日本數位廳驚傳個資外洩？官網查詢內容恐已曝光

日本政府力推數位轉型，主責機關卻先中了一記悶棍。日本數位廳今年9月11日對外公布，旗下政府共通業務平台「政府解決方案服務」（GSS）遭外部入侵，涉及約24.6萬筆個人資料的外洩風險——對象正是多個中央省廳的現任職員及業務相關人員。

根據ITmedia NEWS報導，可能外洩的資料涵蓋氏名、電子郵件地址、電話號碼及住址等，其中氏名約23.6萬筆、電郵約23.1萬筆、電話約9.4萬筆。數位廳強調，一般民眾的個人資料、身分證字號（マイナンバー）、金融帳戶資訊及年金編號均未列入外洩範圍。

事件怎麼發生的？資安情報彙整部落格piyolog梳理出完整時間軸：攻擊者疑似自今年5月下旬起，便已透過VPN設備的安全漏洞悄悄潛入GSS系統。數位廳要到6月25日，才因保修帳號異常大量存取伺服器檔案而察覺異狀、啟動調查。7月9日確認入侵途徑後，立即停用相關帳號並切斷外部通訊。也就是說，駭客在系統內潛伏了將近一個月，才被發現。

更讓外界搖頭的是，這個被利用的漏洞並非什麼前所未見的「零日漏洞」。Cybersecurity News指出，資安研究人員發現，被利用的VPN漏洞嚴重程度評級僅為「中」，而且修補程式在攻擊發生前早已公開，再度引發各界對機關修補管理作業的質疑。

對此，ITmedia NEWS報導，數位大臣松本尚在記者會上坦承，外部資安廠商深入調查後，追溯出入侵源頭正是VPN設備漏洞遭第三方利用。松本大臣說明，數位廳事前已掌握該漏洞的存在，並按嚴重程度排序逐一處理，不料在套用修補程式之前就遭到攻擊。

事實上，Cyber Security Lab（gate02.ne.jp）的分析指出，此次受影響的記錄包含GSS使用機關的約18.9萬名職員資料，以及約5.7萬筆承包商及相關業者的資料。數位廳表示，將逐一直接聯絡當事人，並呼籲外界提防冒充相關單位的詐騙電話與可疑郵件。

進一步了解：digital agency 20260914、itmedia.co.jp

從事件爆發到對外公告，整整拖了78天。Innovatopia分析指出，數位廳解釋這段時間用於釐清侵入路徑、確認可能外洩的資料範圍及鎖定當事人身份，並強調在掌握一定事實關係後即迅速公開。不過，這樣的說明是否足以平息輿論，顯然仍有討論空間。

セオドア アカデミー（note.com）的深度分析則點出一個更核心的問題：GSS本身標榜採用「零信任網路架構」（Zero Trust），理論上即便有人進入內部，也應難以橫向移動、大規模存取資料。但這次攻擊者卻透過保修帳號，一口氣觸及近25萬筆個人資料——顯示漏洞不在侵入與否，而在入侵後能到達多大範圍。

CybersecAsia引述資安專家看法，強調最佳防禦應建立「零常設權限」（zero standing privilege）機制，搭配最小授權原則及即時存取管控，再輔以強效多因素驗證。儘管目前尚未確認有任何資料被惡意使用，數位廳仍警告相關人員提高警覺，留意冒充官方的釣魚詐騙風險。

目前，Westeria（株式会社ウェステリア）的追蹤報告顯示，數位廳在阻斷外部連線後，已套用修補程式並更換相關帳號的認證資訊，此後未再偵測到新的不正存取或可疑通訊，政府業務亦未受影響。數位廳也表示，將全面重新檢視漏洞管理機制與外部連線方式，研擬防範再次發生的對策。

本文 日本數位廳驚傳個資外洩？官網查詢內容恐已曝光 授權來自 亞洲新聞網。