Hackerangriff auf japanische Regierungsplattform führt zu möglichem Datenabfluss

Die japanische Regierung bestätigte, dass ein gemeinsames Arbeitssystem mehrerer Ministerien gehackt wurde, wobei möglicherweise etwa 246.000 persönliche Informationen an externe Parteien gelangten.

Die Digital Agency gab am 11. September bekannt, dass es zu einem externen Eindringen in den Government Solution Service, bekannt als GSS, gekommen war. Das System stellt eine gemeinsame Arbeitsumgebung für Regierungsbehörden bereit, einschließlich Netzwerken, Software und Sicherheitsumgebungen. Bis Februar 2026 nutzten etwa 53.000 Personen aus 18 Regierungsbehörden diesen Dienst.

Die Angreifer nutzten eine bekannte Schwachstelle in einer VPN-Netzwerkverbindung, um in das System einzudringen. Obwohl die Digital Agency angab, dass die Behebung der Schwachstelle bereits im Gange war, erfolgte der Angriff, bevor das entsprechende Programm aktualisiert werden konnte. Die Schwachstelle wurde ursprünglich im Common Vulnerability Scoring System als Risiko der Stufe Mittel eingestuft.

Das erste ungewöhnliche Verhalten wurde am 25. Juni festgestellt, als ein unbefugter Zugriff auf eine große Anzahl von Dateien über das Konto eines Wartungsmitarbeiters bemerkt wurde. Am 9. Juli wurde das Eindringen über die VPN-Schwachstelle bestätigt, woraufhin das betroffene Konto gesperrt und die Kommunikation mit externen Seiten unterbrochen wurde.

Von den etwa 246.000 betroffenen Datensätzen entfallen etwa 189.000 auf Mitarbeiter von Regierungsbehörden und Beamte sowie etwa 57.000 auf Unternehmer und Einzelpersonen, die an Regierungsaufgaben beteiligt waren. Die Daten umfassten etwa 236.000 Namen, 231.000 E-Mail-Adressen, 94.000 Telefonnummern und 1.000 Adressen. Die Regierung stellte klar, dass es sich bei vielen Telefonnummern und Adressen um geschäftliche Kontaktdaten handelte. Informationen zu My Number, Finanzkonten oder Rentennummern sowie private Daten von Bürgern waren nicht betroffen.

Die Digital Agency hat das VPN-Gerät inzwischen aktualisiert und die Authentifizierungsdaten der betroffenen Konten geändert. Es wurden keine weiteren verdächtigen Kommunikationen festgestellt. Die Behörde lehnte es ab, den Namen des VPN-Herstellers, die spezifische CVE-Nummer oder die Identität der Angreifer zu nennen, um die zukünftige Systemsicherheit nicht zu gefährden.

Der Vorfall verdeutlicht, dass die Verwaltung von Grenzgeräten wichtig bleibt, selbst wenn eine Zero Trust Netzwerkarchitektur implementiert wurde. Die japanische Regierung meldete den Vorfall am 15. Juli der Kommission für den Schutz personenbezogener Daten und informiert nun die betroffenen Personen einzeln. Bisher wurden keine Folgeschäden durch den Missbrauch der Daten gemeldet.