La Agencia Digital de Japón informó el pasado 12 de septiembre que un acceso no autorizado a su plataforma Government Solution Service (GSS) pudo haber filtrado información personal de aproximadamente 246 mil personas. El organismo detectó la actividad sospechosa el 25 de junio, al notar accesos masivos a archivos desde la cuenta de un encargado de mantenimiento.
El 9 de julio se confirmó que un tercero explotó una vulnerabilidad en un dispositivo VPN para infiltrarse en el sistema. Ese mismo día, la agencia suspendió la cuenta comprometida y cortó la comunicación externa del equipo afectado para frenar el acceso indebido.
La plataforma GSS conecta la infraestructura compartida de 23 ministerios y agencias japonesas, por lo que una brecha en esta plataforma puede afectar a múltiples organismos a la vez. Según la Agencia Digital, la información potencialmente expuesta pertenece a empleados públicos, funcionarios y empresas o personas vinculadas al trabajo de esas instituciones, pero “no incluye información personal del público en general”, según indica un reporte oficial de la agencia.
Entre los datos que podrían haberse filtrado hay unos 236 mil nombres, 231 mil direcciones de correo electrónico, 94 mil números telefónicos y aproximadamente mil domicilios. De los 246 mil registros totales, unos 189 mil corresponden a personal de organismos que usan el GSS, mientras que los otros 57 mil pertenecen a empresas y personas contratadas para apoyar ese trabajo.
La vulnerabilidad explotada tenía una severidad media y no era una falla de día cero, por lo que ya existía un parche disponible cuando ocurrió el ataque. La agencia no reveló el producto VPN afectado ni detalles técnicos de la falla, por razones de seguridad.
La información filtrada no incluye números de Mi Number (número de identificación japonés, similar al RUN en nuestro país), datos de cuentas bancarias ni números de pensión, según confirmó el organismo. Hasta el momento no se ha detectado uso indebido de los datos, aunque la agencia advirtió sobre el riesgo de correos de phishing o suplantación, y recordó que nunca solicitará contraseñas ni datos de tarjetas de crédito por correo electrónico ni por teléfono.
El regulador de protección de datos personales de Japón fue notificado el 15 de julio, seis días después de confirmarse el ataque. La agencia atribuyó la demora en la divulgación pública a la complejidad de rastrear el acceso, identificar la información afectada y determinar quiénes fueron impactados.
La Agencia Digital anunció que revisará su gestión de vulnerabilidades y las formas de conexión externa a sus sistemas como parte de las medidas de remediación.
