Shkelja e VPN-së së GSS në Japoni zbuloi 246,000 të dhëna personeli

Agjencia Dixhitale e Japonisë ka njoftuar një shkelje të VPN-së që mund të ketë ekspozuar rreth 246,000 rreshta të dhënash që përmbajnë informacione personale të punonjësve të qeverisë. Sulmuesi fitoi akses fillestar duke shfrytëzuar një dobësi në një pajisje VPN të përdorur nga Shërbimi i Zgjidhjeve Qeveritare (GSS), sistemi nga i cili punonjësit e qeverisë japoneze dhe organizatat e lidhura me to mbështeten për detyra të brendshme administrative. Agjencia e zbuloi incidentin për herë të parë më 25 qershor 2026, kur vuri re akses jashtëzakonisht të madh në skedarë nga një llogari që i përkiste stafit të mirëmbajtjes dhe operacioneve.

Një hetim konfirmoi më 9 korrik se një palë e tretë kishte përdorur një dobësi në një pajisje të lidhur me rrjetin, konkretisht një VPN, për të hyrë në sistem dhe për të fituar akses të paautorizuar. Një VPN, ose rrjet privat virtual, krijon një tunel të kriptuar që lejon përdoruesit në distancë të arrijnë një rrjet të brendshëm sikur të ishin fizikisht aty, gjë që e bën atë një objektiv të zakonshëm për sulmuesit sepse një pajisje e vetme me defekt mund të ekspozojë gjithçka pas saj. Agjencia Dixhitale pezulloi menjëherë llogarinë e personelit të mirëmbajtjes dhe operacioneve, ndërpreu komunikimin midis pajisjes së komprometuar dhe botës së jashtme dhe parandaloi aksesin e mëtejshëm të paautorizuar. Agjencia nuk ka emërtuar produktin VPN të prekur ose dobësinë specifike, por deklaroi në një pyetje-përgjigje të veçantë se dobësia kishte një vlerësim të ashpërsisë së mesme dhe nuk ishte zero-day. Një zero-day është një e metë sigurie e panjohur për prodhuesin e softuerit, që do të thotë se nuk ekziston asnjë rregullim në momentin kur përdoret për herë të parë në një sulm.

Të dhënat që mund të jenë ekspozuar përfshijnë afërsisht 236,000 emra, 231,000 adresa email, 94,000 numra telefoni dhe 1,000 adresa fizike. Individët e prekur janë punonjës të qeverisë, zyrtarë publikë dhe biznese e individë të lidhur që përdorin sistemin GSS. E rëndësishme, incidenti nuk ekspozoi të dhëna personale të publikut të gjerë dhe informacioni potencialisht i komprometuar nuk përfshin numra identifikimi My Number, detaje të llogarisë bankare ose numra pensioni. Agjencia nuk ka zbuluar asnjë rast të keqpërdorimit aktual të informacionit të prekur, por paralajmëroi për rrezikun e shtuar të imitimit dhe phishing-ut. Phishing është një lloj mashtrimi ku sulmuesit dërgojnë email ose mesazhe të rreme që duken legjitime për të mashtruar njerëzit që të zbulojnë fjalëkalime ose informacione të tjera të ndjeshme. Agjencia i bëri thirrje njerëzve të mos hapin lidhje ose bashkëngjitje në komunikime të pakërkuara dhe i kujtoi ata se nuk do të kërkojë kurrë fjalëkalime ose informacione të kartës së kreditit me email ose telefon.

Individët e prekur do të kontaktohen drejtpërdrejt dhe agjencia ka ngritur një linjë të dedikuar mbështetjeje. Agjencia Dixhitale njoftoi Komisionin e Mbrojtjes së Informacionit Personal të Japonisë më 15 korrik. Ajo shpjegoi se vonesa në zbulimin publik të incidentit ishte për shkak të kompleksitetit të përcaktimit të rrugës së ndërhyrjes, identifikimit të informacionit potencialisht të prekur dhe përcaktimit se kush ishte prekur. Agjencia gjithashtu deklaroi se ndikimi ishte i kufizuar në sistemin e prekur, pa akses të paautorizuar të konfirmuar, rrjedhje të dhënash ose shkelje të ngjashme që prekin sisteme të tjera. Disponueshmëria e shërbimeve qeveritare nuk u ndikua nga incidenti ose operacionet e reagimit.

Për organizatat që përdorin pajisje VPN ose pika të tjera hyrëse në rrjet, incidenti nxjerr në pah pse mbajtja e këtyre pajisjeve të përditësuara dhe të monitoruara është thelbësore. Sulmuesit skanojnë shpesh për dobësi të njohura të VPN-së dhe edhe një e metë me ashpërsi të mesme mund të mjaftojë për të hapur një derë në një sistem të brendshëm nëse nuk rregullohet menjëherë. Ekipet e infrastrukturës dhe konsulencës të ndërgjegjshme për sigurinë, si AEU-I, ndihmojnë organizatat të rishikojnë dhe të forcojnë pajisjet e tyre të rrjetit përpara se një sulmues të mund të përfitojë nga një dobësi e njohur. Pronarët e faqeve dhe ekipet e IT duhet të trajtojnë çdo pajisje VPN si një aktiv perimetri që kërkon përditësime të rregullta firmware, autentikim të fortë dhe rishikim të regjistrave. Për shkak se të dhënat e ekspozuara janë kryesisht detaje kontakti dhe jo identifikues financiarë, rreziku i menjëhershëm është phishing i synuar, kështu që çdo përdorues i prekur duhet t'i trajtojë mesazhet e pakërkuara me kujdes të shtuar.