La Corée du Sud a révélé que des hackers avaient compromis une plateforme éducative en ligne exploitée par l’Académie diplomatique nationale de Corée (KNDA), révélant des informations personnelles appartenant à des employés actuels et anciens du ministère des Affaires étrangères, y compris des diplomates stationnés à l’étranger. Selon le ministère, les assaillants sont restés à l’intérieur du système pendant environ dix mois avant que l’intrusion ne soit détectée et que la plateforme affectée ne soit mise hors ligne.
Le ministère des Affaires étrangères a indiqué que les assaillants avaient obtenu un accès non autorisé entre avril et mai 2025 et ont maintenu l’accès jusqu’en février 2026. La faille a été révélée après qu’une autre agence gouvernementale a détecté une activité suspecte et alerté le ministère, ce qui a poussé les responsables à déconnecter le système de formation en ligne et à lancer une enquête. La plateforme est restée hors ligne pendant que des experts médico-légaux examinent l’incident et déterminent l’ampleur complète de la compromission.
Selon le ministère, les attaquants ont exploité une vulnérabilité zero-day jusque-là inconnue ainsi que des failles de configuration de sécurité affectant l’environnement d’apprentissage en ligne de l’académie. Les responsables ont indiqué qu’aucune mise à jour de sécurité corrigeant la vulnérabilité n’était disponible lorsque les attaquants ont initialement brèché le système, rendant l’intrusion difficile à empêcher. Les enquêteurs continuent d’examiner précisément comment la compromission s’est déroulée et si d’autres vulnérabilités ont été exploitées lors de l’attaque.
Le serveur compromis a stocké des supports de formation et des informations personnelles associés aux utilisateurs de la plateforme d’apprentissage en ligne de l’académie. Les données potentiellement exposées incluent les noms, identifiants d’utilisateur, postes d’emploi, adresses e-mail et mots de passe chiffrés appartenant aux stagiaires et au personnel du ministère. Les responsables ont indiqué que des informations très sensibles, y compris les numéros d’identification nationales, les adresses domiciliaires, les numéros de téléphone mobile et les photographies personnelles, ne semblent pas avoir été affectées selon l’enquête jusqu’à présent.
Le ministère estime que la plateforme contenait environ 10 000 documents, ce qui signifie que presque tous les diplomates sud-coréens actuels et anciens, ainsi que certains responsables d’autres agences gouvernementales ayant participé à des programmes de formation diplomatique, pourraient avoir été impactés. Les autorités ont souligné que ce chiffre représente le nombre maximal de dossiers potentiellement affectés et que les enquêteurs n’ont pas encore confirmé quelle part des informations stockées a réellement été consultée ou exfiltrée.
Les responsables sud-coréens n’ont pas attribué l’attaque à un acteur menaçant spécifique. Lors d’un point presse, des représentants du ministère ont déclaré qu’il n’existe actuellement aucune preuve technique identifiant les responsables, bien que les enquêteurs n’aient pas exclu la possibilité d’une implication d’un groupe de pirates d’État étranger. Reuters a rapporté que les autorités examinent toutes les possibilités, y compris un lien potentiel avec la Corée du Nord, mais a souligné qu’aucune attribution n’a été faite à ce stade.
Le ministère des Affaires étrangères a indiqué que les personnes concernées sont informées pendant que l’enquête se poursuit. Les responsables ont également annoncé des plans pour renforcer les contrôles internes de cybersécurité et améliorer la sécurité des systèmes en coopération avec les agences gouvernementales concernées afin de réduire le risque d’incidents similaires affectant les infrastructures diplomatiques à l’avenir.