国内で相次ぐ不正アクセスにJPCERT/CCが注意喚起。スマホアプリのAPIや社内向けBIツールが狙われています

01発表されている事実

JPCERT/CCは、確認された手口を5つに分けて示しています。

JPCERT/CCは10月15日のブログで、攻撃に使われた可能性のあるサーバーを調べた結果、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したと報告しています。

02Metabase の脆弱性（区分C）

区分A・B・D・Eについては、特定の製品やバージョンは示されていません。

03影響を受ける会社

スマホアプリやWebサービスを提供している会社、社内で Metabase などのBIツールを使っている会社です。「社員しか使わないから」とインターネットに出したままの管理画面やツールも狙われています。

04今すぐやること

1. Metabase の版を確かめ、更新する。インターネットから届く状態だった場合は、更新だけでなく侵害の調査も行います。JPCERT/CCは、POST /api/session/reset_password が400を返し、その後に GET /api/user/current が200を返す記録が続いていれば、侵害の可能性があるとしています。
2. APIの守りを見直す。JPCERT/CCは、APIの回数制限（ログイン・パスワード再設定・SMS送信・検索は特に厳しく）、内部APIを含むすべての入口での権限確認、トークンの権限を最小にし有効期限を付けることを勧めています。
3. アプリに秘密の鍵を埋め込まない。アプリの中の共通の鍵は抜き出されるおそれがあります。認証と権限の確認はサーバー側で行います。
4. 出さなくてよいものを出さない。管理画面、BIツール、WSUSなど、インターネットに出す必要のないものは閉じます。
5. 不要な個人データを消す。保存期間を過ぎたデータを消しておくと、漏れたときの被害を小さくできます。

05同じことを防ぐには

APIの設計の穴は、ふつうの脆弱性スキャンでは見つかりにくいものです。アプリとAPIを含めた脆弱性診断やペネトレーションテストを、外部の専門会社に頼む方法があります。WAFは回数制限や既知の攻撃の遮断に役立ちます。図鑑の「脆弱性診断」「WAF」の分類で比べられます。