Утечка данных Министерства иностранных дел Южной Кореи в 2025–2026 годах

Целью атаки стала система онлайн-обучения Национальной дипломатической академии Кореи, учреждения, подведомственного Министерству иностранных дел. Платформу создали для дистанционного обучения в 2022 году, а позднее использовали для обучения государственных служащих и проведения видеоконференций. В официальном уведомлении говорится об использовании уязвимости в ходе атаки неустановленного происхождения и о выявленных признаках утечки данных сотрудников центрального аппарата, загранпредставительств, бывших сотрудников и другого персонала.

Непосредственно подтверждены следующие категории данных: идентификаторы пользователей, имена, адреса электронной почты и зашифрованные пароли. Слово «зашифрованные» не означает, что пароли были раскрыты в открытом виде.

Министерство указало, что утечка происходила с апреля 2025 года по февраль 2026 года, не опубликовав точную дату первого доступа. Это не утверждение о том, что злоумышленник получил доступ в какой-то конкретный день, а наиболее точное из публично известных указаний на начало периода. По сообщениям СМИ, доступ периодически осуществлялся на протяжении примерно десяти месяцев.

Согласно сообщениям, Национальная разведывательная служба Южной Кореи обнаружила необычную активность в феврале 2026 года и уведомила министерство, после чего систему отключили. Министерство публично сообщило об инциденте в июле. Представитель министерства Пак Иль объяснил пятимесячную задержку чувствительностью вопроса для дипломатии и безопасности, а также необходимостью тщательного анализа. Таким образом, обнаружение, техническая проверка и публичное уведомление были отдельными этапами.

BleepingComputer сообщил, что пострадали не менее 6 000 человек, в том числе 350 действующих государственных атташе, работающих за рубежом. Korea JoongAng Daily со ссылкой на официальных лиц сообщила о массиве примерно из 10 000 записей данных. В этой публикации прямо подчёркивается, что 10 000, не подтверждённое число уникальных пострадавших, поскольку данные могут содержать дубликаты и сохранённые записи о бывших сотрудниках.

Эти показатели нельзя напрямую приравнивать друг к другу: один представляет собой оценку числа людей, а другой, количество записей без удаления дубликатов. В официальном уведомлении на сайте министерства точное общее число не указано. Министерство не опубликовало поддающееся проверке общее число пострадавших или затронутых записей. Отсутствие раскрытых данных о количестве не означает, что инцидент не имел последствий: оно означает, что публичные источники не позволяют установить достоверное общее число. Нулевое значение не означает, что никто не пострадал.

Сочетание идентификатора пользователя, имени и адреса электронной почты может помочь в создании убедительных фишинговых сообщений с учётом служебной роли человека. Зашифрованные пароли могут подвергаться офлайн-подбору в зависимости от алгоритма и стойкости паролей. Поэтому тот факт, что пароли не были представлены в открытом виде, не устраняет риск. Повторное использование того же пароля в другой системе может повысить вероятность последующей компрометации аккаунта в ней.

Министерство заявило, что уникальные идентификационные номера, чувствительная информация, номера мобильных телефонов, домашние адреса и фотографии не входили в состав утекших данных. Эти исключения отражены в описании инцидента. Поскольку, согласно сообщениям, утечка затронула действующих дипломатов и загранпредставительства, данные могли бы использоваться для социальной инженерии с учётом служебных ролей или сбора сведений о составе персонала. Однако публичных доказательств того, что злоумышленник использовал данные в этих целях, нет.

Министерство иностранных дел заблокировало доступ к системе онлайн-обучения и заявило, что приняло дополнительные меры по усилению безопасности. По сообщению Korea JoongAng Daily, сотрудникам временно пришлось проходить обучение очно или пользоваться отдельным государственным сервисом видеоконференций. На момент публичного сообщения об инциденте технический анализ и работа по установлению злоумышленника продолжались.

Министерство не связало атаку с каким-либо государством или конкретной группировкой. Хотя некоторые аналитики отмечали сходство метода с тактиками злоумышленников, поддерживаемых государствами, представитель министерства заявил, что проведённого технического анализа пока недостаточно для установления виновника и ни одна версия не исключена.

Министерство рекомендовало проявлять особую осторожность с электронными письмами из неясных или неизвестных источников и сообщать о подозрительных обращениях в его подразделение безопасности. Пострадавшие пользователи могут заменить пароль системы обучения, а также все совпадающие или похожие пароли в других системах на уникальные надёжные пароли, завершить действующие сеансы и включить многофакторную аутентификацию там, где она поддерживается. Переходить по ссылкам для сброса пароля следует только через известные официальные каналы.

Непроверенные сведения о числе пострадавших, полях данных и предполагаемом злоумышленнике не включаются в публичное описание масштабов инцидента. Подтверждены использование уязвимости с апреля 2025 года по февраль 2026 года, раскрытие идентификаторов, имён, адресов электронной почты и зашифрованных паролей, а также отключение онлайн-системы. Точное число пострадавших, личность злоумышленника, подробности уязвимости и последующее использование данных остаются нераскрытыми.