Violazione VPN del GSS giapponese: esposti 246.000 registri del personale

L'Agenzia Digitale del Giappone ha reso nota una violazione VPN che potrebbe aver esposto circa 246.000 righe di registri contenenti informazioni personali di dipendenti pubblici. L'attaccante ha ottenuto l'accesso iniziale sfruttando una vulnerabilità in un dispositivo VPN utilizzato dal Government Solution Service (GSS), il sistema su cui i lavoratori del governo giapponese e le organizzazioni associate si affidano per le attività amministrative interne. L'agenzia ha rilevato per la prima volta l'incidente il 25 giugno 2026, quando ha notato un accesso ai file insolitamente elevato da un account appartenente al personale di manutenzione e operativo.

Un'indagine ha confermato il 9 luglio che una terza parte aveva utilizzato una vulnerabilità in un dispositivo connesso alla rete, in particolare una VPN, per entrare nel sistema e ottenere accesso non autorizzato. Una VPN, o rete privata virtuale, crea un tunnel crittografato che consente agli utenti remoti di raggiungere una rete interna come se fossero fisicamente presenti, il che la rende un obiettivo comune per gli attaccanti perché un singolo dispositivo difettoso può esporre tutto ciò che sta dietro di esso. L'Agenzia Digitale ha immediatamente sospeso l'account del personale di manutenzione e operativo, interrotto la comunicazione tra l'apparecchiatura compromessa e il mondo esterno e impedito ulteriori accessi non autorizzati. L'agenzia non ha indicato il prodotto VPN interessato né la vulnerabilità specifica, ma ha dichiarato in una sezione Q&A separata che il difetto aveva una valutazione di gravità media e non era uno zero-day. Uno zero-day è una falla di sicurezza sconosciuta al produttore del software, il che significa che non esiste alcuna correzione nel momento in cui viene sfruttata per la prima volta in un attacco.

I dati che potrebbero essere stati esposti includono circa 236.000 nomi, 231.000 indirizzi email, 94.000 numeri di telefono e 1.000 indirizzi fisici. Le persone interessate sono dipendenti pubblici, funzionari pubblici e imprese e privati associati che utilizzano il sistema GSS. È importante sottolineare che l'incidente non ha esposto dati personali del pubblico generale e le informazioni potenzialmente compromesse non includono i numeri di identificazione My Number, i dettagli dei conti bancari o i numeri di pensione. L'agenzia non ha rilevato alcun caso di effettivo uso improprio delle informazioni interessate, ma ha avvertito del rischio elevato di impersonificazione e phishing. Il phishing è un tipo di truffa in cui gli attaccanti inviano email o messaggi falsi che sembrano legittimi per indurre le persone a rivelare password o altre informazioni sensibili. L'agenzia ha esortato le persone a non aprire link o allegati in comunicazioni non richieste e ha ricordato che non chiederà mai password o informazioni sulla carta di credito via email o telefono.

Le persone interessate saranno contattate direttamente e l'agenzia ha istituito una linea di supporto dedicata. L'Agenzia Digitale ha notificato alla Commissione per la Protezione delle Informazioni Personali del Giappone il 15 luglio. Ha spiegato che il ritardo nella divulgazione pubblica dell'incidente è dovuto alla complessità di determinare il percorso di intrusione, identificare le informazioni potenzialmente interessate e stabilire chi fosse coinvolto. L'agenzia ha inoltre dichiarato che l'impatto è stato limitato al sistema interessato, senza accessi non autorizzati confermati, fughe di dati o violazioni comparabili che abbiano colpito altri sistemi. La disponibilità dei servizi governativi non è stata influenzata dall'incidente né dalle operazioni di risposta.

Per le organizzazioni che gestiscono dispositivi VPN o altri punti di ingresso di rete, l'incidente evidenzia perché mantenere questi dispositivi aggiornati e monitorati sia essenziale. Gli attaccanti scansionano frequentemente le vulnerabilità VPN note e anche un difetto di gravità media può essere sufficiente per aprire una porta verso un sistema interno se non viene corretto tempestivamente. Team di infrastruttura e consulenza attenti alla sicurezza, come AEU-I, aiutano le organizzazioni a rivedere e rafforzare i propri dispositivi di rete prima che un attaccante possa sfruttare una falla nota. I proprietari di siti e i team IT dovrebbero trattare qualsiasi appliance VPN come una risorsa perimetrale che richiede aggiornamenti firmware regolari, autenticazione forte e revisione dei log. Poiché i registri esposti sono per lo più dettagli di contatto piuttosto che identificatori finanziari, il rischio immediato è il phishing mirato, quindi ogni utente interessato dovrebbe trattare i messaggi non richiesti con particolare cautela.