일본 정부 디지털청에서 약 24만 6000건의 개인정보가 외부로 유출됐습니다. 공격자는 VPN(가상사설망) 제품의 취약점(보안 구멍)을 악용해 직원 계정을 통해 정부 파일 서버에 몰래 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호 등이 포함되며, 주민번호나 금융 계좌 정보는 포함되지 않았습니다. 디지털청은 침해를 발견한 직후 해당 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했습니다. 이번 사고는 공개된 VPN 취약점이 패치 전에 실제 공격에 활용된 사례로, 빠른 취약점 대응의 중요성을 보여줍니다.
일본 디지털청의 정부 솔루션 서비스(GSS) 파일 서버가 침해돼 직원 계정을 통한 무단 접근이 발생했으며, 24만 6000건 이상의 개인정보가 유출됐다.
이름 약 23만 6000건, 이메일 주소 약 23만 1000건, 전화번호 약 9만 4000건, 실제 주소 약 1000건이 유출됐다. GSS 이용 개인·공무원·행정 담당자·사업자가 피해 대상이며, 주민번호와 금융 계좌 정보는 유출되지 않았다.
이미 공개돼 있던 VPN 제품 취약점이 악용됐으며, 공격자는 이를 통해 유지보수 담당 직원 계정을 탈취해 내부 파일에 접근했다.
침해 확인 직후 문제 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했다. 다른 시스템 및 일반 국민 정보는 영향을 받지 않은 것으로 확인됐다.
공개된 VPN 취약점이 악용되기까지의 시간 창이 매우 짧을 수 있으므로, VPN 장비에 대한 패치를 최우선으로 적용하고 관리자·유지보수 계정에 대한 접근 모니터링 및 다중 인증(MFA)을 반드시 적용해야 한다.
본문
일본 디지털청에서 약 24만명의 개인정보가 빠져나갔다.
디지털청은 6월 말 유지보수와 운영을 맡은 직원 계정으로 일본 정부 솔루션 서비스(GSS)의 파일에 외부인이 접근한 정황을 찾아냈다고 밝혔다.
조사를 통해 7월 VPN 제품 취약점이 악용된 사실을 확인했다. 어느 VPN 제품인지는 밝히지 않았으나, 공격이 확인되기 전 이미 공개돼 있던 취약점이라고 설명했다.
▲일본 디지털청에 대한 개인정보 유출 공격 흐름 [출처: 일본 디지털청]
새어나간 기록은 24만6000건이 넘는다. 이름이 약 23만6000건으로 가장 많고 이메일 주소가 약 23만1000건, 전화번호가 약 9만4000건이다. 실제 주소는 약 1000건이다. 개인 식별 번호와 금융 계좌 정보는 들어 있지 않았다고 디지털청은 밝혔다.
주로 GSS를 쓰는 개인과 공무원, 행정 담당자와 GSS를 상대하는 사업자가 피해를 입었다. 주소와 전화번호는 대부분 집이 아니라 근무지 정보였다.
디지털청은 악용 사실을 확인한 직후 문제가 된 서버의 외부 접속을 차단하고 공격에 쓰인 직원 계정을 정지했다. 다른 시스템은 침해되지 않았고 일반 국민 정보도 영향을 받지 않았다고 디지털청은 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
