Vazamento de dados do Ministério das Relações Exteriores da Coreia do Sul em 2025–2026

O alvo foi o sistema de educação on-line da Korea National Diplomatic Academy, uma instituição vinculada ao Ministério das Relações Exteriores. A plataforma foi criada para treinamento remoto em 2022 e posteriormente passou a ser usada para capacitação de pessoal do governo e videoconferências. Segundo o comunicado oficial, um ataque de origem não identificada explorou uma vulnerabilidade, com evidências de vazamento envolvendo funcionários da sede, missões no exterior, ex-funcionários e outros integrantes do quadro de pessoal.

As categorias de dados diretamente confirmadas são IDs de usuário, nomes, endereços de e-mail e senhas criptografadas. “Criptografadas” não significa que as senhas foram divulgadas em texto simples.

O ministério situou o período de vazamento entre abril de 2025 e fevereiro de 2026, sem divulgar o dia exato do primeiro acesso. Isso não equivale a afirmar que o agente entrou no sistema em um dia específico; trata-se apenas do limite inicial mais preciso disponível publicamente. As reportagens afirmam que o acesso continuou de forma intermitente por cerca de dez meses.

Segundo as reportagens, o Serviço Nacional de Inteligência da Coreia do Sul detectou atividade incomum em fevereiro de 2026, alertou o ministério e o sistema foi desativado. O ministério divulgou o incidente publicamente em julho. O porta-voz Park Il afirmou que a sensibilidade das questões diplomáticas e de segurança e a necessidade de uma análise cuidadosa explicavam o atraso de cinco meses. A detecção, a análise técnica e a notificação pública são, portanto, etapas distintas.

BleepingComputer informou que pelo menos 6.000 pessoas foram afetadas, incluindo 350 adidos governamentais em atividade lotados no exterior. Korea JoongAng Daily, citando autoridades, descreveu um inventário de aproximadamente 10.000 registros de dados. Essa reportagem alerta explicitamente que 10.000 não é uma contagem confirmada de pessoas únicas, pois os dados podem incluir registros duplicados e registros mantidos de ex-integrantes do quadro de pessoal.

Essas medidas não são diretamente equivalentes: uma é uma estimativa do número de pessoas, enquanto a outra é um inventário de registros sem eliminação de duplicatas. O comunicado oficial do ministério na web não fornece um total exato. A organização não publicou um total verificável de pessoas afetadas ou de registros. A ausência de uma contagem divulgada não significa que o incidente não teve impacto; significa que as fontes públicas não fornecem um total confiável. Zero não significa que ninguém foi afetado.

A combinação de ID de usuário, nome e endereço de e-mail pode facilitar a criação de mensagens convincentes de phishing, adaptadas à função institucional da pessoa. Os dados de senhas criptografadas podem ser submetidos a tentativas de descoberta off-line, dependendo do algoritmo e da força das senhas. A constatação de que as senhas não estavam em texto simples, portanto, não elimina o risco. A reutilização da mesma senha em outro sistema pode aumentar a chance de comprometimento de outras contas.

O ministério afirmou que números de identificação únicos, informações sensíveis, números de celular, endereços residenciais e fotografias não estavam incluídos. Essas exclusões estão refletidas no registro. Como as reportagens incluem diplomatas em atividade e missões no exterior entre os afetados, o vazamento poderia facilitar ações de engenharia social direcionadas a funções específicas ou o mapeamento de pessoal; no entanto, não há evidência pública que confirme o uso dos dados pelo agente para essas finalidades.

O Ministério das Relações Exteriores bloqueou o acesso ao sistema de educação on-line e afirmou ter implementado medidas adicionais para reforçar a segurança. Korea JoongAng Daily informou que, temporariamente, o pessoal precisou recorrer a treinamentos presenciais ou a um serviço separado de videoconferência do governo. A análise técnica e o trabalho para identificar o autor do ataque ainda estavam em andamento no momento da divulgação pública.

O ministério não atribuiu o ataque a um Estado nem a um grupo específico. Embora alguns analistas tenham afirmado que o método se assemelhava a táticas usadas por agentes apoiados por Estados, o porta-voz disse que a análise técnica ainda era insuficiente para identificar o responsável e que nenhuma possibilidade havia sido descartada.

O ministério orientou que se tivesse cuidado redobrado com e-mails de origem incerta ou desconhecida e recomendou comunicar mensagens suspeitas ao seu departamento de segurança. Os usuários afetados podem substituir a senha do sistema de educação e quaisquer senhas idênticas ou semelhantes usadas em outros serviços por credenciais fortes e exclusivas, encerrar as sessões existentes e ativar a autenticação multifator onde houver suporte. Links para redefinição de senha devem ser abertos apenas por canais oficiais conhecidos.

Contagens de pessoas, campos de dados e alegações sobre o agente responsável que não tenham sido verificados não são tratados como parte do escopo público do incidente. O resultado verificado é a exploração de uma vulnerabilidade de abril de 2025 a fevereiro de 2026, a exposição de IDs, nomes, e-mails e senhas criptografadas e a desativação do sistema on-line. O número exato de pessoas, a identidade do agente, os detalhes da vulnerabilidade e o uso posterior dos dados permanecem não divulgados.