ハッカーが韓国外交官養成システムに9カ月間侵入していた

何者かのハッカーが韓国外交院が運営するオンライン教育システムに侵入し、同国外交部の元職員および現職員の個人情報を窃取していたことが分かりました。同部が月曜日に発表しました。

個人情報保護に関する通知の中で外交部は、国立外交院のeラーニングプラットフォームへの侵害は2025年4月から2026年2月にかけて発生し、関連する政府機関から同システムへの異常アクセスについて通報を受けたことで発覚したと説明しています。

外交部はシステムを直ちに停止し、それ以降も復旧させていないとしています。

流出したとみられるデータには「研修生のID、氏名、メールアドレス、暗号化されたパスワード」が含まれるとしており、連絡先や個人写真などの「機微情報」は影響を受けていないと同部は付け加えています。

JoongAng Daily紙によると、身元不明の攻撃者はサーバーソフトウェアに存在した未知のゼロデイ脆弱性を悪用し、これにセキュリティ設定の不備が重なったことでネットワークへの侵入を許したとされています。

「当時は利用可能なセキュリティアップデートが存在せず、対応能力に限界があった」と外交部は述べています。

国立外交院は外交官候補生の育成に加え、海外赴任を控えた現職外交官や中央・地方政府の幹部職員の研修も担っています。利用者層の広さから、今回の情報流出がどこまで及ぶのか、国会議員やセキュリティ専門家の間で懸念が広がっています。

外交部は、侵害期間中に具体的にどの情報にアクセスされ、あるいは持ち出されたのかについては、現時点では特定できていないとしています。

「サイバー攻撃の巧妙化と対象範囲の拡大を重大な懸念事項と捉えている」とし、関係当局と連携しながら内部のセキュリティ体制強化を継続していく方針を示しました。

外交部は今回の攻撃について、特定の脅威主体への帰属を明らかにしていません。韓国は近年、公共機関へのサイバー攻撃の大半を北朝鮮によるものと断定しており、国家情報院はこれまで、韓国政府機関を狙った攻撃のおよそ80%が北朝鮮の関与によるものだと述べています。

今回の事案は、ソウル当局にデジタルセキュリティ体制の抜本的な見直しを迫る一連の大規模データ流出事件の最新例となります。6月には韓国の個人情報保護当局が、2025年に発生し韓国の全人口の約65%に相当するおよそ3,370万件の顧客アカウントが流出した事案を受け、eコマース大手クーパンに対して4億900万ドルという過去最高額の制裁金を科しています。

こうした一連の事件は、韓国の個人情報保護法の抜本改正を後押しする要因となっており、この改正法は9月に施行される予定です。改正法では、データ侵害を起こした企業に対し売上高の最大10%の制裁金を科すことが可能になるほか、個人情報保護に関するコンプライアンスの最終責任者としてCEOを明示的に位置づけています。