La Agencia Digital de Japón sufrió una filtración de datos que expuso información personal de unos 246,000 empleados gubernamentales y colaboradores debido a una vulnerabilidad en un dispositivo VPN. El ataque no afectó los datos del público general ni incluyó información bancaria o números de identificación críticos. La agencia ya tomó medidas de seguridad y advirtió a los afectados sobre posibles riesgos de phishing.

La Agencia Digital de Japón ha descubierto una brecha de datos que puede haber expuesto alrededor de 246,000 filas de registros que contienen información personal de empleados gubernamentales.

La agencia afirma que el atacante obtuvo el acceso inicial explotando una vulnerabilidad en un dispositivo VPN utilizado por el Servicio de Soluciones Gubernamentales (GSS).

La investigación comenzó el 25 de junio, después de que la agencia detectara un acceso a archivos a gran escala desde la cuenta de un miembro del personal de mantenimiento y operaciones.

“El 9 de julio se descubrió que un tercero había utilizado una vulnerabilidad en un dispositivo conectado a la red (VPN) para acceder al sistema y obtener acceso no autorizado”, dice el anuncio [https://www.digital.go.jp/news/2026-0911-01].

“El mismo día, suspendimos la cuenta del personal de mantenimiento y operaciones en cuestión, cortamos la comunicación entre el equipo comprometido y el mundo exterior, y evitamos más accesos no autorizados”.

No está claro qué producto VPN fue afectado o la vulnerabilidad explotada en la brecha. Sin embargo, la agencia japonesa dijo en una sección de preguntas y respuestas independiente [https://www.digital.go.jp/press/5fc99139-a4e2-4b7b-8b0c-d475e926143f] que el problema tenía una calificación de severidad media y no era un zero-day.

La investigación reveló que los siguientes datos pueden haber sido expuestos:

* 236,000 nombres
* 231,000 direcciones de correo electrónico
* 94,000 números de teléfono
* 1,000 direcciones físicas

Las personas expuestas incluyen empleados gubernamentales, funcionarios públicos y empresas e individuos asociados que utilizan el sistema GSS.

Sin embargo, el incidente no expuso datos personales del público en general, y la información potencialmente comprometida no incluye números de identificación My Number, detalles de cuentas bancarias o números de pensión.

Además, la agencia no ha detectado ningún caso de mal uso real de la información afectada, pero aun así advirtió sobre el riesgo elevado de suplantación de identidad y phishing, instando a las personas a no abrir enlaces o archivos adjuntos en comunicaciones no solicitadas.

La Agencia Digital recordó a las personas que nunca solicitará contraseñas ni información de tarjetas de crédito por correo electrónico o teléfono.

Las personas afectadas serán contactadas directamente y la agencia también estableció una línea de soporte dedicada.

La agencia notificó a la Comisión de Protección de Información Personal de Japón el 15 de julio y aclaró que el retraso en la divulgación del incidente al público se debió a la complejidad de determinar la ruta de intrusión, identificar la información potencialmente afectada y establecer quiénes fueron los afectados.

La agencia afirma que el impacto se limitó al sistema afectado, sin acceso no autorizado confirmado, filtración de datos o brechas comparables que afectaran a otros sistemas. También señaló que el incidente y las operaciones de respuesta no afectaron la disponibilidad de los servicios gubernamentales.

Fuente:
BleepingComputer