JPCERT/CC は10月8日（10月23日更新）、2026年9月頃から国内組織で個人情報の漏えいにつながる不正アクセスが相次いでいるとして注意喚起を出しました。情報共有が限られており詳細は断片的ですが、主に次の3つの手口が挙げられています。
- 既知の脆弱性の探索：対象ごとにさまざまな脆弱性を探索して悪用するほか、設定ファイルやバックアップファイルの窃取など管理上の不備も突かれています。
- API の悪用：公開されているスマートフォンアプリの解析で得た API とキー、UI からは呼ばれない内部 API による権限変更や不正アカウント作成、NoSQL インジェクションによるアカウント特定、他の侵害で盗まれた API キーの利用。
- Metabase の SQL インジェクション（CVE-2026-72898）：細工した API リクエストによる悪用。
いずれもゼロデイを必要としません。古いもの、公開されたままのもの、過剰な権限を持つものがインターネットから到達可能だったことが原因です。
