Die japanische Digital Agency hat eingeräumt, dass bei einem Einbruch in ihre Systeme rund 246.000 Datenzeilen mit personenbezogenen Informationen offengelegt worden sein könnten. Einstiegspunkt war den Angaben zufolge eine Schwachstelle in einem VPN-Gerät, das für den Government Solution Service (GSS) genutzt wird.
Der Vorfall kam über eine Auffälligkeit ans Licht: Am 25. Juni bemerkte die Behörde einen großflächigen Dateizugriff, der über das Konto eines Beschäftigten aus dem Wartungs- und Betriebsbereich erfolgte. Die daraufhin gestartete Untersuchung brachte am 9. Juli Klarheit. „Am 9. Juli wurde festgestellt, dass ein Dritter eine Schwachstelle in einem mit dem Netzwerk verbundenen Gerät (VPN) genutzt hat, um in das System einzudringen und sich unbefugten Zugriff zu verschaffen“, heißt es in der Mitteilung. „Am selben Tag haben wir das Konto des betreffenden Wartungs- und Betriebsmitarbeiters gesperrt, die Kommunikation des kompromittierten Geräts nach außen unterbrochen und weitere unbefugte Zugriffe verhindert.“
Welches VPN-Produkt betroffen war und um welche Lücke es sich handelte, bleibt offen. In einem separaten Frage-und-Antwort-Dokument erklärte die Behörde lediglich, die Schwachstelle sei mit mittlerem Schweregrad eingestuft gewesen und es habe sich nicht um eine Zero-Day-Lücke gehandelt.
Zum Kreis der potenziell Betroffenen zählen Regierungsbeschäftigte, Amtsträger sowie Unternehmen und Einzelpersonen, die das GSS-System nutzen. Personenbezogene Daten der allgemeinen Bevölkerung seien nicht betroffen. Ebenfalls nicht enthalten in den möglicherweise kompromittierten Informationen sind laut Behörde My-Number-Identifikationsnummern, Bankverbindungen und Rentenversicherungsnummern.
Hinweise auf einen tatsächlichen Missbrauch der betroffenen Daten gibt es bislang nicht. Dennoch warnt die Digital Agency vor einem erhöhten Risiko für Identitätsmissbrauch und Phishing und rät dazu, Links oder Anhänge in unaufgefordert zugestellten Nachrichten nicht zu öffnen. Die Behörde stellte zudem klar, dass sie niemals per E-Mail oder Telefon nach Passwörtern oder Kreditkartendaten fragen werde.
Betroffene Personen sollen direkt kontaktiert werden; zusätzlich wurde eine eigene Hotline eingerichtet. Die japanische Personal Information Protection Commission wurde am 15. Juli informiert. Dass die Öffentlichkeit erst mit Verzögerung unterrichtet wurde, begründet die Behörde mit dem Aufwand, den Angriffsweg zu rekonstruieren, die möglicherweise betroffenen Informationen einzugrenzen und den Kreis der betroffenen Personen zu bestimmen.
Nach eigener Darstellung blieb der Schaden auf das betroffene System begrenzt: Für andere Systeme gebe es keine bestätigten unbefugten Zugriffe, keine Datenabflüsse und keine vergleichbaren Vorfälle. Auch die Verfügbarkeit staatlicher Dienste sei weder durch den Vorfall selbst noch durch die Gegenmaßnahmen beeinträchtigt worden.