⚠️ В Японії зараз тиха, але дуже показова «буря» навколо витоків персональних даних. І те, як саме ламають сервіси, мені здається, напряму стосується майже кожної компанії, у якої є мобільний застосунок або веб‑кабінет 💥

З липня по вересень там уже 119 витоків через веб‑системи та API (проти 84 за весь минулий рік), десятки мільйонів записів у Park24 та Monogatari. JPCERT/CC описує доволі «приземлений» сценарій: розбирають мобільний застосунок, витягують endpointи та ключі, знаходять внутрішні функції й просто акуратно «доять» API, яке повертає забагато даних або майже не перевіряє права.

Окремий біль — Metabase: критична дірка CVE-2026-72898 (CVSS 10) дає можливість без акаунта стати адміном Metabase і забрати звідти логіни й паролі до бойових БД 🧩💾. Якщо ви його використовуєте й він доступний з інтернету — саме час інвентаризувати інстанси, оновити до безпечних версій, тимчасово закрити /api/session/reset_password назовні й уважно проглянути логи.

Мені здається, це ідеальний кейс, чому API‑бекенди й BI‑дашборди треба захищати так само жорстко, як інтернет‑банкінг 🕵️‍♂️📊 Якщо у вас є мобільний застосунок, програма лояльності чи аналітика «з вулиці» — ви вже подивилися, які endpointи стирчать назовні, що вони віддають і як логуються підозрілі запити? Чи все ще працюємо за принципом «якось крутиться — не чіпаємо»?

🔗 Докладніше:
https://cybersecurefox.com/uk/spalakh-vytokiv-danyh-yaponiya-api-metabase

#кібербезпека #databreach #api #security #metabase #infosec #devsecops

CyberSecureFox