Дигиталната агенция на Япония разкри пробив в сигурността на данни, който може да е изложил на риск около 246 000 реда с записи, съдържащи лична информация на държавни служители.

Агенцията съобщава, че атакуващият е получил първоначален достъп чрез експлоатиране на уязвимост във VPN устройство, използвано от Government Solution Service (GSS).

Разследването е започнало на 25 юни, след като агенцията е открила мащабен достъп до файлове от акаунта на служител по поддръжката и експлоатацията.

„На 9 юли бе установено, че трета страна е използвала уязвимост в свързано с мрежата устройство (VPN), за да получи достъп до системата и да осъществи неоторизиран достъп“, се казва в съобщението.

„На същия ден спряхме акаунта на въпросния персонал по поддръжка и експлоатация, прекъснахме комуникацията между компрометираното оборудване и външния свят и предотвратихме по-нататъшен неоторизиран достъп.“

Не е ясно кой VPN продукт е бил засегнат или коя е експлоатираната уязвимост при пробива. Японската агенция обаче заяви в отделна секция с въпроси и отговори, че проблемът е бил със средно ниво на сериозност и не е бил уязвимост от тип нулев ден.

Разследването е установило, че следните данни може да са били изложени на риск:

  • 236 000 имена
  • 231 000 имейл адреса
  • 94 000 телефонни номера
  • 1 000 физически адреса

Засегнатите лица включват държавни служители, публични длъжностни лица, както и свързани бизнеси и лица, които използват системата GSS.

Инцидентът обаче не е изложил на риск лични данни на широката общественост, а потенциално компрометираната информация не включва идентификационни номера My Number, банкови данни или пенсиони номера.

Също така агенцията не е открила случаи на действителна злоупотреба със засегнатата информация, но въпреки това предупреди за повишен риск от имперсонация и фишинг, призовавайки хората да не отварят връзки или прикачени файлове в непоискани съобщения.

Дигиталната агенция напомни на гражданите, че никога няма да изисква пароли или информация за кредитни карти по имейл или телефон.

Засегнатите лица ще бъдат уведомени директно, като агенцията е създала и специална линия за поддръжка.

Агенцията е уведомила Комисията за защита на личната информация на Япония на 15 юли и е пояснила, че забавянето при оповестяването на инцидента пред обществеността се дължи на сложността при определянето на пътя на проникване, идентифицирането на потенциално засегнатата информация и установяването на кои лица са засегнати.

От агенцията заявяват, че въздействието е било ограничено до засегнатата система, като няма потвърден неоторизиран достъп, изтичане на данни или сравними пробиви, засягащи други системи. Тя също така отбеляза, че инцидентът и операциите по реагиране не са засегнали достъпността на държавните услуги.