opportunistico e vulnerabilità note

Il secondo schema descrive un approccio opportunistico su larga scala. Invece di affidarsi a una singola falla comune, gli attaccanti eseguono scanning dei siti e provano una gamma di vulnerabilità note, inclusi accessi con password deboli su pannelli amministrativi e attacchi legati a cattiva gestione dell’infrastruttura, come l’esposizione di file di configurazione o backup.

Questo spiega perché i bersagli variano da e-commerce e servizi membership fino a sistemi business e portali di assistenza clienti, talvolta progettati per uso interno ma raggiungibili pubblicamente.

Schema ricorrente 3: attacchi a Metabase (CVE-2026-72898)

Un terzo elemento critico è l’attacco a Metabase, strumento BI diffuso, tramite una vulnerabilità di SQL injection identificata come CVE-2026-72898, con gravità massima. Lo sfruttamento può portare a ottenere privilegi amministrativi e quindi accedere alle credenziali dei database collegati, consentendo lettura ed esportazione dei dati.

La mitigazione passa dall’aggiornamento alle versioni minime considerate sicure e, come misura temporanea, dal blocco dell’endpoint /api/session/reset_password. Per individuare una possibile compromissione è utile cercare nei log una sequenza sospetta di richieste POST seguita da GET verso /api/user/current.

Misure difensive prioritarie

Sul fronte difensivo, diventa essenziale applicare controlli di sicurezza API rigorosi: access control su ogni endpoint, privilegi minimi per token e utenti, scadenza e revoca rapida dei token, rate limiting e limiti specifici per funzioni sensibili come login e reset password.

Va inoltre evitato di incorporare segreti e credenziali nel codice distribuito, perché offuscamento e minificazione non impediscono l’estrazione.