一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月9日、国内組織で相次ぐ不正アクセスへの注意喚起を発表した。
JPCERT/CCでは、確認されている攻撃手法や攻撃の痕跡として下記を取り上げている。
・ケースA：さまざまなソフトウェアの既知の脆弱性を探索し攻撃試行するもの
一連の攻撃について、一つの共通するソフトウェアの脆弱性を悪用しているのではなく、標的ごとにさまざまな既知の脆弱性有無についてスキャンし、脆弱性を探索して悪用を試行したり、脆弱性ではないものの、機器の管理不備等を悪用した攻撃を試みている可能性がある。
・ケースB：API経由での不正な操作
アプリの管理用APIへの不正なリクエストによって、情報の不正な書き換え等が発生しているものがあり、JPCERT/CCでは、下記の攻撃手口に関する複数の報告を受けている。
（a）一般公開しているスマートフォンアプリを解析しAPIのエンドポイントやキーを特定する
（b）本来画面操作では実行できない内部APIに対する攻撃
ユーザー権限を変更する
不正なアカウントを作成する
ヘッダーの有無の切り替えや不正な形式の認証トークンの付与による応答の違いを確認する
NoSQLインジェクションによるブラインド探索によってアカウント情報を特定する
（c）他のシステムの侵害で窃取したAPIキーを使用する
・ケースC：MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）
JPCERT/CCでは、2026年8月14日に本脆弱性に関する注意喚起を公表している。
・ケースD：公開Webサーバからアクセス可能なアプリケーションサーバ上にWebシェル設置
公開Webサーバからアクセス可能なアプリケーションサーバ上にWARファイル（.war）が設置される事案を確認している。
JPCERT/CCでは、報告のあった攻撃手口に基づいて、下記の対策の実施を推奨している。
・API経由のアクセスへの対策：
APIへのアクセスには単位時間あたりのリクエスト件数を制限し、短時間に繰り返されるアクセスや大量実行を防止する
ログイン、パスワードリセット、SMS送信、検索処理などの負荷や悪用のリスクが高い機能には個別にレート制限や利用回数制限を設定する
非公開APIを含む各APIエンドポイントでアクセス制御を実施し、許可された利用者やHTTPメソッドからのアクセスのみを受け付ける
API利用者やAPIトークンには必要最小限の権限のみを付与する
APIトークンには適切な有効期限を設定し、長期間有効なトークンの使用を避ける
不要となった、または漏えいが疑われるAPIトークンは速やかに無効化できるようにする
・上記の他、汎用的な対策：
サービスの利用地域が限定される場合は、アクセス元の地域を制限する
既知の脆弱性の影響を受けるバージョンで運用している場合は、修正済みのアップデートを適用する
Webサーバ等が侵害された後の横展開対策を見直す
不正アクセス検知体制の点検と検知時の初動対応を見直す
漏えい発生時を想定した、平時からの顧客への二次被害防止等の呼びかけ（多要素認証など）
業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合、公開を停止する
法令や契約等で定められた保存期間を過ぎたデータや利用目的を終えたデータを残さない
