Ngày 8/10 (cập nhật 23/10), JPCERT/CC cảnh báo các vụ truy cập trái phép dẫn tới rò rỉ dữ liệu cá nhân đã liên tiếp xảy ra tại các tổ chức Nhật Bản từ khoảng tháng 9/2026. Thông tin được chia sẻ còn hạn chế nên chi tiết rời rạc, nhưng có ba kiểu tấn công nổi bật:
- Dò quét lỗ hổng đã biết trên từng mục tiêu — và lợi dụng sơ hở trong quản lý như file cấu hình hoặc file sao lưu bị lộ.
- Lạm dụng API: endpoint và khoá lấy từ ứng dụng di động công khai, API nội bộ mà giao diện không dùng tới (đổi quyền, tạo tài khoản trái phép), NoSQL injection để dò tài khoản, và khoá API đánh cắp từ các vụ xâm nhập khác.
- SQL injection trong Metabase (CVE-2026-72898), khai thác qua các request API được tạo đặc biệt.
Không kiểu nào cần tới zero-day: chúng thành công vì có thứ gì đó cũ, bị lộ hoặc được cấp quyền quá mức vẫn truy cập được từ Internet.
