日本数字厅称 VPN 漏洞泄露 24.6 万条人员记录

日本数字厅发现了一起数据泄露事件，可能暴露了约 24.6 万行包含政府雇员个人信息的记录。

该机构称，攻击者通过利用 Government Solution Service (GSS) 所使用的一台 VPN 设备中的漏洞获得了初始访问权限。

调查于 6 月 25 日开始，此前该机构从一名维护和运营人员的账户中检测到大规模文件访问。

"7 月 9 日，发现第三方利用一台联网设备 (VPN) 中的漏洞访问系统并获得未经授权的访问，"公告写道。

"同日，我们暂停了相关维护和运营人员的账户，切断了受陷设备与外界的通信，并阻止了进一步的未经授权访问。"

目前尚不清楚受影响的是哪款 VPN 产品，或此次泄露中利用的是哪个漏洞。不过，该日本机构在一份单独的问答中表示，该问题的严重性评级为中等，且并非零日漏洞。

调查显示，以下数据可能已被暴露：

• 236,000 个姓名
• 231,000 个电子邮件地址
• 94,000 个电话号码
• 1,000 个实际地址

被暴露的个人包括政府雇员、公职人员，以及使用 GSS 系统的相关企业和个人。

不过，该事件未暴露公众的个人数据，可能被泄露的信息不包括 My Number 身份号码、银行账户详情或养老金号码。

此外，该机构尚未发现任何实际滥用受影响信息的情况，但仍警告冒充和钓鱼风险升高，敦促人们不要打开未经请求的通信中的链接或附件。

数字厅提醒人们，其绝不会通过电子邮件或电话索取密码或信用卡信息。

受影响的个人将被直接联系，该机构还设立了专门的支持热线。

该机构于 7 月 15 日通知了日本个人信息保护委员会，并澄清向公众披露该事件之所以延迟，是因为确定入侵路径、识别可能受影响的信息以及确定受影响人员的过程十分复杂。

该机构称，影响仅限于受影响的系统，未确认有影响其他系统的未经授权访问、数据泄露或类似入侵。它同时指出，该事件及响应行动未影响政府服务的可用性。