A Coreia do Sul revelou que hackers comprometeram uma plataforma de educação online operada pela Academia Diplomática Nacional da Coreia (KNDA), expondo informações pessoais pertencentes a funcionários atuais e antigos do Ministério das Relações Exteriores, incluindo diplomatas destacados no exterior. Segundo o ministério, os atacantes permaneceram dentro do sistema por aproximadamente dez meses antes que a intrusão fosse detectada e a plataforma afetada fosse desativada.
O Ministério das Relações Exteriores informou que os atacantes obtiveram acesso não autorizado em algum momento entre abril e maio de 2025 e mantiveram o acesso até fevereiro de 2026. A violação veio à tona após outra agência governamental detectar atividade suspeita e alertar o ministério, levando as autoridades a desconectarem o sistema de treinamento online e a iniciarem uma investigação. A plataforma permaneceu offline enquanto especialistas forenses examinam o incidente e determinam a extensão total do compromisso.
Segundo o ministério, os atacantes exploraram uma vulnerabilidade zero-day até então desconhecida, juntamente com fraquezas na configuração de segurança que afetam o ambiente de aprendizado online da academia. Autoridades disseram que nenhuma atualização de segurança para tratar da vulnerabilidade estava disponível quando os atacantes inicialmente invadiram o sistema, tornando a intrusão difícil de evitar. Os investigadores ainda estão examinando exatamente como o comprometimento se desenrolou e se vulnerabilidades adicionais foram abusadas durante o ataque.
O servidor comprometido armazenou materiais de treinamento e informações pessoais associadas aos usuários da plataforma de e-learning da academia. Dados potencialmente expostos incluem nomes, IDs de usuário, cargos, endereços de e-mail e senhas criptografadas pertencentes a estagiários e funcionários do ministério. Autoridades disseram que informações altamente sensíveis, incluindo números nacionais de identificação, endereços residenciais, números de telefone celular e fotografias pessoais, não parecem ter sido afetadas com base na investigação até o momento.
O ministério estima que a plataforma continha aproximadamente 10.000 registros, o que significa que quase todos os diplomatas sul-coreanos atuais e ex-europeus, assim como alguns funcionários de outras agências governamentais que participaram de programas de treinamento diplomático, podem ter sido impactados. As autoridades enfatizaram que esse número representa o número máximo de registros potencialmente afetados e que os investigadores ainda não confirmaram quanto das informações armazenadas foi realmente acessada ou exfiltrada.
Autoridades sul-coreanas não atribuíram o ataque a um ator ameaçador específico. Durante uma coletiva de imprensa, representantes do ministério disseram que atualmente não há evidências técnicas identificando os responsáveis, embora os investigadores não tenham descartado a possibilidade de envolvimento de um grupo de hackers patrocinado por um Estado estrangeiro. A Reuters informou que as autoridades estão examinando todas as possibilidades, incluindo uma possível conexão norte-coreana, mas enfatizou que nenhuma atribuição foi feita até o momento.
O Ministério das Relações Exteriores informou que as pessoas afetadas estão sendo notificadas enquanto a investigação continua. Autoridades também anunciaram planos para fortalecer os controles internos de cibersegurança e melhorar a segurança dos sistemas em cooperação com agências governamentais relevantes para reduzir o risco de incidentes semelhantes afetando a infraestrutura diplomática no futuro.