Posible fuga de hasta unas 13,000 entradas del formulario de contacto de la Digital Agency por acceso no autorizado a Studio

Según la publicación de la Digital Agency, el problema se detectó el 16 de octubre, tras recibir un informe de acceso no autorizado por parte de la empresa proveedora de servicios en la nube "Studio", que gestionaba parte del funcionamiento del sitio web. La información afectada potencialmente corresponde a los datos introducidos en el formulario de contacto del sitio web de la Digital Agency, y asciende a un máximo de aproximadamente 13,000 registros. El periodo afectado es de mayo de 2021 a marzo de 2023, e incluye nombres y direcciones de correo electrónico de personas que enviaron opiniones o solicitudes.

Studio confirmó que entre el 30 de septiembre y el 1 de octubre detectó un acceso no autorizado a su entorno de nube y dio a conocer el 20 de octubre que podrían haberse filtrado datos de clientes y claves API, entre otros. La reciente publicación de la Digital Agency revela que el perjuicio sufrido por este contratista se ha propagado a una institución gubernamental. El ministro digital Furukawa declaró: "Aún se desconoce si hubo una filtración efectiva, y hemos pedido a Studio que nos presente un informe".

Este caso es importante porque muestra que una fuga de información a través de la cadena de suministro, que no se limita al perjuicio de una sola empresa, alcanzó también a una agencia gubernamental. Incluso en un punto de entrada aparentemente poco relevante como un formulario de contacto se acumulan nombres y direcciones de correo electrónico, y la intrusión en el contratista o en el servicio SaaS se ha convertido en un caso que exige la divulgación y disculpas por parte de una entidad pública. En los últimos años se han sucedido intrusiones a través de contratistas y servicios en la nube que han afectado a empresas y administraciones locales, por lo que está en tela de juicio la gestión del riesgo por parte de los encargantes (identificar el alcance de la afectación tras recibir notificación de la intrusión del contratista y publicar la información con rapidez).

Las personas que enviaron consultas al sitio web de la Digital Agency entre mayo de 2021 y marzo de 2023 deben consultar la página de comunicaciones de la agencia para obtener la información más reciente. La combinación de nombre y dirección de correo electrónico puede ser utilizada como destinatario en correos de phishing, por lo que se recomienda precaución ante mensajes sospechosos que se hagan pasar por organismos públicos.