خرق بيانات وزارة الخارجية الكورية الجنوبية 2025–2026

استهدف الهجوم نظام التعليم الإلكتروني التابع للأكاديمية الدبلوماسية الوطنية الكورية، وهي مؤسسة تابعة لوزارة الخارجية. أُنشئت المنصة للتدريب عن بُعد عام 2022، ثم استُخدمت لاحقاً لتدريب العاملين في الجهات الحكومية وعقد مؤتمرات الفيديو. ووفقاً للإشعار الرسمي، استغل هجوم مجهول المصدر ثغرة أمنية، وظهرت أدلة على تسريب شمل موظفي المقر الرئيسي والبعثات في الخارج والموظفين السابقين وغيرهم من العاملين.

فئات البيانات التي تأكد تأثرها مباشرة هي معرّفات المستخدمين والأسماء وعناوين البريد الإلكتروني وكلمات المرور المشفّرة. ووصف كلمات المرور بأنها «مشفّرة» لا يعني أنها كُشفت بصيغة نصية غير مشفّرة.

حددت الوزارة فترة التسريب بين أبريل 2025 وفبراير 2026، من دون نشر اليوم الدقيق لأول وصول إلى النظام. ولا يُعد ذلك ادعاءً بأن الجهة المهاجمة دخلت النظام في ذلك اليوم تحديداً؛ بل هو أضيق تحديد معلن لبداية الفترة. وتفيد التقارير الإخبارية بأن الوصول استمر بصورة متقطعة لنحو عشرة أشهر.

وفقاً للتقارير، رصد جهاز الاستخبارات الوطني في كوريا الجنوبية نشاطاً غير معتاد في فبراير 2026، وأبلغ الوزارة، ثم أُوقف تشغيل النظام. وأفصحت الوزارة عن الحادث علناً في يوليو. وقال المتحدث باسمها بارك إيل إن الحساسية الدبلوماسية والأمنية والحاجة إلى تحليل دقيق كانتا وراء تأخر الإعلان خمسة أشهر. وبذلك، فإن اكتشاف الحادث والمراجعة التقنية والإخطار العلني مراحل منفصلة.

أفادت BleepingComputer بأن ما لا يقل عن 6,000 شخص تأثروا، من بينهم 350 ملحقاً حكومياً يعملون حالياً في الخارج. وذكرت Korea JoongAng Daily، نقلاً عن مسؤولين، أن حصر البيانات أظهر نحو 10,000 سجل. ويحذّر هذا التقرير صراحة من أن 10,000 ليس عدداً مؤكداً لأشخاص مختلفين، لأن البيانات قد تتضمن سجلات مكررة وسجلات محتفظاً بها لعاملين سابقين.

لا يمكن مساواة هذين المقياسين مباشرة: أحدهما تقدير لعدد الأشخاص، والآخر حصر للسجلات لم تُزل منه التكرارات. ولا يقدم الإشعار الرسمي المنشور على موقع الوزارة إجمالياً دقيقاً. ولم تنشر الجهة عدداً إجمالياً قابلاً للتحقق للأشخاص المتأثرين أو السجلات. وعدم الإفصاح عن العدد لا يعني أن الحادث لم يكن له أثر، بل يعني أن المصادر العامة لا توفر إجمالياً موثوقاً. ولا تعني القيمة «صفر» أن الحادث لم يؤثر في أي شخص.

يمكن للجمع بين معرّف المستخدم واسمه وعنوان بريده الإلكتروني أن يساعد في صياغة رسائل تصيّد مقنعة ومصممة لتلائم دوره داخل مؤسسته. وقد تتعرض بيانات كلمات المرور المشفّرة لمحاولات تخمين دون اتصال بالنظام، بحسب الخوارزمية وقوة كلمات المرور. لذلك، فإن ثبوت عدم وجود كلمات المرور بصيغة نصية غير مشفّرة لا ينفي الخطر. وقد تؤدي إعادة استخدام كلمة المرور نفسها في نظام آخر إلى زيادة احتمال اختراق حسابات أخرى.

قالت الوزارة إن البيانات لم تتضمن أرقام التعريف الفريدة أو المعلومات الحساسة أو أرقام الهواتف المحمولة أو عناوين المنازل أو الصور. ويعكس السجل هذه الاستثناءات. وبما أن التقارير تضع الدبلوماسيين العاملين والبعثات في الخارج ضمن نطاق الحادث، فقد يساعد التسريب في تنفيذ هندسة اجتماعية تستهدف أدواراً وظيفية محددة أو رسم خريطة للموظفين؛ ومع ذلك، لا توجد أدلة متاحة للجمهور تؤكد أن الجهة المهاجمة استخدمت البيانات لهذه الأغراض.

منعت وزارة الخارجية الوصول إلى نظام التعليم الإلكتروني، وقالت إنها نفذت تدابير إضافية لتعزيز الأمن. وأفادت Korea JoongAng Daily بأن العاملين اضطروا مؤقتاً إلى اللجوء إلى التدريب الحضوري أو إلى خدمة حكومية منفصلة لعقد مؤتمرات الفيديو. وكان التحليل التقني والعمل على تحديد هوية المهاجم مستمرين وقت الإفصاح العلني عن الحادث.

لم تنسب الوزارة الهجوم إلى أي دولة أو مجموعة محددة بالاسم. ورغم أن بعض المحللين قالوا إن الأسلوب يشبه تكتيكات تستخدمها جهات مدعومة من دول، أوضح المتحدث أن التحليل التقني لم يكن كافياً بعد لتحديد الجهة المسؤولة، وأنه لم يُستبعد أي احتمال.

نصحت الوزارة بتوخي حذر خاص عند التعامل مع رسائل البريد الإلكتروني الواردة من مصادر غير واضحة أو مجهولة، وأوصت بإبلاغ إدارة الأمن لديها عن المراسلات المشبوهة. ويمكن للمستخدمين المتأثرين استبدال كلمة مرور نظام التعليم وأي كلمة مرور مطابقة أو مشابهة لها يستخدمونها في أنظمة أخرى ببيانات اعتماد قوية وفريدة، وإنهاء الجلسات القائمة، وتفعيل المصادقة متعددة العوامل حيثما كانت مدعومة. وينبغي فتح روابط إعادة تعيين كلمات المرور عبر قنوات رسمية معروفة فقط.

لا تُعد أعداد الأشخاص وحقول البيانات والادعاءات المتعلقة بالجهات المهاجمة التي لم يُتحقق منها جزءاً من النطاق المعلن للحادث. وتتمثل النتيجة التي جرى التحقق منها في استغلال ثغرة من أبريل 2025 إلى فبراير 2026، وكشف المعرّفات والأسماء وعناوين البريد الإلكتروني وكلمات المرور المشفّرة، وإيقاف تشغيل النظام الإلكتروني. ولا يزال العدد الدقيق للأشخاص وهوية الجهة المهاجمة وتفاصيل الثغرة والاستخدام اللاحق للبيانات غير معلن عنها.