VPN Rentan Diduga Buka Akses ke 246 Ribu Data Personel Pemerintah Jepang

Digital Agency Jepang mengungkap insiden kebocoran data yang berpotensi mengekspos sekitar 246.000 baris data berisi informasi pribadi pegawai pemerintah dan pihak lain yang menggunakan sistem Government Solution Service (GSS).

Investigasi menemukan bahwa attacker memperoleh akses awal dengan mengeksploitasi vulnerability pada perangkat VPN yang digunakan oleh Government Solution Service (GSS). Jenis perangkat VPN maupun vulnerability spesifik yang dimanfaatkan belum diungkapkan.

Insiden tersebut mulai diselidiki pada 25 Juni 2026, setelah Digital Agency mendeteksi aktivitas akses file dalam jumlah besar menggunakan akun milik seorang staf pemeliharaan dan operasional.

Hacker Eksploitasi Vulnerability pada Perangkat VPN

Menurut Digital Agency Jepang, pada 9 Juli ditemukan bahwa pihak ketiga telah memanfaatkan vulnerability pada perangkat yang terhubung ke jaringan untuk memperoleh akses ke sistem secara tidak sah.

Pada hari yang sama, Digital Agency mengambil sejumlah tindakan untuk menghentikan akses tersebut. Akun staf pemeliharaan dan operasional yang terdampak langsung dinonaktifkan, sementara komunikasi antara perangkat yang telah dikompromikan dan jaringan eksternal diputus.

Langkah tersebut dilakukan untuk mencegah attacker melanjutkan akses tidak sah ke sistem.

Digital Agency belum mengungkapkan produk VPN yang terdampak maupun CVE atau vulnerability spesifik yang digunakan dalam serangan.

Namun, dalam penjelasan terpisah, lembaga tersebut menyatakan bahwa vulnerability yang dieksploitasi memiliki tingkat keparahan medium dan bukan zero-day.

Ratusan Ribu Data Berpotensi Terekspos

Hasil investigasi menunjukkan bahwa sejumlah besar informasi pribadi mungkin telah dapat diakses oleh attacker.

Data yang berpotensi terdampak meliputi:

Individu yang termasuk dalam data tersebut bukan hanya pegawai pemerintah. Informasi tersebut juga mencakup pejabat publik serta perusahaan dan individu terkait yang menggunakan sistem GSS.

Meski jumlah record yang terdampak mencapai sekitar 246.000 baris, jumlah untuk setiap jenis informasi berbeda karena tidak semua record berisi seluruh kategori data.

Data My Number dan Rekening Bank Tidak Terdampak

Digital Agency menegaskan bahwa insiden tersebut tidak melibatkan data pribadi masyarakat umum.

Selain itu, informasi yang berpotensi terekspos tidak mencakup beberapa kategori data sensitif, seperti:

• My Number atau nomor identitas nasional Jepang
• Informasi rekening bank
• Nomor pensiun

Hingga pengumuman dibuat, Digital Agency juga belum menemukan kasus yang menunjukkan bahwa informasi yang terdampak telah disalahgunakan secara nyata.

Meski demikian, lembaga tersebut memperingatkan bahwa data yang terekspos tetap meningkatkan risiko impersonation dan phishing.

Pemerintah Jepang Ingatkan Risiko Phishing

Dengan nama, alamat email, dan nomor telepon yang berpotensi diketahui pihak tidak berwenang, korban dapat menjadi sasaran pesan phishing yang dibuat lebih meyakinkan.

Digital Agency meminta individu yang terdampak untuk berhati-hati terhadap email, pesan, atau komunikasi lain yang tidak diminta, terutama yang mengandung tautan maupun attachment.

Lembaga tersebut juga mengingatkan bahwa Digital Agency tidak akan pernah meminta password atau informasi kartu kredit melalui email maupun telepon.

Individu yang terdampak akan dihubungi secara langsung. Digital Agency juga telah menyediakan saluran dukungan khusus untuk menangani pertanyaan terkait insiden tersebut.

Investigasi Membutuhkan Waktu

Digital Agency memberi tahu Personal Information Protection Commission Jepang mengenai insiden tersebut pada 15 Juli 2026.

Pengumuman kepada publik baru dilakukan setelah proses investigasi berjalan karena diperlukan waktu untuk menentukan jalur intrusi, mengidentifikasi informasi yang berpotensi terdampak, serta memastikan siapa saja yang masuk dalam cakupan insiden.

Penundaan tersebut, menurut Digital Agency, berkaitan dengan kompleksitas proses investigasi dan bukan karena adanya upaya untuk menyembunyikan insiden.

Tidak Mengganggu Layanan Pemerintah

Digital Agency menyatakan bahwa dampak insiden sejauh ini terbatas pada sistem yang terdampak.

Tidak terdapat konfirmasi mengenai akses tidak sah, kebocoran data, atau insiden serupa pada sistem pemerintah lainnya. Operasi penanganan insiden juga tidak menyebabkan gangguan terhadap ketersediaan layanan pemerintah.

Kasus ini tetap menjadi pengingat bahwa perangkat VPN yang digunakan sebagai pintu masuk ke jaringan internal dapat menjadi target penting bagi attacker. Bahkan ketika vulnerability yang dieksploitasi bukan zero-day dan tingkat keparahannya hanya dikategorikan medium, perangkat yang terekspos tetap dapat menjadi titik awal kompromi apabila tidak segera mendapatkan patch atau mitigasi yang sesuai.

Bagi organisasi yang menggunakan VPN untuk memberikan akses ke jaringan internal, insiden ini juga menunjukkan pentingnya melakukan patching secara rutin, memantau aktivitas login dan akses file yang tidak biasa, serta membatasi hak akses akun dan perangkat yang digunakan untuk pemeliharaan sistem.

Sumber: Digital Agency Jepang