Japans Digital Agency erklärt, dass Angreifer möglicherweise rund 246.000 Zeilen mit Personaldaten offengelegt haben, nachdem sie eine Schwachstelle in einem VPN-Gerät der Regierung ausgenutzt hatten. Zu den betroffenen Informationen gehören Namen, E-Mail-Adressen, Telefonnummern und physische Adressen.
Die Behörde hat keine Hinweise darauf gefunden, dass Kriminelle die offengelegten Daten missbraucht haben. Sie warnte betroffene Personen jedoch vor einem erhöhten Risiko für Phishing- und Identitätsmissbrauchsversuche.
VPN-Schwachstelle verschafft Angreifer ersten Zugriff
Die VPN-Sicherheitsverletzung in Japan betraf ein Gerät, das mit dem Government Solution Service verbunden war. Der GSS stellt eine gemeinsame Arbeitsumgebung für zentrale Regierungsorganisationen bereit.
Die Digital Agency begann ihre Untersuchung am 25. Juni. Sie hatte umfangreiche Dateizugriffe festgestellt, an denen das Konto eines Mitarbeiters aus dem Bereich Wartung und Betrieb beteiligt war.
Die Ermittler stellten später fest, dass ein externer Angreifer eine Schwachstelle in einem VPN-Gerät ausgenutzt hatte. Die Sicherheitslücke ermöglichte es dem Eindringling, in das System einzudringen und ohne Autorisierung auf Dateien zuzugreifen.
Die Behörde bestätigte den Angriffsweg am 9. Juli. Am selben Tag sperrte sie das Konto des kompromittierten Mitarbeiters.
Die Verantwortlichen trennten außerdem die Kommunikation zwischen den betroffenen Geräten und externen Netzwerken. Diese Maßnahmen verhinderten, dass der Angreifer weiteren Zugriff erhielt.
Schwachstelle war kein Zero-Day
Die Digital Agency hat das betroffene VPN-Produkt nicht öffentlich genannt. Sie hat auch keine konkreten Details über die ausgenutzte Schwachstelle veröffentlicht.
Die Verantwortlichen erklärten jedoch, dass die Schwachstelle einen mittleren Schweregrad hatte. Sie war zum Zeitpunkt des Angriffs bereits bekannt und kein Zero-Day.
Für eine Zero-Day-Schwachstelle steht keine Fehlerbehebung zur Verfügung oder sie war dem Entwickler des Produkts zuvor unbekannt. In diesem Fall deuten die verfügbaren Informationen darauf hin, dass eine bereits offengelegte Schwachstelle auf dem Regierungsgerät weiterhin ausgenutzt werden konnte.
Die Behörde hat nicht erklärt, warum das betroffene Gerät weiterhin anfällig war. Sie gab auch nicht bekannt, wann die Hacker erstmals in das System eindrangen.
Sicherheitsverletzung legt Personaldaten der Regierung offen
Die Untersuchung ergab, dass während des Eindringens möglicherweise rund 246.000 Datenbankzeilen zugänglich wurden.
Die offengelegten Datensätze enthielten rund 236.000 Namen und 231.000 E-Mail-Adressen. Darüber hinaus umfassten sie etwa 94.000 Telefonnummern und 1.000 physische Adressen.
Die Informationen betreffen Regierungsmitarbeiter und Amtsträger. Sie umfassen außerdem verbundene Personen und Unternehmen, die die GSS-Umgebung nutzen.
Die Sicherheitsverletzung legte jedoch keine personenbezogenen Daten der allgemeinen Öffentlichkeit offen.
Die kompromittierten Datensätze enthielten zudem mehrere besonders sensible Kategorien nicht. Nach Angaben der Behörde umfassten die Daten weder My-Number-Identifikationsnummern noch Bankkontodaten oder Rentennummern.
Die unterschiedlichen Gesamtzahlen zeigen, dass einzelne Datensätze nicht immer jede Art personenbezogener Informationen enthielten.
Behörden warnen vor Phishing-Versuchen
Die Ermittler haben keinen bestätigten Missbrauch der offengelegten Informationen festgestellt. Die verfügbaren Kontaktdaten könnten jedoch für überzeugende Phishing-Angriffe genutzt werden.
Kriminelle könnten Namen, Regierungsfunktionen, E-Mail-Adressen und Telefonnummern verwenden, um sich als Kollegen oder vertrauenswürdige Organisationen auszugeben. Anschließend könnten sie versuchen, Anmeldedaten zu sammeln oder Malware zu verbreiten.
Daher forderte die Digital Agency betroffene Personen dazu auf, beim Erhalt unerwarteter Nachrichten vorsichtig zu sein. Empfänger sollten es vermeiden, unerwartete Links oder Anhänge zu öffnen.
Die Behörde erinnerte außerdem daran, dass sie niemals per E-Mail oder Telefon nach Passwörtern oder Kreditkartendaten fragen wird.
Die Verantwortlichen planen, betroffene Personen direkt zu kontaktieren. Darüber hinaus hat die Regierung eine spezielle Support-Hotline für Personen eingerichtet, die weitere Informationen wünschen.
Behörde meldet Vorfall an Aufsichtsbehörde
Die Digital Agency informierte Japans Personal Information Protection Commission am 15. Juli über den Vorfall.
Die Verantwortlichen gaben die Sicherheitsverletzung jedoch nicht sofort öffentlich bekannt. Die Behörde erklärte, dass sie Zeit benötigte, um den Angriffsweg zu untersuchen und festzustellen, auf welche Informationen der Angreifer möglicherweise zugreifen konnte.
Die Ermittler mussten außerdem die Personen und Organisationen identifizieren, die potenziell von dem Vorfall betroffen waren. Diese Faktoren verzögerten die öffentliche Bekanntgabe.
Die Digital Agency erklärt, dass sie die Sicherheitsverletzung auf das kompromittierte System begrenzen konnte. Sie hat keinen bestätigten unbefugten Zugriff oder ähnliche Vorfälle festgestellt, die andere Regierungsumgebungen betreffen.
Darüber hinaus beeinträchtigte die Reaktion auf den Vorfall die Verfügbarkeit staatlicher Dienste nicht. Die Verantwortlichen erklärten, dass öffentliche Systeme während der gesamten Untersuchung und Eindämmung normal weiterliefen.
Die Behörde hat nicht bekannt gegeben, wer den Angriff durchgeführt hat oder ob es dem Eindringling gelang, die zugänglichen Datensätze tatsächlich zu entwenden.
0 Kommentare zu „VPN-Sicherheitsverletzung in Japan legt Daten von 246.000 Beschäftigten offen“