Het Japanse Computer Emergency Response Team JPCERT/CC waarschuwt organisaties voor een reeks datalekken waarbij aanvallers API’s van mobiele apps misbruiken en bekende kwetsbaarheden in webapplicaties aanvallen. Het centrum, dat incidentmeldingen uit het hele land verzamelt, baseerde de waarschuwing van 8 oktober op eigen meldingen en aanvullend onderzoek. Welke aanvallers erachter zitten en welke organisaties precies zijn getroffen, maakt JPCERT/CC niet bekend. De beschikbare informatie is volgens het centrum zelf nog fragmentarisch, en niet elk incident verliep via dezelfde methode.
Uit de analyse komen drie aanvalsroutes naar voren. Aanvallers scannen op bekende kwetsbaarheden en configuratiefouten, onder meer in publiek toegankelijke webservers, configuratiebestanden en achtergebleven back-upbestanden. Daarnaast misbruiken ze API’s, inclusief interne API’s die niet via een normaal scherm te benaderen zijn, regelmatig met gestolen API-sleutels. De derde en meest concrete route loopt via een kwetsbaarheid in Metabase, een veelgebruikt open-source BI-hulpmiddel voor dashboards en rapportages: CVE-2026-72898, een sql-injectie waarmee een aanvaller zonder inloggegevens op afstand beheerdersrechten over een Metabase-installatie kan krijgen. Metabase heeft inmiddels updates uitgebracht voor de getroffen versies; de clouddienst was volgens de ontwikkelaar al veilig.
De waarschuwing komt niet uit de lucht vallen. Onderzoeksbureau Macnica, waarnaar JPCERT/CC verwijst, registreerde dit jaar tot en met 6 oktober al 119 incidenten in Japan waarbij persoonsgegevens werden gestolen of blootgesteld, tegen 84 over heel 2025 en 62 in 2024. Van die 119 gevallen dit jaar vonden er 81 plaats vanaf juli, een duidelijke versnelling in de tweede helft van het jaar.
JPCERT/CC roept organisaties op hun API’s en externe diensten beter af te schermen. Het centrum adviseert onder meer:
- rate limiting instellen op API’s, met extra aandacht voor inloggen, wachtwoordherstel, sms-verzending en zoekfuncties;
- toegang en toegestane methoden per API-endpoint controleren, ook voor interne of niet-publieke endpoints;
- rechten van gebruikers en API-tokens beperken tot het minimum, met een vervaldatum en snelle intrekking van ongebruikte of verdachte tokens;
- beheerfuncties en diensten die niet naar het internet open hoeven te staan, ook daadwerkelijk afschermen.
Voor Nederlandse organisaties die Metabase zelf hosten is de boodschap simpel: controleer of de installatie vanaf het internet bereikbaar is en update naar de nieuwste patchversie. Is dat nog niet gebeurd, trek dan ook actieve sessies en API-sleutels in en controleer op onbekende beheerdersaccounts. Breder geldt het advies voor elke organisatie met eigen API’s: zonder rate limiting en strikte toegangscontrole op interne endpoints blijft een gestolen sleutel of een losse configuratiefout een directe weg naar persoonsgegevens.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Heb je zelf een Metabase-omgeving die vanaf het internet bereikbaar is? Controleer de versie en update naar de nieuwste patch. Voeg daarnaast rate limiting toe aan eigen API's voor inloggen, wachtwoordherstel en zoekfuncties, ook als die niet publiek gedocumenteerd zijn.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.