日本数字厅GSS遭入侵或泄24.6万人信息

日本数字厅披露，其运营的政府解决方案服务（GSS）网络遭未经授权访问，约24.6万名公职人员及相关人员的个人信息可能外泄。

6月25日，系统侦测到有人用运维维护账号对服务器上大量文件进行访问。7月9日查实：第三方利用VPN设备漏洞自外部潜入。同日账号被停用，被侵入设备与外部通信被切断。后续在外部专业机构协助下确认，含个人信息的文件存在外泄可能。入侵迹象可追溯至5月下旬。

可能外泄记录约24.6万件：GSS使用机构职员及参与其业务的公务员（含独立行政法人职员）约18.9万；参与相关业务的事业者与个人约5.7万。字段以姓名约23.6万件、邮箱约23.1万件、电话约9.4万件为主，住址约0.1万件。数字厅称未包含个人番号（My Number）、银行账户与年金编号，目前未确认直接相关的盗用或二次损害，但警示钓鱼与仿冒邮件风险，并将按已掌握联系方式逐一通知当事人。

GSS是2021年起搭建的政府共用电脑与通信底座，供各府省厅使用；公开口径称现有约23个机构、15.4万人在用。数字大臣松本尚在阁议后记者会上称事态极重，将重审漏洞管理、改善外部接入并强化安全。他承认被利用的是已知VPN漏洞，厅内正按紧急度排队修补时遭抢跑利用；从发现到对外说明约两个半月，理由是防扩散调查、范围勘定与路径分析耗时。厅方称补丁等措施已实施，再扩大损害的可能性很低，同时承认即便标榜零信任，仍可能留洞。

产品型号、CVE编号与攻击者身份未公布。受影响对象覆盖使用GSS的府省厅职员、相关公务员以及承包商与个人，属于政府办公网络通讯录级数据，而非财政支付核心库。

市场机制上，这不是交易盘口事件，而是主权网络信任折价。买方与受益方是后续承接政府安全改造、零信任加固、VPN替换与应急审计的承包商；承压方是数字厅主导的“政府共通平台”叙事，以及依赖同一套远程运维入口的各府省厅。资金将从日常IT运维转向事后补洞、通知成本与安全预算加码。勒索软件在日本上半年的高频活动，把这次泄密放进同一条“已知漏洞窗口被产业化利用”的供给曲线里：攻击者卖的是接入时间差，政府付的是披露滞后与补丁队列。

补充结构：GSS本意是把分散省厅网络收成一套可控底座；维护账号加VPN边缘设备成为单点。已知漏洞尚未轮到修补，就足以把15万级用户目录变成可下载文件包。从6月25日告警到9月11日公开，中间空窗本身也会进入对手方的利用定价。

来源：公开信息