Japans nationale Computer-Notfallteam JPCERT/CC hat einen recenten Anstieg von Web-Datenlecks auf zwei Hauptursachen zurückgeführt: missbrauchte Mobile-App-APIs und bekannte Software-Schwachstellen, einschließlich eines ausgenutzten SQL-Injection-Fehlers in Metabase. Die Geschichte ist eine nützliche Erinnerung daran, dass Japans Web-Datenlecks und Schwachstellen in mobilen APIs in der Regel Probleme auf der Serverseite sind, in Systemen, die Nutzer weder sehen noch kontrollieren können.

Was JPCERT/CC hinter Japans Datenlecks gefunden hat

Laut dem Bericht verbindet JPCERT/CC Japans recenten Anstieg von Datenlecks mit dem Missbrauch von APIs mobiler Anwendungen und mit Schwachstellen, die bereits öffentlich bekannt waren. Eines der genannten Beispiele ist ein SQL-Injection-Fehler in Metabase, der von Angreifern ausgenutzt wurde.

Der gemeinsame Nenner ist, dass es sich nicht um exotische Angriffe handelt. Bekannte Schwachstellen und schlecht geschützte Schnittstellen sind die Einstiegspunkte. Die Zusammenfassung des Quellmaterials bringt die Lecks mit nichts in Verbindung, was einzelne Nutzer getan haben, und das ist wichtig dafür, wie Leser über Risiken denken sollten: Die personenbezogenen Daten wurden von den Diensten preisgegeben, die sie speicherten.

Wie SQL-Injection und exponierte mobile APIs personenbezogene Daten preisgeben

Zwei technische Begriffe prägen diese Geschichte, daher ist es hilfreich, sie klar zu definieren.

SQL-Injection tritt auf, wenn eine Anwendung benutzerseitig bereitgestellte Eingaben in eine Datenbankabfrage übergibt, ohne sie ordnungsgemäß zu prüfen. Ein Angreifer kann Eingaben erstellen, die die Abfrage verändern, was ihm möglicherweise ermöglicht, Daten zu lesen, die er niemals sehen sollte. Metabase ist ein Datenanalysetool, das sich mit Datenbanken verbindet, sodass ein Fehler darin die zugrunde liegenden Datensätze in Reichweite bringen kann.

Missbrauch mobiler APIs ist ein anderer Weg zu einem ähnlichen Ergebnis. Eine mobile App kommuniziert über eine API mit den Servern eines Unternehmens. Wenn diese API nicht ordnungsgemäß überprüft, wer fragt oder was abgerufen werden darf, kann jemand Anfragen direkt an sie senden, außerhalb der App, und Daten in großem Umfang abrufen. Die App auf Ihrem Telefon mag völlig normal aussehen, während der Server dahinter mehr herausgibt, als er sollte.

In beiden Fällen liegt die Schwachstelle bei der Organisation, die den Dienst betreibt. Das Patchen bekannter Schwachstellen und das Verschärfen der API-Zugriffskontrollen sind die Lösungen, und beides ist Aufgabe des Betreibers, nicht des Kunden.

Was japanische Nutzer und Dienste jetzt prüfen sollten

Für Organisationen deutet die Betonung bekannter Schwachstellen im Bericht auf eine grundlegende Checkliste hin:

  • Bestätigen Sie, dass jede Metabase-Bereitstellung auf eine Version aktualisiert ist, die den ausgenutzten SQL-Injection-Fehler behebt.
  • Überprüfen Sie mobile App-APIs, um sicherzustellen, dass jede Anfrage authentifiziert ist und Nutzer nur ihre eigenen Datensätze abrufen können.
  • Behandeln Sie öffentlich offengelegte Schwachstellen als dringend, da Angreifer sie bereits nutzen.

Für einzelne Nutzer gibt es wenig direkt zu konfigurieren, aber Sie können auf Anzeichen achten, dass ein von Ihnen genutzter Dienst betroffen ist: Benachrichtigungs-E-Mails, unerwartete Passwort-Zurücksetzen-Nachrichten oder Phishing, das Details referenziert, die nur dieses Unternehmen kennen sollte.

Wie Sie Ihre Exposition nach einem Leck begrenzen

Es lohnt sich, bei einem Punkt direkt zu sein: Ein VPN behebt das nicht. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und einem VPN-Server und maskiert Ihre IP-Adresse, was für die Privatsphäre in nicht vertrauenswürdigen Netzwerken nützlich ist. Es tut nichts gegen einen Fehler in einer Datenbank oder API, die Ihre Informationen speichert. Wenn ein Dienst Ihre Datensätze preisgibt, ist der Weg, den die Daten dorthin genommen haben, irrelevant dafür, wie sie exponiert wurden.

Was hilft, ist die Begrenzung des Schadens, wenn ein Leck auftritt:

  • Verwenden Sie ein eindeutiges Passwort für jedes Konto. Wenn ein Dienst kompromittiert wird, können Angreifer dieselben Anmeldedaten nicht anderswo wiederverwenden. Ein Passwort-Manager macht dies praktikabel.
  • Aktivieren Sie Leck-Überwachung. Viele Browser, Passwort-Manager und unabhängige Dienste warnen Sie, wenn Ihre E-Mail in einem bekannten Leck auftaucht.
  • Teilen Sie weniger Daten mit Apps. Felder, die Sie nie bereitgestellt haben, können nicht geleakt werden. Überspringen Sie optionale Details und verwenden Sie eine separate E-Mail-Adresse für Dienste mit geringerem Vertrauen.
  • Aktivieren Sie Multi-Faktor-Authentifizierung, wo sie angeboten wird, damit ein geleaktes Passwort allein nicht ausreicht.
  • Seien Sie vorsichtig bei unerwarteten Nachrichten. Geleakte Kontaktdaten befeuern oft gezieltes Phishing.

Was das für Sie bedeutet

Die JPCERT/CC-Erkenntnisse bekräftigen, dass Ihre Exposition stark davon abhängt, wie gut die Unternehmen, denen Sie vertrauen, ihre Systeme warten. Sie können ihre Server nicht patchen, aber Sie können reduzieren, was auf dem Spiel steht. Gehen Sie davon aus, dass einige Ihrer Daten irgendwann irgendwo exponiert werden, und stellen Sie sicher, dass diese Exposition nicht Ihre anderen Konten entsperrt.

Für ein recentes Beispiel dafür, wie großflächige Exposition in Japan aussieht, lesen Sie unsere Berichterstattung über den KDDI-Verstoß, der 12,2 Mio. Kundene-Mails in Japan exponierte. E-Mail-Adressen allein mögen gering erscheinen, aber sie sind genau die Art von Daten, die Phishing-Kampagnen antreiben.

Wichtigste Erkenntnisse

Japans Web-Datenlecks, die mit Missbrauch mobiler APIs und ungepatchter Software zusammenhängen, sind ein Problem auf der Dienstseite, und ein VPN wird sie nicht lösen. Verwenden Sie eindeutige Passwörter, aktivieren Sie Leck-Überwachung, schalten Sie Multi-Faktor-Authentifizierung ein und geben Sie Apps nur die Daten, die sie wirklich benötigen. Diese Gewohnheiten werden einen Verstoß nicht stoppen, aber sie können verhindern, dass einer zu einem viel größeren Problem für Sie wird.