La comunidad diplomática de Corea del Sur ha sufrido un grave incidente de seguridad. Un grupo de hackers vulneró el sistema de educación en línea de la Academia Diplomática Nacional de Corea, logrando acceder a datos personales de miles de diplomáticos, tanto actuales como antiguos, así como de personal del Ministerio de Asuntos Exteriores y empleados en el extranjero. El ataque se llevó a cabo de manera silenciosa durante varios meses.

La comunidad diplomática de Corea del Sur se enfrenta a un grave incidente de seguridad después de que unos hackers vulneraran el sistema de educación en línea de la Academia Diplomática Nacional de Corea y accedieran a datos del personal del Ministerio de Asuntos Exteriores y del personal en el extranjero.

El ataque se desarrolló silenciosamente durante muchos meses, dando tiempo a los intrusos para recopilar información personal de miles de diplomáticos actuales y antiguos de todo el mundo.

La escala de la exposición ha despertado preocupación sobre cómo podrían utilizarse estos datos para atacar a personas concretas, lanzar ataques posteriores o apoyar operaciones de espionaje.

La brecha comenzó con un atacante no identificado que explotó una vulnerabilidad de seguridad en la plataforma de educación en línea de la Academia, que opera bajo el Ministerio de Asuntos Exteriores de Corea del Sur.

Según avisos oficiales y medios locales, se cree que los atacantes tuvieron acceso entre abril de 2025 y febrero de 2026, un periodo de aproximadamente diez meses antes de que se descubriera la vulneración.

En ese tiempo, el sistema almacenó alrededor de diez mil registros, incluyendo información sobre personal jubilado del ministerio de exteriores y funcionarios destinados en misiones en el extranjero.

Los analistas de la Oficina de Seguridad de la Información Diplomática señalaron que la brecha afectó al sistema de educación en línea utilizado para formar al personal diplomático, lo que lo convierte en un objetivo particularmente sensible.

Aunque la técnica del ataque aún no se ha revelado por completo, los funcionarios confirmaron que se abusó de una vulnerabilidad del lado del servidor para obtener acceso persistente a la plataforma y exfiltrar la información almacenada de los usuarios.

La Oficina de Seguridad de la Información Diplomática señaló en un informe que el incidente resalta cómo los sistemas de formación y administrativos pueden convertirse en puntos de entrada de alto valor para atacantes avanzados cuando se pasan por alto los controles de seguridad básicos.

Hasta ahora, los datos confirmados como expuestos incluyen IDs de usuario, nombres, direcciones de correo electrónico, contraseñas cifradas y detalles como cargos laborales y departamentos afiliados de las personas registradas en el programa de educación en línea de la Academia.

Las autoridades han subrayado que los números de identificación nacional únicos, los números de teléfono móvil, las direcciones particulares, las fotos y otra información personal altamente sensible no formaron parte de la filtración, lo que reduce ligeramente el riesgo de robo de identidad directo.

Aun así, esta combinación de información de contacto y cargo puede ser suficiente para permitir un spear phishing creíble, ataques de contraseñas e ingeniería social dirigida contra diplomáticos y su personal de apoyo.

La exposición de los datos del personal del Ministerio de Asuntos Exteriores tiene implicaciones significativas para las operaciones diplomáticas de Corea del Sur y sus socios.

Los nombres, afiliaciones y correos electrónicos de miles de diplomáticos y funcionarios proporcionan a los atacantes un directorio ya preparado para futuras campañas, desde el robo de credenciales hasta intentos de infiltrarse en discusiones políticas.

Se ha observado una actividad similar en otras campañas contra entidades diplomáticas, como los hackers rusos que atacan organizaciones diplomáticas en Europa, América y Asia, lo que demuestra cómo estos conjuntos de datos pueden alimentar operaciones de inteligencia más amplias.

Vulneran la Academia Diplomática de Corea del Sur y exponen datos del personal

Aunque las autoridades surcoreanas aún no han atribuido el ataque, han declarado que todas las posibilidades están sobre la mesa, incluidos grupos respaldados por Estados y la posible implicación de Corea del Norte.

Informes anteriores sobre hackers norcoreanos que abusan de servicios basados en la nube para desplegar malware sugieren que actores con abundantes recursos en la región están sondeando activamente las redes gubernamentales y diplomáticas en busca de debilidades.

En este caso, el enfoque en una plataforma educativa encaja con un patrón visto en otras operaciones, como los ataques del grupo APT Turla a un Ministerio de Asuntos Exteriores europeo, donde primero se atacan los sistemas periféricos para ganar una posición inicial.

En respuesta, el Ministerio de Asuntos Exteriores ha cerrado completamente el sistema de educación en línea afectado y ha implementado medidas adicionales para reforzar los controles de seguridad de la plataforma.

