La Agencia Digital de Japón ha revelado una brecha de datos que podría haber dejado al descubierto aproximadamente 246.000 filas de registros con información personal de empleados gubernamentales. Según la agencia, el atacante obtuvo acceso inicial aprovechando una vulnerabilidad en un dispositivo VPN utilizado por el Government Solution Service (GSS).
La investigación arrancó el 25 de junio, después de que la agencia detectara un acceso masivo a archivos desde la cuenta de un miembro del personal de mantenimiento y operaciones.
El 9 de julio se descubrió que un tercero había utilizado una vulnerabilidad en un dispositivo conectado a la red (VPN) para acceder al sistema y obtener acceso no autorizado. Ese mismo día, suspendimos la cuenta del personal de mantenimiento y operaciones en cuestión, cortamos la comunicación entre el equipo comprometido y el exterior, y evitamos más accesos no autorizados.
No está claro qué producto VPN se vio afectado ni qué vulnerabilidad se explotó en la brecha. Sin embargo, la agencia japonesa señaló en un apartado de preguntas y respuestas que el problema tenía una calificación de gravedad media y no era un zero-day.
La investigación reveló que los siguientes datos podrían haber quedado expuestos:
- 236.000 nombres
- 231.000 direcciones de correo electrónico
- 94.000 números de teléfono
- 1.000 direcciones físicas
Los individuos afectados incluyen empleados gubernamentales, funcionarios públicos y empresas y personas asociadas que utilizan el sistema GSS. No obstante, el incidente no expuso datos personales del público general, y la información potencialmente comprometida no incluye números de identificación My Number, datos de cuentas bancarias ni números de pensión.
Además, la agencia no ha detectado casos de uso indebido real de la información afectada, pero aun así advirtió sobre el riesgo elevado de suplantación y phishing, e instó a las personas a no abrir enlaces ni archivos adjuntos en comunicaciones no solicitadas. La Agencia Digital recordó que nunca solicitará contraseñas ni información de tarjetas de crédito por correo electrónico o teléfono.
Los afectados serán contactados directamente y la agencia también habilitó una línea de soporte dedicada. La agencia notificó a la Comisión de Protección de Información Personal de Japón el 15 de julio y aclaró que el retraso en divulgar el incidente al público se debió a la complejidad de determinar la ruta de intrusión, identificar la información potencialmente afectada y establecer quiénes resultaron afectados.
La agencia afirma que el impacto se limitó al sistema afectado, sin acceso no autorizado confirmado, fuga de datos ni brechas comparables en otros sistemas. También señaló que el incidente y las operaciones de respuesta no afectaron a la disponibilidad de los servicios gubernamentales.
Deja una respuesta