日本數位廳GSS政府共通環境遭駭遭駭，已知VPN漏洞修補前遭利用，24.6萬筆個資恐外洩

事件概述

日本數位廳於 9 月 11 日公布，負責中央政府共通業務環境的 Government Solution Service（GSS） 發生未授權存取。攻擊者利用 VPN 設備的已公開漏洞，侵入系統，導致約 24.6 萬筆 政府職員與相關業務人員的個人資料可能外洩。

背景與技術分析

• 漏洞來源：攻擊者利用的是在事件發生前已公開、CVSS（Common Vulnerability Scoring System）風險評分為中級（Medium）的 VPN 漏洞。雖然數位廳在發現後加速推送修補程式，但攻擊者在補丁正式套用前即完成入侵。
• 入侵手法：根據調查，攻擊者先以維運人員帳號大量存取伺服器檔案，隨後利用 VPN 漏洞取得遠端存取權限，最終取得資料庫內的個資。
• 零信任架構：GSS 採用零信任（Zero‑Trust）模型，強調持續驗證與最小權限存取。然而零信任並非絕對防護，僅能降低入侵後的影響範圍，此次事件顯示在「入侵後限制影響」的機制仍有提升空間。

影響與後續措施

• 資料外洩範圍：約 18.9 萬筆為政府機關職員與公務人員資料，另有 5.7 萬筆屬業務相關廠商與個人。
• 即時應變：數位廳於 7 月 9 日確認入侵後，立即停用相關帳號並切斷受感染設備與外部的通訊。
• 流程檢討：未來將重新檢視漏洞的掌握、評估與處置流程，根據資安風險的實質嚴重度加速補丁部署。為避免類似情形，數位廳亦不公布漏洞編號、設備廠牌與型號，以免影響後續防護。

未來展望與讀者啟示

此案提醒所有公共與私營機構，已知漏洞的修補速度是資安防禦的關鍵。即便採用零信任架構，仍須加強以下兩點：

1. 漏洞管理：建立即時通報與自動化部署機制，確保中級以上 CVSS 評分的漏洞在最短時間內得到修補。

2. 入侵後遏止：強化行為分析與異常偵測，確保一旦帳號被濫用，能快速隔離並追蹤攻擊路徑。

對於關心資安的讀者而言，持續關注政府與企業的資安公告、訂閱專業資訊（如資安日報、資安週報）是掌握最新威脅與防護策略的有效途徑。只有在「預防」與「事後限制」兩手齊抓，才能在日益複雜的網路環境中維護資訊安全。