Der Angriff auf Japans Digitalbehörde richtete sich gegen den Government Solution Service (GSS), eine von der Behörde betriebene Plattform. Der Einstieg erfolgte nach deren Darstellung über das Konto eines Mitarbeiters aus dem Bereich Wartung und Betrieb, mit dem die Angreifer Dateien aus dem System abrufen konnten. Entdeckt wurde der Vorfall Ende Juni.
Erst im Juli konnte die Untersuchung klären, wie die Angreifer überhaupt in das System gelangt waren: Sie hatten eine Schwachstelle in einem VPN-Produkt ausgenutzt. Welches Produkt betroffen war, teilte die Behörde nicht mit. Sie räumte jedoch ein, dass die betreffende Lücke bereits vor der Bestätigung des Angriffs öffentlich bekannt gemacht worden war, und kündigte an, das eigene Schwachstellenmanagement zu verstärken.
Der Umfang des Abflusses ist beträchtlich. Nach Angaben der Digitalbehörde wurden mehr als 246.000 Datensätze kompromittiert. Darunter befinden sich rund 236.000 Namen, etwa 231.000 E-Mail-Adressen, rund 94.000 Telefonnummern sowie etwa 1.000 Adressen. Insgesamt betrifft das Leck die persönlichen Informationen von rund 240.000 Menschen.
Zum betroffenen Personenkreis zählen laut Behörde Nutzer des Dienstes, öffentliche Amtsträger, Verwaltungsmitarbeiter sowie Unternehmen und Einzelpersonen, die mit dem GSS arbeiten. In einem begleitenden Fragen-und-Antworten-Dokument erläutert die Digitalbehörde, dass die abgeflossenen Angaben jeweils von den Betroffenen selbst bei der Beantragung eines GSS-Zugangs übermittelt worden waren. Die meisten Adressen und Telefonnummern beziehen sich demnach nicht auf private Wohnsitze, sondern auf den Arbeitsplatz der Betroffenen — also auf Regierungsgebäude oder Büros.
Sensiblere Datenkategorien seien nicht betroffen. Weder individuelle Identifikationsnummern noch Informationen zu Finanzkonten seien kompromittiert worden, heißt es. Auch Daten der allgemeinen Öffentlichkeit seien nicht abgeflossen.
Unmittelbar nachdem die Ausnutzung der Schwachstelle bestätigt war, sperrte die Digitalbehörde den externen Zugriff auf den betroffenen Server und deaktivierte das im Angriff verwendete Mitarbeiterkonto. Weitere Systeme seien nach Erkenntnissen der Behörde nicht kompromittiert worden.