La Corée du Sud a confirmé une importante fuite de données visant le système de formation en ligne de la Korea National Diplomatic Academy, entraînant la divulgation d’informations personnelles de diplomates et d’agents du ministère des Affaires étrangères après l’exploitation d’une vulnérabilité zero‑day. L’intrusion, restée indétectée pendant environ dix mois entre avril/mai 2025 et février 2026, a compromis jusqu’à 10 000 enregistrements — dont au moins 6 000 cas confirmés, incluant 350 attachés en poste à l’étranger — sans pour autant toucher de numéros d’identification sensibles ou d’autres systèmes gouvernementaux.
– Qui et quoi a été touché
– Comment l’attaque s’est déroulée
– Réponse des autorités et mesures recommandées
La chronologie résumée et les éléments techniques disponibles permettent d’évaluer l’ampleur et les risques immédiats pour les personnes concernées, tandis que l’enquête officielle se poursuit.
L’ampleur des données compromises
La base de données affectée contenait des informations nominatives : noms, identifiants utilisateurs, adresses e‑mail, mots de passe chiffrés, postes et rattachements départementaux. Aucun numéro de registre national, numéro de téléphone portable, adresse personnelle, photographie ou identifiant administratif n’était stocké sur le serveur compromis. Le système visé, mis en service en 2022 pour la formation à distance et les visioconférences, était accessible depuis Internet et conservait des profils de diplomates, de personnels administratifs et d’agents d’autres administrations affectés à l’étranger.
La vulnérabilité et le mode opératoire
Les enquêteurs ont déterminé que l’attaque initiale exploitait une vulnérabilité zero‑day dans le logiciel de la plateforme éducative — une faille inconnue du fabricant et des autorités au moment des faits. L’assaillant a maintenu un accès persistant et indétecté pendant près de dix mois. Le serveur compromis était installé au siège du ministère des Affaires étrangères et, selon les autorités, avait été exclu des contrôles de sécurité réguliers, ce qui a contribué à la longue durée d’intrusion. Les morgues techniques publiées n’indiquent aucun outil, malware ou infrastructure spécifique publiquement identifiable, et il n’existe actuellement aucun indice de mouvement latéral vers d’autres réseaux ministériels sensibles.
Risques et conséquences pour le personnel diplomatique
Même si les données exposées n’incluent pas d’identifiants gouvernementaux sensibles, l’accès aux noms, courriels, fonctions et rattachements augmente le risque de campagnes ciblées : hameçonnage (spear‑phishing), usurpation d’identité et ingénierie sociale visant des diplomates ou leurs contacts. Les autorités ont souligné que le serveur était isolé du réseau interne du ministère, du système des passeports et d’autres infrastructures sensibles, et qu’il n’y a pas de preuve d’accès à ces systèmes à ce stade.
Découverte, enquête et transparence
La compromission a été détectée début février 2026 par le service national de renseignement, qui a alerté le ministère des Affaires étrangères. Le ministère a alors mis hors ligne la plateforme et lancé une enquête conjointe. La divulgation publique a eu lieu les 21–22 juillet 2026, après une période d’analyse et de coordination internes. À la date de la publication du rapport, aucun indicateur technique public ni attribution à un acteur particulier n’avaient été rendus publics ; toutes les pistes, y compris l’hypothèse d’un acteur étatique, restent examinées.
Cartographie tactique et limites de l’analyse
Les éléments disponibles s’alignent avec des techniques classées dans le MITRE ATT&CK, notamment l’exploitation d’une application exposée publiquement pour l’accès initial (T1190) et la collecte depuis des répertoires d’information (T1213). L’exfiltration exacte n’est pas confirmée publiquement et l’absence d’informations sur des outils ou infrastructures empêche une attribution fiable. Les autorités rapportent l’usage d’un zero‑day et un profil d’attaque cohérent avec de l’activité APT, sans preuve directe la reliant à un groupe connu.
Mesures prises et recommandations
Parmi les actions engagées ou préconisées figurent : mise hors ligne immédiate et isolation du système compromis ; déploiement de correctifs fournis par l’éditeur pour combler la faille zero‑day ; enquête forensique approfondie et revue des journaux pour déterminer la portée exacte ; notification et accompagnement des personnes potentiellement affectées avec consignes pour surveiller les communications suspectes ; renforcement des audits
