일본 디지털청, VPN 취약점으로 직원 24만 6천 건 개인정보 유출 가능성 발표

일본 디지털청이 정부 직원의 개인정보 약 24만 6천 건(행)이 노출됐을 가능성이 있는 데이터 침해를 발견했다.

디지털청에 따르면 공격자는 Government Solution Service(GSS)에서 사용하는 VPN 장비의 취약점을 악용해 최초 접근에 성공했다.

조사는 6월 25일, 유지보수·운영 담당 직원 계정에서 대규모 파일 접근이 감지된 이후 시작됐다.

공식 발표문에는 다음과 같이 적혀 있다. "7월 9일, 제3자가 네트워크 연결 장비(VPN)의 취약점을 악용해 시스템에 침입하고 무단 접근을 한 사실이 확인됐다."

"같은 날, 해당 유지보수·운영 담당 직원의 계정을 정지하고, 피해 장비와 외부 간의 통신을 차단해 추가적인 무단 접근을 막았다."

이번 침해에서 영향을 받은 VPN 제품과 악용된 취약점의 구체적인 내용은 아직 공개되지 않았다. 다만 일본 디지털청은 별도의 Q&A를 통해 해당 취약점의 심각도는 '중간' 수준이며, 제로데이(패치 전 알려지지 않은 취약점)는 아니라고 밝혔다.

조사 결과 노출됐을 가능성이 있는 데이터는 다음과 같다.

• 이름 23만 6천 건
• 이메일 주소 23만 1천 건
• 전화번호 9만 4천 건
• 실제 주소 1천 건

피해 대상에는 GSS 시스템을 이용하는 정부 직원, 공직자, 관련 기업 및 개인이 포함된다.

단, 이번 사고로 일반 국민의 개인정보는 유출되지 않았으며, 잠재적으로 유출된 정보에는 My Number(주민등록번호에 해당하는 일본의 개인번호), 은행 계좌 정보, 연금 번호가 포함되지 않는다.

또한 현재까지 피해 정보의 실제 악용 사례는 확인되지 않았으나, 디지털청은 사칭 및 피싱 위험이 높아졌다고 경고하며 출처가 불분명한 통신에 포함된 링크나 첨부파일을 열지 말 것을 당부했다.

디지털청은 이메일이나 전화로 비밀번호나 신용카드 정보를 요청하는 일은 절대 없다고 강조했다.

피해 당사자에게는 개별 연락이 이루어질 예정이며, 전용 지원 상담 창구도 마련됐다.

디지털청은 7월 15일 일본 개인정보보호위원회에 사고를 신고했으며, 대외 공개가 늦어진 이유는 침입 경로 특정, 유출 가능 정보 식별, 피해자 범위 확인 작업의 복잡성 때문이라고 설명했다.

디지털청은 이번 사고의 영향이 피해 시스템에 국한되며, 다른 시스템에서 무단 접근이나 데이터 유출 등 유사 침해는 확인되지 않았다고 밝혔다. 또한 이번 사고와 대응 작업이 정부 서비스 가용성에는 영향을 미치지 않았다고 덧붙였다.

AI 기반 공격에 대비한 보안 청사진 마련하기

Mikko Hyppönen을 비롯해 NFL, CHANEL, Atlassian의 보안 리더들과 함께하는 2시간짜리 디지털 서밋에 참여해 AI 속도의 공격이 가져오는 변화, 방어자가 중단해야 할 것, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 알아보십시오.

자리 예약하기