Violation de données du ministère sud-coréen des Affaires étrangères en 2025–2026

La cible était le système de formation en ligne de la Korea National Diplomatic Academy, un établissement rattaché au ministère des Affaires étrangères. La plateforme a été mise en place en 2022 pour la formation à distance, puis utilisée pour la formation du personnel gouvernemental et la visioconférence. Selon l’avis officiel, une attaque dont l’auteur n’a pas été identifié a exploité une vulnérabilité et laissé des indices de fuite concernant le personnel de l’administration centrale, les missions à l’étranger, d’anciens employés et d’autres membres du personnel.

Les catégories de données directement confirmées sont les identifiants des utilisateurs, les noms, les adresses e-mail et les mots de passe chiffrés. La mention « chiffrés » ne signifie pas que les mots de passe ont été divulgués en clair.

Le ministère a situé la période de fuite entre avril 2025 et février 2026, sans publier la date exacte du premier accès. Cela ne signifie pas que l’acteur a accédé au système ce jour précis; il s’agit du repère de début le plus précis rendu public. Selon les articles de presse, les accès se sont poursuivis de manière intermittente pendant environ dix mois.

D’après ces articles, le National Intelligence Service de Corée du Sud a détecté une activité inhabituelle en février 2026 et alerté le ministère, puis le système a été mis hors service. Le ministère a rendu l’événement public en juillet. Le porte-parole Park Il a expliqué que la sensibilité des enjeux diplomatiques et de sécurité, ainsi que la nécessité d’une analyse minutieuse, justifiaient ce délai de cinq mois. La détection, l’examen technique et l’information du public constituent donc des étapes distinctes.

BleepingComputer a rapporté qu’au moins 6 000 personnes étaient concernées, dont 350 attachés gouvernementaux en poste à l’étranger. Korea JoongAng Daily, citant des responsables, a fait état d’un inventaire d’environ 10 000 entrées de données. Cet article précise expressément que 10 000 n’est pas un nombre confirmé de personnes distinctes, car les données peuvent comprendre des doublons et des enregistrements conservés concernant d’anciens membres du personnel.

Ces chiffres ne sont pas directement comparables : le premier est une estimation du nombre de personnes, tandis que le second correspond à un inventaire d’enregistrements dont les doublons n’ont pas été supprimés. L’avis officiel publié sur le site du ministère ne fournit aucun total exact. L’organisation n’a publié aucun total vérifiable de personnes ou d’enregistrements concernés. L’absence de chiffre communiqué ne signifie pas que l’incident n’a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable. Un chiffre de zéro ne signifie pas que personne n’a été touché.

L’association d’un identifiant utilisateur, d’un nom et d’une adresse e-mail peut permettre de créer des messages d’hameçonnage convaincants, adaptés aux fonctions d’une personne au sein de son institution. Les données de mots de passe chiffrés peuvent faire l’objet de tentatives de découverte des mots de passe par essais successifs hors ligne, selon l’algorithme utilisé et la robustesse des mots de passe. Le fait que les mots de passe n’étaient pas en clair n’élimine donc pas le risque. La réutilisation du même mot de passe sur un autre système pourrait accroître le risque de compromission d’autres comptes.

Le ministère a déclaré que les numéros d’identification uniques, les informations sensibles, les numéros de téléphone portable, les adresses du domicile et les photographies n’étaient pas inclus. Ces exclusions sont reprises dans cette fiche. Puisque les articles de presse indiquent que des diplomates en activité et des missions à l’étranger sont concernés, la fuite pourrait faciliter des opérations d’ingénierie sociale ciblées sur les fonctions exercées ou une cartographie du personnel; toutefois, aucun élément public ne confirme que l’acteur a utilisé les données à ces fins.

Le ministère des Affaires étrangères a bloqué l’accès au système de formation en ligne et déclaré avoir mis en œuvre des mesures supplémentaires de renforcement de la sécurité. Korea JoongAng Daily a rapporté que le personnel avait temporairement dû suivre des formations en présentiel ou utiliser un service gouvernemental distinct de visioconférence. L’analyse technique et les travaux visant à identifier l’auteur de l’attaque se poursuivaient au moment de l’annonce publique.

Le ministère n’a attribué l’attaque à aucun État ni à aucun groupe nommé. Bien que certains analystes aient déclaré que la méthode ressemblait à des tactiques utilisées par des acteurs soutenus par un État, le porte-parole a indiqué que l’analyse technique n’était pas encore suffisante pour identifier le responsable et qu’aucune hypothèse n’avait été écartée.

Le ministère a conseillé une vigilance particulière face aux e-mails provenant de sources mal identifiées ou inconnues et recommandé de signaler les communications suspectes à son service de sécurité. Les utilisateurs concernés peuvent remplacer leur mot de passe du système de formation, ainsi que tout mot de passe identique ou similaire utilisé ailleurs, par des mots de passe robustes et uniques, fermer les sessions existantes et activer l’authentification multifacteur lorsqu’elle est prise en charge. Les liens de réinitialisation de mot de passe ne doivent être ouverts que par l’intermédiaire de canaux officiels connus.

Les nombres de personnes, les champs de données et les affirmations concernant l’auteur de l’attaque qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident. Les faits vérifiés sont l’exploitation d’une vulnérabilité d’avril 2025 à février 2026, l’exposition d’identifiants, de noms, d’adresses e-mail et de mots de passe chiffrés, ainsi que la mise hors service du système en ligne. Le nombre exact de personnes, l’identité de l’acteur, les détails de la vulnérabilité et l’utilisation ultérieure des données n’ont pas été divulgués.