Die japanische Digitalbehörde hat einen Cyberangriff auf ein Regierungsnetzwerk bekannt gegeben, bei dem möglicherweise personenbezogene Daten von etwa 246.000 Beamten, Auftragnehmern und anderen an Regierungsarbeiten beteiligten Personen offengelegt wurden.
Zusammenfassung
- Die japanische Digitalbehörde erklärte, dass nach der Ausnutzung einer VPN-Schwachstelle durch einen Angreifer etwa 246.000 personenbezogene Datensätze möglicherweise abgeflossen sind.
- Zu den betroffenen Daten gehörten etwa 236.000 Namen, 231.000 E-Mail-Adressen und 94.000 Telefonnummern, die hauptsächlich Beamten und Regierungsauftragnehmern gehörten.
- Beamte entdeckten am 25. Juni einen umfangreichen Dateizugriff über ein Wartungskonto und bestätigten am 9. Juli das unbefugte Eindringen.
- Die Behörde erklärte, dass keine missbräuchliche Verwendung der möglicherweise offengelegten Informationen bestätigt wurde und dass My-Number-IDs, Bankdaten und Rentennummern nicht betroffen waren.
Die Digitalbehörde erklärte am 11. September, dass eine Untersuchung ihres Government Solution Service, oder GSS, ergab, dass ein externer Angreifer eine Schwachstelle in einem Virtual-Private-Network-Gerät ausnutzte und unbefugten Zugriff auf Dateien mit personenbezogenen Daten erlangte.
Die Behörde entdeckte erstmals am 25. Juni ungewöhnliche Aktivitäten, als ein Wartungs- und Betriebskonto verwendet wurde, um auf eine große Anzahl von auf ihren Servern gespeicherten Dateien zuzugreifen. Eine Untersuchung stellte später am 9. Juli fest, dass ein Dritter über die VPN-Schwachstelle in das System eingedrungen war.
Beamte deaktivierten an diesem Tag das betroffene Wartungskonto und blockierten die Kommunikation zwischen dem kompromittierten Netzwerkgerät und externen Systemen, um weiteren unbefugten Zugriff zu verhindern. Eine anschließende Untersuchung, die mit externen Sicherheitsspezialisten durchgeführt wurde, ergab, dass einige Dateien möglicherweise aus dem Netzwerk entnommen wurden.
Datenleck in Japan könnte 246.000 Datensätze offengelegt haben
Die möglicherweise kompromittierten Informationen gehören Mitarbeitern von Ministerien und Behörden, die GSS nutzen, Beamten, die mit diesen Organisationen zusammengearbeitet haben, sowie Unternehmen und Einzelpersonen, die an deren Betrieb beteiligt waren.
Etwa 189.000 Datensätze betreffen Mitarbeiter von GSS-Mitgliedsorganisationen und andere an ihrer Arbeit beteiligte Beamte, einschließlich Mitarbeiter von Verwaltungsbehörden. Weitere etwa 57.000 Datensätze beziehen sich auf Unternehmen und Einzelpersonen, die mit GSS-Organisationen zusammengearbeitet haben.
Die betroffenen Dateien enthielten etwa 236.000 Namen und 231.000 E-Mail-Adressen. Rund 94.000 Telefonnummern und etwa 1.000 Adressen waren möglicherweise offengelegt, wobei einige Datensätze mehr als eine Art personenbezogener Informationen enthielten.
Die japanische Digitalbehörde erklärte, dass die betroffenen Daten keine My-Number-Identifikationsnummern, Bankkontodaten oder Rentennummern enthielten. Es wurde bestätigt, dass die personenbezogenen Daten von Mitgliedern der allgemeinen Öffentlichkeit nicht in den möglicherweise abgeflossenen Dateien enthalten waren.
Die Behörde warnte, dass offengelegte Kontaktdaten möglicherweise für Identitätstäuschung oder Phishing-Versuche verwendet werden könnten. Sie riet betroffenen Personen, keine unerwarteten Links oder Anhänge zu öffnen und keine Passwörter, Authentifizierungsinformationen und Kreditkartendaten als Antwort auf verdächtige E-Mails, Anrufe oder Textnachrichten preiszugeben, die angeblich von Regierungsstellen stammen.
VPN-Schwachstelle ermöglichte Angreifer Zugang zu Regierungssystemen
Das Eindringen betraf eine Schwachstelle in Netzwerkgeräten, die für den VPN-Zugang verwendet wurden, während die umfangreiche Dateiaktivität über ein Konto durchgeführt wurde, das Wartungs- und Betriebspersonal gehörte.
Die Digitalbehörde hat den Angreifer nicht öffentlich identifiziert oder offengelegt, ob das Eindringen finanziell motiviert war. Ihre Erklärung ordnete den Vorfall keiner Ransomware-Gruppe, keinem staatlich unterstützten Akteur oder einer anderen bekannten Hackerorganisation zu.
Nach der Untersuchung erklärte die Behörde, dass sie überprüfen werde, wie Schwachstellen verwaltet werden, und die Methoden für externe Verbindungen zu ihren Systemen verbessern werde.
