La Corea del Sud ha rivelato che degli hacker hanno compromesso una piattaforma educativa online gestita dall’Accademia Diplomatica Nazionale di Corea (KNDA), rivelando informazioni personali appartenenti a dipendenti attuali ed ex del Ministero degli Affari Esteri, inclusi diplomatici di stanza all’estero. Secondo il ministero, gli aggressori sono rimasti all’interno del sistema per circa dieci mesi prima che l’intrusione fosse rilevata e la piattaforma interessata venisse disattivata.
Il Ministero degli Affari Esteri ha dichiarato che gli aggressori hanno ottenuto accesso non autorizzato tra aprile e maggio 2025 e hanno mantenuto l’accesso fino a febbraio 2026. La violazione è emersa dopo che un’altra agenzia governativa ha rilevato attività sospette e ha allertato il ministero, spingendo i funzionari a disconnettere il sistema di formazione online e ad avviare un’indagine. La piattaforma è rimasta offline mentre gli esperti forensi esaminano l’incidente e determinano l’intera portata del compromesso.
Secondo il ministero, gli aggressori hanno sfruttato una vulnerabilità zero-day precedentemente sconosciuta insieme a debolezze della configurazione della sicurezza che hanno influenzato l’ambiente di apprendimento online dell’accademia. I funzionari hanno dichiarato che non era disponibile alcun aggiornamento di sicurezza che affrontasse la vulnerabilità quando gli attaccanti hanno inizialmente violato il sistema, rendendo difficile prevenire l’intrusione. Gli investigatori stanno ancora esaminando esattamente come si è svolto il compromesso e se ulteriori vulnerabilità siano state sfruttate durante l’attacco.
Il server compromesso ha conservato materiali di formazione e informazioni personali associate agli utenti della piattaforma di e-learning dell’accademia. I dati potenzialmente esposti includono nomi, ID utente, posizioni lavorative, indirizzi email e password criptate appartenenti a tirocinanti e personale del ministero. Le autorità hanno dichiarato che informazioni altamente sensibili, inclusi numeri di identificazione nazionali, indirizzi di casa, numeri di cellulare e fotografie personali, non sembrano essere state influenzate in base all’indagine finora.
Il ministero stima che la piattaforma contenesse circa 10.000 registri, il che significa che quasi tutti i diplomatici sudcoreani attuali ed ex, così come alcuni funzionari di altre agenzie governative che hanno partecipato a programmi di formazione diplomatica, potrebbero essere stati coinvolti. Le autorità hanno sottolineato che questa cifra rappresenta il numero massimo di documenti potenzialmente interessati e che gli investigatori non hanno ancora confermato quanto delle informazioni memorizzate sia stata effettivamente accessibile o esfiltrata.
Le autorità sudcoreane non hanno attribuito l’attacco a un attore minaccioso specifico. Durante una conferenza stampa, i rappresentanti del ministero hanno dichiarato che attualmente non ci sono prove tecniche che identifichino i responsabili, anche se gli investigatori non hanno escluso la possibilità di un coinvolgimento di un gruppo di hacker sponsorizzato dallo Stato straniero. Reuters ha riferito che le autorità stanno esaminando tutte le possibilità, incluso un possibile collegamento con la Corea del Nord, ma ha sottolineato che al momento non è stata fatta alcuna attribuzione.
Il Ministero degli Affari Esteri ha dichiarato che le persone coinvolte vengono notificate mentre l’indagine prosegue. I funzionari hanno inoltre annunciato piani per rafforzare i controlli interni sulla cybersecurity e migliorare la sicurezza dei sistemi in collaborazione con le agenzie governative competenti, al fine di ridurre il rischio di incidenti simili che riguardano le infrastrutture diplomatiche in futuro.