La Digital Agency giapponese ha rivelato una violazione della sicurezza che potrebbe aver rivelato circa 246.000 record contenenti informazioni personali appartenenti a dipendenti governativi e persone collegate alle operazioni governative.
L’incidente ha coinvolto il Government Solution Service (GSS), un sistema condiviso utilizzato dai ministeri e dalle agenzie governative giapponesi. Gli investigatori hanno stabilito che un attaccante esterno ha sfruttato una vulnerabilità nelle apparecchiature VPN per entrare nell’ambiente e ottenere accessi non autorizzati.
Il primo avviso è arrivato il 25 giugno 2026, quando l’agenzia ha rilevato un accesso su larga scala insolita ai file tramite un account appartenente a un operatore di manutenzione e operazioni. Un’indagine ha infine stabilito il 9 luglio che una terza parte aveva sfruttato la vulnerabilità della VPN.
L’agenzia ha risposto sospendendo l’account di manutenzione interessato e bloccando le comunicazioni tra le apparecchiature compromesse e le reti esterne.
Un’indagine condotta con specialisti esterni della sicurezza ha rilevato che potrebbero essere stati esposti file contenenti informazioni personali. Circa 189.000 dei documenti potenzialmente interessati riguardano dipendenti di organizzazioni che utilizzano GSS e altri funzionari pubblici coinvolti nelle loro operazioni.
Altri 57.000 sono aziende e individui coinvolti nel lavoro svolto per queste organizzazioni.
I file contenevano circa 236.000 nomi e 231.000 indirizzi email. Circa 94.000 numeri di telefono e 1.000 indirizzi sono stati potenzialmente coinvolti. Queste cifre si sovrappongono perché i singoli record possono contenere diversi tipi di informazioni.
L’Agenzia Digitale ha sottolineato che l’incidente non ha rivelato informazioni personali appartenenti al pubblico giapponese. I numeri di identificazione del mio numero, le informazioni sui conti bancari e i numeri pensionistici non sono stati inclusi nei file potenzialmente compromessi.
Molti dei numeri di telefono e degli indirizzi coinvolti erano dati di contatto di lavoro o sedi di uffici governativi piuttosto che informazioni residenziali private.
L’agenzia non ha identificato il prodotto VPN coinvolto né ha reso pubblici la vulnerabilità specifica sfruttata. Tuttavia, ha affermato che la vulnerabilità di sicurezza è stata valutata di media gravità e non una vulnerabilità zero-day precedentemente sconosciuta.
Finora non è stato confermato alcun uso improprio delle informazioni potenzialmente esposte. Tuttavia, l’agenzia ha avvertito le persone coinvolte di essere attente a email di phishing, chiamate sospette e altri tentativi di impersonare organizzazioni governative utilizzando informazioni ottenute dall’incidente.
Le persone identificate come potenzialmente interessate saranno contattate direttamente. La violazione non ha interrotto i servizi governativi e l’agenzia ha dichiarato di non aver trovato alcun accesso non autorizzato confermato o compromessa comparabile che coinvolga altri sistemi.