Südkorea hat bekannt gegeben, dass Hacker eine von der Korea National Diplomatic Academy (KNDA) betriebene Online-Bildungsplattform kompromittiert und persönliche Informationen von aktuellen und ehemaligen Mitarbeitern des Außenministeriums, einschließlich Diplomaten, preisgegeben haben. Laut dem Ministerium blieben die Angreifer etwa zehn Monate im System, bevor der Einbruch entdeckt und die betroffene Plattform außer Betrieb genommen wurde.
Das Außenministerium teilte mit, dass die Angreifer irgendwann zwischen April und Mai 2025 unbefugten Zugang erhielten und den Zugang bis Februar 2026 aufrechterhielten. Der Sicherheitsvorfall kam ans Licht, nachdem eine andere Regierungsbehörde verdächtige Aktivitäten entdeckt und das Ministerium alarmiert hatte, woraufhin die Behörden das Online-Schulungssystem abschalteten und eine Untersuchung einleiteten. Die Plattform ist offline geblieben, während forensische Experten den Vorfall untersuchen und das volle Ausmaß der Kompromittierung bestimmen.
Laut dem Ministerium nutzten die Angreifer eine zuvor unbekannte Zero-Day-Schwachstelle zusammen mit Sicherheitskonfigurationslücken, die die Online-Lernumgebung der Akademie beeinträchtigten. Beamte erklärten, dass kein Sicherheitsupdate zur Bekämpfung der Schwachstelle verfügbar war, als die Angreifer das System zunächst durchbrachen, was den Einbruch schwer zu verhindern machte. Die Ermittler untersuchen weiterhin genau, wie die Kompromittierung verlaufen ist und ob zusätzliche Schwachstellen während des Angriffs ausgenutzt wurden.
Der kompromittierte Server speicherte Schulungsmaterialien und persönliche Informationen, die mit Nutzern der E-Learning-Plattform der Akademie verbunden waren. Potenziell offengelegte Daten umfassen Namen, Benutzer-IDs, Stellen, E-Mail-Adressen und verschlüsselte Passwörter von Auszubildenden und Mitarbeitern des Ministeriums. Beamte erklärten, dass hochsensible Informationen, darunter nationale Identifikationsnummern, Wohnadressen, Handynummern und persönliche Fotos, basierend auf den bisherigen Ermittlungen offenbar nicht betroffen wurden.
Das Ministerium schätzt, dass die Plattform etwa 10.000 Datensätze enthielt, was bedeutet, dass fast alle aktuellen und ehemaligen südkoreanischen Diplomaten sowie einige Beamte anderer Regierungsbehörden, die an diplomatischen Ausbildungsprogrammen teilnahmen, betroffen sein könnten. Die Behörden betonten, dass diese Zahl die maximale Anzahl potenziell betroffener Datensätze darstellt und dass die Ermittler noch nicht bestätigt haben, wie viel der gespeicherten Informationen tatsächlich abgerufen oder exfiltriert wurde.
Südkoreanische Beamte haben den Angriff nicht einem bestimmten Bedrohungsakteur zugeschrieben. Während einer Pressekonferenz erklärten Vertreter des Ministeriums, es gebe derzeit keine technischen Beweise für die Identifizierung der Verantwortlichen, obwohl die Ermittler die Möglichkeit einer ausländischen staatlich unterstützten Hackergruppe nicht ausgeschlossen haben. Reuters berichtete, dass die Behörden alle Möglichkeiten prüfen, einschließlich einer möglichen nordkoreanischen Verbindung, betonten jedoch, dass derzeit keine Zuschreibung vorgenommen wurde.
Das Außenministerium teilte mit, dass die betroffenen Personen während der andauernden Untersuchung benachrichtigt werden. Beamte kündigten außerdem Pläne an, die internen Cybersicherheitskontrollen zu stärken und die Systemsicherheit in Zusammenarbeit mit den zuständigen Regierungsbehörden zu verbessern, um das Risiko ähnlicher Vorfälle, die die diplomatische Infrastruktur in Zukunft betreffen, zu verringern.