한국CISO협의회

공격 전 이미 공개돼 있던 VPN 취약점에 당해
정부 서비스 사용자 이름 23만6000건, 이메일 9만4000건 등 유출

일본 디지털청에서 약 24만명의 개인정보가 빠져나갔다.

디지털청은 6월 말 유지보수와 운영을 맡은 직원 계정으로 일본 정부 솔루션 서비스(GSS)의 파일에 외부인이 접근한 정황을 찾아냈다고 밝혔다.

조사를 통해 7월 VPN 제품 취약점이 악용된 사실을 확인했다. 어느 VPN 제품인지는 밝히지 않았으나, 공격이 확인되기 전 이미 공개돼 있던 취약점이라고 설명했다.

▲일본 디지털청에 대한 개인정보 유출 공격 흐름 [출처: 일본 디지털청]

새어나간 기록은 24만6000건이 넘는다. 이름이 약 23만6000건으로 가장 많고 이메일 주소가 약 23만1000건, 전화번호가 약 9만4000건이다. 실제 주소는 약 1000건이다. 개인 식별 번호와 금융 계좌 정보는 들어 있지 않았다고 디지털청은 밝혔다.

주로 GSS를 쓰는 개인과 공무원, 행정 담당자와 GSS를 상대하는 사업자가 피해를 입었다. 주소와 전화번호는 대부분 집이 아니라 근무지 정보였다.

디지털청은 악용 사실을 확인한 직후 문제가 된 서버의 외부 접속을 차단하고 공격에 쓰인 직원 계정을 정지했다. 다른 시스템은 침해되지 않았고 일반 국민 정보도 영향을 받지 않았다고 디지털청은 밝혔다.

출처 : 보안뉴스(https://www.boannews.com)