Um ataque cibernético direcionado à rede do governo do Japão resultou no comprometimento de dados pessoais de aproximadamente 246 mil funcionários públicos e prestadores de serviços. A invasão ocorreu na plataforma Government Solution Service (GSS), administrada pela Agência Digital do Japão, que conecta 23 ministérios e órgãos públicos.
A Agência Digital confirmou o incidente na última sexta-feira (11) e divulgou um comunicado sobre a situação. Segundo a entidade, arquivos contendo informações pessoais foram acessados de forma não autorizada e podem ter sido vazados. A agência pediu desculpas e ressaltou que os dados afetados não pertencem a cidadãos comuns.
A brecha de segurança foi encontrada em um equipamento de VPN, utilizado para conexões remotas seguras. Apesar da vulnerabilidade ter sido classificada como de grau médio e já contar com uma correção disponível, o sistema estava desatualizado no momento do ataque. A Agência Digital não revelou a marca do dispositivo nem detalhes técnicos da falha.
Os invasores conseguiram acessar uma conta legítima de um funcionário, o que lhes permitiu explorar um número significativo de arquivos armazenados nos servidores governamentais. A atividade suspeita foi detectada em 25 de junho, mas a confirmação da invasão ocorreu apenas em 9 de julho. Na mesma data, o governo suspendeu o acesso da conta comprometida e cortou a conexão do equipamento com a internet.
Entre os dados expostos estão 236 mil nomes, 231 mil endereços de e-mail, 94 mil números de telefone e cerca de mil endereços físicos. Desses, 189 mil registros pertencem a funcionários de ministérios e agências, enquanto 57 mil correspondem a parceiros comerciais. É importante destacar que informações como números bancários, registros de aposentadoria e documentos de identidade nacional não foram afetados.
A Agência Digital informou que os dados potencialmente vazados pertencem a servidores públicos e colaboradores, e não a cidadãos em geral. Embora a detecção da invasão tenha ocorrido no final de junho e a notificação ao regulador de privacidade tenha sido feita em 15 de julho, o aviso ao público só foi comunicado em 11 de setembro. Esse atraso se deveu à complexidade de rastrear a atividade dos invasores e avaliar o alcance do ataque.
Até o momento, não há indícios de uso indevido dos dados em fraudes. No entanto, as autoridades alertaram que a exposição de nomes, telefones e e-mails pode facilitar golpes direcionados e tentativas de engano. A Agência Digital se comprometeu a contatar individualmente os afetados e reforçou que não solicita senhas ou pagamentos por telefone ou mensagem.
O Japão já enfrentou outras questões de segurança digital, incluindo o ataque ao sistema de e-mails do Centro Nacional de Prontidão e Estratégia de Incidentes Cibernéticos (NISC) em 2023, e a invasão aos sistemas da Agência de Exploração Aeroespacial do Japão (JAXA) em 2024. Para evitar novas ocorrências, a Agência Digital planeja revisar sua gestão de vulnerabilidades e atualizar os métodos de conexão externa.
Fonte: www.estadao.com.br