韓国外交官ほぼ全員の情報流出か　10カ月見過ごされた侵入と5カ月の沈黙

韓国外務省傘下の「国立外交院」が運営するオンライン研修システムが不正アクセスを受け、現職外交官のほぼ全員に当たる約1万人分の氏名、ID、メールアドレス、暗号化されたパスワードなどが流出した可能性があることが分かった。対象には外交官だけでなく、海外に派遣される他省庁の駐在官、情報機関職員、軍関係者まで含まれており、単なる一機関の情報漏洩にとどまらない広がりを見せている。パスワードは暗号化済みとされるものの、外交官の勤務地情報まで含まれていた可能性が指摘されており、国家安全保障に直結しかねない漏洩だ。

10カ月気づかれず、発覚後も5カ月伏せられた #

侵入があったのは昨年4月。攻撃者は開発元も把握していなかった脆弱性を突いて研修システムに入り込み、今年2月に発覚するまでの実に10カ月間、痕跡を残さず居座り続けたとみられる。さらに深刻なのは対応の遅さで、外交部は発覚後も5カ月以上にわたって被害を公表せず、個人情報保護委員会への申告義務も大幅に超過してから7月19日にようやく届け出た。一般に公になったのは7月21日のことだ。攻撃主体は特定されていないが、北朝鮮の関与も排除されていないという。

「本丸」ではなく「研修システム」が狙われた意味 #

外交院の研修システムは、外交官本人にとっては業務の中枢ではない周辺システムに見える。しかし攻撃者にとっては、そこに登録された氏名やメールアドレスこそが、標的型フィッシングや次の侵入への足がかりになる一次情報だ。本体の外交系ネットワークではなく、監視の目が薄くなりがちな教育・研修基盤を突く手口は、組織の「本丸」だけを固めても不十分であることを改めて示している。加えて、検知まで10カ月、公表まで発覚後さらに5カ月という時間差は、脆弱性そのものより「気づく仕組み」と「公表の速さ」こそが被害の実質的な大きさを左右することを物語っている。今回のように研修・教育系の周辺システムが軽視されがちな組織は、国内外を問わず珍しくないはずだ。