日本數字廳GSS遭入侵或泄24.6萬人信息

日本數字廳披露，其運營的政府解決方案服務（GSS）網絡遭未經授權訪問，約24.6萬名公職人員及相關人員的個人信息可能外泄。

6月25日，系統偵測到有人用運維維護賬號對服務器上大量文件進行訪問。7月9日查實：第三方利用VPN設備漏洞自外部潛入。同日賬號被停用，被侵入設備與外部通信被切斷。後續在外部專業機構協助下確認，含個人信息的文件存在外泄可能。入侵跡象可追溯至5月下旬。

可能外泄記錄約24.6萬件：GSS使用機構職員及參與其業務的公務員（含獨立行政法人職員）約18.9萬；參與相關業務的事業者與個人約5.7萬。字段以姓名約23.6萬件、郵箱約23.1萬件、電話約9.4萬件爲主，住址約0.1萬件。數字廳稱未包含個人番號（My Number）、銀行賬戶與年金編號，目前未確認直接相關的盜用或二次損害，但警示釣魚與仿冒郵件風險，並將按已掌握聯繫方式逐一通知當事人。

GSS是2021年起搭建的政府共用電腦與通信底座，供各府省廳使用；公開口徑稱現有約23個機構、15.4萬人在用。數字大臣松本尚在閣議後記者會上稱事態極重，將重審漏洞管理、改善外部接入並強化安全。他承認被利用的是已知VPN漏洞，廳內正按緊急度排隊修補時遭搶跑利用；從發現到對外說明約兩個半月，理由是防擴散調查、範圍勘定與路徑分析耗時。廳方稱補丁等措施已實施，再擴大損害的可能性很低，同時承認即便標榜零信任，仍可能留洞。

產品型號、CVE編號與攻擊者身份未公佈。受影響對象覆蓋使用GSS的府省廳職員、相關公務員以及承包商與個人，屬於政府辦公網絡通訊錄級數據，而非財政支付核心庫。

市場機制上，這不是交易盤口事件，而是主權網絡信任折價。買方與受益方是後續承接政府安全改造、零信任加固、VPN替換與應急審計的承包商；承壓方是數字廳主導的“政府共通平臺”敘事，以及依賴同一套遠程運維入口的各府省廳。資金將從日常IT運維轉向事後補洞、通知成本與安全預算加碼。勒索軟件在日本上半年的高頻活動，把這次泄密放進同一條“已知漏洞窗口被產業化利用”的供給曲線裏：攻擊者賣的是接入時間差，政府付的是披露滯後與補丁隊列。

補充結構：GSS本意是把分散省廳網絡收成一套可控底座；維護賬號加VPN邊緣設備成爲單點。已知漏洞尚未輪到修補，就足以把15萬級用戶目錄變成可下載文件包。從6月25日告警到9月11日公開，中間空窗本身也會進入對手方的利用定價。

來源：公開信息