Brecha de datos del Ministerio de Asuntos Exteriores de Corea del Sur de 2025–2026

El objetivo fue el sistema de formación en línea de la Academia Nacional Diplomática de Corea, una institución adscrita al Ministerio de Asuntos Exteriores. La plataforma se creó para impartir formación a distancia en 2022 y posteriormente se utilizó para la formación del personal gubernamental y para videoconferencias. El aviso oficial señala que un ataque de origen no identificado explotó una vulnerabilidad y dejó indicios de una filtración que afectaba al personal de la sede central, las misiones en el extranjero, antiguos empleados y otros miembros del personal.

Las categorías de datos confirmadas directamente son IDs de usuario, nombres, direcciones de correo electrónico y contraseñas cifradas. «Cifradas» no significa que las contraseñas se hayan divulgado en texto sin formato.

El ministerio situó el periodo de filtración entre abril de 2025 y febrero de 2026, sin publicar la fecha exacta del primer acceso. Esto no implica que el atacante accediera en un día concreto; es el límite inicial más preciso que se ha hecho público. Según las noticias publicadas, el acceso continuó de forma intermitente durante unos diez meses.

Según esas informaciones, el Servicio Nacional de Inteligencia de Corea del Sur detectó actividad inusual en febrero de 2026, alertó al ministerio y el sistema fue desactivado. El ministerio hizo público el incidente en julio. El portavoz Park Il explicó que la sensibilidad del asunto en materia diplomática y de seguridad, así como la necesidad de realizar un análisis minucioso, justificaban la demora de cinco meses. Por tanto, la detección, la revisión técnica y la notificación pública constituyen etapas distintas.

BleepingComputer informó de que al menos 6 000 personas se vieron afectadas, entre ellas 350 agregados gubernamentales en activo destinados en el extranjero. Korea JoongAng Daily, citando a funcionarios, describió un inventario de aproximadamente 10 000 registros de datos. Esa información advierte expresamente que 10 000 no es una cifra confirmada de personas únicas, ya que los datos pueden incluir entradas duplicadas y registros conservados de antiguos miembros del personal.

Esas cifras no son directamente equivalentes: una es una estimación de personas, mientras que la otra es un inventario de registros del que no se han eliminado los duplicados. El aviso oficial del ministerio publicado en su sitio web no proporciona un total exacto. El organismo no publicó un total verificable de personas o registros afectados. Que no se haya divulgado una cifra no significa que el incidente no tuviera consecuencias; significa que las fuentes públicas no ofrecen un total fiable. Un valor de cero no significa que no hubiera personas afectadas.

La combinación de un ID de usuario, un nombre y una dirección de correo electrónico puede facilitar la creación de mensajes de phishing convincentes, adaptados a la función de una persona dentro de la institución. Los datos de contraseñas cifradas pueden someterse a intentos de averiguar las contraseñas sin conexión, según el algoritmo y la robustez de las contraseñas. Por tanto, la constatación de que las contraseñas no estaban en texto sin formato no elimina el riesgo. Reutilizar la misma contraseña en otro sistema podría aumentar la probabilidad de que otras cuentas también se vieran comprometidas.

El ministerio afirmó que no se incluían números de identificación únicos, información sensible, números de teléfono móvil, domicilios ni fotografías. Estas exclusiones se reflejan en el registro. Dado que las noticias sitúan a diplomáticos en activo y misiones en el extranjero entre los afectados, la filtración podría facilitar ataques de ingeniería social dirigidos a funciones concretas o la elaboración de mapas del personal; sin embargo, no hay pruebas públicas que confirmen que el atacante utilizara los datos con esos fines.

El Ministerio de Asuntos Exteriores bloqueó el acceso al sistema de formación en línea y afirmó haber aplicado medidas adicionales para reforzar la seguridad. Korea JoongAng Daily informó de que el personal tuvo que recurrir temporalmente a la formación presencial o a un servicio gubernamental de videoconferencias independiente. El análisis técnico y las labores para identificar al atacante seguían en curso cuando se hizo público el incidente.

El ministerio no atribuyó el ataque a ningún Estado ni a ningún grupo concreto. Aunque algunos analistas afirmaron que el método se parecía a las tácticas utilizadas por actores respaldados por Estados, el portavoz indicó que el análisis técnico aún no era suficiente para identificar al responsable y que no se había descartado ninguna posibilidad.

El ministerio aconsejó extremar la precaución con los correos electrónicos de procedencia poco clara o desconocida y recomendó comunicar los mensajes sospechosos a su departamento de seguridad. Los usuarios afectados pueden sustituir la contraseña del sistema de formación y cualquier contraseña idéntica o similar utilizada en otros servicios por credenciales únicas y robustas, cerrar las sesiones existentes y activar la autenticación multifactor cuando esté disponible. Los enlaces para restablecer la contraseña solo deben abrirse a través de canales oficiales conocidos.

Las cifras de personas, los campos de datos y las afirmaciones sobre los responsables del ataque que no se han verificado no se consideran parte del alcance público del incidente. Lo que se ha verificado es la explotación de una vulnerabilidad entre abril de 2025 y febrero de 2026, la exposición de IDs, nombres, direcciones de correo electrónico y contraseñas cifradas, y la desactivación del sistema en línea. No se han divulgado el número exacto de personas, la identidad del atacante, los detalles de la vulnerabilidad ni el uso posterior de los datos.