Der Vorfall ereignete sich in einer Zeit erhöhter Cyberkriminalitätsaktivität in Japan. Zahlen der Nationalen Polizeibehörde, die in lokalen Berichten zitiert wurden, zeigten, dass das Land in der ersten Hälfte des Jahres 2026 123 Ransomware-Angriffe verzeichnete, die höchste Gesamtzahl für einen Sechsmonatszeitraum seit Beginn der Erfassung dieser Zahl durch die Behörden.
Sicherheitsvorfälle im Zusammenhang mit kompromittiertem Zugang und kompromittierter Infrastruktur sind auch außerhalb von Regierungssystemen ein Problem geblieben. Ein im Juli veröffentlichter Krypto-Sicherheitsbericht, über den crypto.news zuvor berichtet hatte, ergab, dass 212 verifizierte Krypto-Vorfälle in der ersten Hälfte des Jahres 2026 zu Verlusten von 1,1 Milliarden US-Dollar führten, wobei 74 % der gestohlenen Gelder auf operative Sicherheitsmängel und nicht auf ausgenutzten Smart-Contract-Code zurückzuführen waren.
Eine separate CoinGecko-Sicherheitsstudie, die im August veröffentlicht wurde, berechnete, dass Krypto-Plattformen zwischen Januar 2025 und Juli 2026 bei 245 dokumentierten Vorfällen 3,63 Milliarden US-Dollar verloren. Die 10 größten Angriffe machten mehr als 72,5 % des in diesem Zeitraum gestohlenen Gesamtbetrags aus.
Japan war mit großen krypto-bezogenen Cyberangriffen konfrontiert
Japan hatte zuvor mit großen Cyberdiebstählen zu tun, die auf seinen Kryptowährungssektor abzielten, darunter der Angriff auf DMM Bitcoin, der die Börse letztlich zur Einstellung ihres Betriebs zwang.
Der DMM-Bitcoin-Hack führte zum Diebstahl von mehr als 4.500 Bitcoin im damaligen Wert von rund 307 Millionen US-Dollar. Japanische Behörden und das FBI brachten die Operation später mit TraderTraitor in Verbindung, einer mit Nordkorea verbundenen Gruppe, die mit anderen Kryptowährungsdiebstählen in Verbindung gebracht wird.
Ermittler fanden heraus, dass die DMM-Bitcoin-Operation durch Social Engineering begann, das auf einen Mitarbeiter von Ginco abzielte, einem japanischen Kryptowährungs-Wallet-Softwareunternehmen, das Dienstleistungen für die Börse erbrachte. Ein Angreifer, der sich als Personalvermittler ausgab, sandte dem Mitarbeiter während eines scheinbaren Einstellungstests ein bösartiges Python-Skript.
Der über Ginco erlangte Zugang wurde später laut Behörden genutzt, um eine legitime DMM-Bitcoin-Transaktionsanfrage zu manipulieren. Die gestohlenen Bitcoin wurden anschließend zu Wallets zurückverfolgt, die von den Angreifern kontrolliert wurden.
Mit Nordkorea verbundene Gruppen haben weiterhin auf Kryptowährungsinfrastruktur außerhalb Japans abgezielt. Bybit erklärte im August, dass seine Sicherheitssysteme blockiert hätten mehr als 30.000 verdächtige Abhebungen in der ersten Hälfte des Jahres 2026 und damit potenzielle Nutzerverluste von mehr als 700 Millionen US-Dollar verhindert hätten, nachdem die Börse im Februar 2025 einen Diebstahl von 1,46 Milliarden US-Dollar erlitten hatte.
Die Börse erklärte, sie habe nach dem Angriff die kontinuierliche Onchain-Überwachung ausgeweitet, während ihre Sicherheitsteams in der ersten Hälfte dieses Jahres mit KI-Unterstützung mehr als 100.000 Warnmeldungen bearbeiteten. Die Überwachungssysteme von Bybit identifizierten in diesem Zeitraum 10 Sicherheitsvorfälle, die gelistete Token-Projekte betrafen, ohne Verluste für die Börse.
Andere jüngste Datenschutzverletzungen konzentrierten sich eher auf personenbezogene Daten als auf den direkten Diebstahl digitaler Vermögenswerte. Der israelische Krypto-Broker Bits of Gold begann im August mit der Untersuchung einer Verletzung von Kundendaten, nachdem unbefugter Zugriff auf ein Drittsystem möglicherweise Namen, Identifikationsnummern, E-Mail-Adressen, Telefonnummern, IP-Adressen und einige Bankinformationen offengelegt hatte.
Bits of Gold erklärte, dass Kryptowährungen, Kundengelder, Passwörter, Scans von Ausweisdokumenten und vollständige Zahlungskartendaten bei diesem Vorfall nicht kompromittiert wurden. Das Unternehmen führte die Offenlegung auf Drittsoftware zurück, die von einer größeren Datenschutzverletzung betroffen war, und erklärte, es habe mit der Untersuchung begonnen, nachdem es Informationen über den Vorfall erhalten habe.
