Um ataque cibernético contra a rede compartilhada do governo do Japão comprometeu dados pessoais de cerca de 246 mil funcionários públicos e prestadores de serviço. A invasão atingiu a plataforma Government Solution Service (GSS), operada pela Agência Digital japonesa para interligar 23 ministérios e órgãos públicos.
A Agência Digital confirmou, na sexta-feira (11), o incidente e emitiu um comunicado formal sobre o caso. “Verificou-se que, devido ao acesso externo não autorizado, alguns arquivos contendo informações pessoais tratadas no GSS podem ter sido vazados para o exterior”, afirmou a entidade. Ela ainda pediu desculpas pelo ocorrido e declarou que os dados expostos não pertencem a cidadãos comuns.
O acesso indevido aconteceu por meio de uma brecha de segurança em um equipamento de VPN, ferramenta usada para conexões remotas seguras. A vulnerabilidade tinha nível médio de gravidade e já possuía correção disponível, porém o sistema estava desatualizado no momento da ofensiva. A agência não informou publicamente qual era a marca do aparelho nem o código técnico da falha.
Com a invasão ao dispositivo de rede, os invasores assumiram o controle de uma conta legítima de um funcionário de manutenção e operação do sistema. Com essas credenciais, eles conseguiram vasculhar uma quantidade expressiva de arquivos armazenados nos servidores governamentais.
A atividade suspeita foi notada pela equipe técnica em 25 de junho, mas a invasão pela VPN foi confirmada apenas em 9 de julho. Nesse mesmo dia, o órgão governamental suspendeu o acesso da conta usada na invasão e cortou toda a comunicação do equipamento comprometido com a internet para conter o ataque.
Entre os 246 mil registros em risco estão 236 mil nomes, 231 mil endereços de e-mail, 94 mil números de telefone e cerca de mil endereços físicos. Ao todo, 189 mil registros pertencem a funcionários diretos de ministérios, agências e fundações públicas, enquanto 57 mil dizem respeito a parceiros comerciais. Ela destacou ainda que números bancários, registros de aposentadoria e o documento de identificação nacional não foram comprometidos.
Em posicionamento, a entidade delimitou o público atingido:
“Confirmamos que as informações pessoais potencialmente vazadas pertencem a funcionários de vários ministérios e agências que utilizam o GSS e a pessoas envolvidas em seu trabalho, e não incluem dados pessoais do público em geral”.
Apesar da detecção inicial ter ocorrido no fim de junho e da notificação ao regulador de privacidade do país ter acontecido em 15 de julho, o comunicado público para a sociedade veio apenas em 11 de setembro. O órgão informou que esse intervalo decorreu da complexidade para rastrear os passos dos invasores, mensurar o volume exato de material acessado e mapear cada pessoa afetada.
Até o momento, o governo japonês não identificou o uso indevido dos dados em fraudes. Ainda assim, as autoridades alertaram que o vazamento de nomes, telefones e e-mails abre caminho para golpes direcionados, mensagens falsas e tentativas de enganar servidores em nome de instituições públicas. O órgão reforçou que entrará em contato individual com os afetados e que jamais solicita senhas ou pagamentos por telefone ou mensagem.
Histórico de segurança digitall
O histórico recente do Japão também inclui outros episódios expressivos, como o ataque ao sistema de e-mails do Centro Nacional de Prontidão e Estratégia de Incidentes Cibernéticos (NISC), em 2023, e a invasão aos sistemas da Agência de Exploração Aeroespacial do Japão (JAXA), em 2024.
Para evitar novas ocorrências, a Agência Digital prometeu revisar a gestão de vulnerabilidades e mudar os métodos de conexão externa da infraestrutura pública.
Por falar em segurança no universo digital, criminosos usam Claude para acelerar espionagem e ciberataques, segundo uma pesquisa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.