L'agence numérique japonaise affirme qu'une faille de sécurité dans un VPN a exposé 246 000 dossiers de personnel.
infohightech ·
L'Agence numérique du Japon a découvert une fuite de données qui pourrait avoir exposé environ 246 000 enregistrements contenant des informations personnelles d'employés du gouvernement.
L'agence indique que l'attaquant a obtenu un accès initial en exploitant une vulnérabilité dans un dispositif VPN utilisé par le Government Solution Service (GSS).
Une enquête a été ouverte le 25 juin, après que l'agence a détecté un accès massif aux fichiers depuis le compte d'un membre du personnel de maintenance et d'exploitation.
« Le 9 juillet, il a été découvert qu’un tiers avait utilisé une vulnérabilité dans un appareil connecté au réseau (VPN) pour accéder au système et obtenir un accès non autorisé », indique le communiqué .
« Le même jour, nous avons suspendu le compte du personnel de maintenance et d'exploitation concerné, coupé toute communication entre l'équipement compromis et le monde extérieur, et empêché tout accès non autorisé ultérieur. »
On ignore quel produit VPN a été affecté et quelle vulnérabilité a été exploitée lors de la faille. Cependant, l'agence japonaise a indiqué dans une autre FAQ que le problème était de gravité moyenne et ne constituait pas une vulnérabilité zero-day.
L'enquête a révélé que les données suivantes pourraient avoir été divulguées :
- 236 000 noms
- 231 000 adresses e-mail
- 94 000 numéros de téléphone
- 1 000 adresses physiques
Les personnes exposées comprennent les employés du gouvernement, les fonctionnaires et les entreprises et personnes associées qui utilisent le système GSS.
Cependant, cet incident n'a pas exposé de données personnelles du grand public, et les informations potentiellement compromises n'incluent pas les numéros d'identification My Number, les coordonnées bancaires ou les numéros de pension.
Par ailleurs, l'agence n'a détecté aucun cas d'utilisation abusive des informations concernées, mais a néanmoins mis en garde contre le risque accru d'usurpation d'identité et d'hameçonnage, exhortant la population à ne pas ouvrir les liens ou les pièces jointes dans les communications non sollicitées.
L'agence numérique a rappelé qu'elle ne demandera jamais de mots de passe ni d'informations de carte de crédit par courriel ou par téléphone.
Les personnes concernées seront contactées directement, et l'agence a également mis en place une ligne d'assistance dédiée.
L'agence a notifié la Commission japonaise de protection des informations personnelles le 15 juillet et a précisé que le retard dans la divulgation de l'incident au public était dû à la complexité de déterminer le chemin d'intrusion, d'identifier les informations potentiellement affectées et d'établir qui était touché.
L'agence indique que l'impact s'est limité au système concerné, aucun accès non autorisé, fuite de données ou autre incident similaire n'ayant été confirmé sur d'autres systèmes. Elle précise également que l'incident et les opérations d'intervention n'ont pas affecté la disponibilité des services gouvernementaux.