A Agência Digital do Japão descobriu uma violação de dados que pode ter exposto cerca de 246.000 registros com informações pessoais de funcionários públicos.
Segundo o órgão, o invasor obteve acesso inicial ao explorar uma vulnerabilidade em um dispositivo de VPN usado pelo Serviço de Solução Governamental (GSS).
A investigação começou em 25 de junho, depois que a agência detectou acesso em larga escala a arquivos a partir da conta de um funcionário de manutenção e operações.
“Em 9 de julho, foi descoberto que uma terceira parte havia usado uma vulnerabilidade em um dispositivo conectado à rede (VPN) para acessar o sistema e obter acesso não autorizado”, diz o comunicado.
“No mesmo dia, suspendemos a conta do pessoal de manutenção e operações em questão, isolamos o equipamento comprometido do mundo externo e impedimos novos acessos não autorizados.”
Não está claro qual produto de VPN foi afetado nem qual vulnerabilidade foi explorada na violação. No entanto, a agência japonesa informou, em uma seção separada de perguntas e respostas, que o problema tinha gravidade média e não era um zero-day.
A investigação revelou que os seguintes dados podem ter sido expostos:
236.000 nomes
231.000 endereços de e-mail
94.000 números de telefone
1.000 endereços físicos
Entre os afetados estão funcionários do governo, autoridades públicas, além de empresas e indivíduos associados que usam o sistema do GSS.
Ainda assim, o incidente não expôs dados pessoais do público em geral, e as informações possivelmente comprometidas não incluem números de identificação My Number, detalhes de contas bancárias nem números de pensão.
A agência também afirmou não ter detectado nenhum caso de uso indevido das informações afetadas até o momento, mas alertou para o risco elevado de falsificação de identidade e phishing, orientando as pessoas a não abrirem links nem anexos em comunicações não solicitadas.
A Agência Digital lembrou ainda que nunca pede senhas ou informações de cartão de crédito por e-mail ou telefone.
As pessoas afetadas serão contatadas diretamente, e a agência também criou uma linha de suporte dedicada.
O órgão notificou a Comissão de Proteção de Informações Pessoais do Japão em 15 de julho e explicou que a demora na divulgação pública do incidente se deveu à complexidade de determinar o caminho da intrusão, identificar as informações potencialmente afetadas e estabelecer quem foi atingido.
A agência diz que o impacto ficou restrito ao sistema afetado, sem confirmação de acesso não autorizado, vazamento de dados ou violação semelhante em outros sistemas. Também informou que o incidente e as operações de resposta não afetaram a disponibilidade dos serviços governamentais.
Publicidade
Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...