Los funcionarios afirman que están trabajando con las autoridades pertinentes para investigar el incidente, evaluar si se expuso alguna información de seguridad nacional y determinar si el sistema puede restablecerse de forma segura y cuándo.

El ministerio también ha empezado a notificar a las personas afectadas, un paso importante para ayudar al personal a reconocer amenazas potenciales, como correos electrónicos sospechosos o alertas relacionadas con contraseñas.

La Oficina de Seguridad de la Información Diplomática ha instado a los empleados actuales y antiguos a ser especialmente cautelosos al recibir correos de remitentes desconocidos y a informar de cualquier mensaje sospechoso relacionado con el incidente.

Como parte de la respuesta, el aviso indica al personal que pueden buscar ayuda en el Comité de Mediación de Disputas de Información Personal a través de kopico.go.kr si creen que sus datos han sido utilizados indebidamente.

Para los lectores interesados en tendencias más amplias sobre el objetivo de Estados-nación contra entidades diplomáticas, la cobertura reciente de la brecha de datos de los hackers norcoreanos Kimsuky y los ataques de hackers rusos a organizaciones diplomáticas ayuda a situar este incidente en un panorama de amenazas más amplio.

Más allá de los canales oficiales, los expertos recomiendan que los usuarios afectados cambien las contraseñas vinculadas a las cuentas comprometidas, activen la autenticación multifactor siempre que sea posible y se mantengan alerta ante intentos de spear phishing que hagan referencia a cursos de formación, destinos diplomáticos o programas internos.

Incidentes como los de los hackers de Turla que explotan fallos de SharePoint para acceder a redes gubernamentales muestran cómo los atacantes suelen encadenar credenciales robadas y debilidades del sistema para escalar el acceso.

La brecha de Corea del Sur puede servir de recordatorio para que otros ministerios de exteriores revisen la seguridad de sus sistemas auxiliares, desde portales de aprendizaje en línea hasta plataformas de intercambio de documentos, antes de que los adversarios los conviertan en peldaños para una intrusión más profunda.

El sistema de educación en línea comprometido de la Academia Diplomática Nacional de Corea estuvo en el centro de este incidente, actuando como recurso de formación y repositorio de datos personales de miles de usuarios.

Al explotar un servidor vulnerable y mantener el acceso durante muchos meses, los atacantes pudieron recolectar silenciosamente identificadores de usuario y datos de comunicaciones que ahora pueden ser reutilizados para ataques dirigidos contra diplomáticos surcoreanos y sus redes.

La brecha es similar en impacto a otras operaciones recientes donde ministerios de exteriores y academias diplomáticas han sido seleccionados, incluidos los ataques del grupo APT Turla al Ministerio de Asuntos Exteriores europeo y campañas en las que hackers norcoreanos abusan de servicios en la nube para desplegar malware.

En cada caso, los atacantes se centran en sistemas que recopilan datos centralizados sobre funcionarios, estudiantes o personal político, sabiendo que una sola vulneración puede revelar un panorama amplio de quién hace qué y dónde están destinados.

Este contexto convierte el incidente surcoreano no solo en un problema doméstico de privacidad de datos, sino en un asunto de seguridad diplomática internacional.

Recomendaciones y respuesta en curso

El Ministerio de Asuntos Exteriores ha tomado medidas para contener la brecha bloqueando el acceso a la plataforma de educación en línea afectada y comenzando un proceso de notificación gradual para los usuarios impactados.

Se ha aconsejado al personal que vigile atentamente los correos electrónicos sospechosos, que contacte con la Oficina de Seguridad de la Información Diplomática si nota algo inusual y que utilice el apoyo externo, como el Comité de Mediación de Disputas de Información Personal, si sospecha un uso indebido de sus datos.

Estos pasos reflejan las directrices vistas en otros incidentes, como el uso de invitaciones a foros académicos por parte de hackers norcoreanos, donde la detección rápida y la concienciación del usuario ayudan a reducir las consecuencias del robo de credenciales y el phishing.

A largo plazo, se espera que las autoridades realicen un análisis técnico detallado para identificar la vulnerabilidad que permitió la intrusión, confirmar si se desplegó algún malware más allá del servidor comprometido y determinar si los atacantes siguen presentes en otras partes de la infraestructura del ministerio.

Las lecciones de las investigaciones sobre casos como el exploit de SharePoint de Turla sugieren que revisar los controles de acceso, parchear los sistemas expuestos y segmentar las plataformas sensibles es vital para prevenir brechas similares en el futuro.

A medida que se haga pública más información, los ministerios de exteriores de todo el mundo podrían utilizar este caso como estímulo para examinar la postura de seguridad de sus propios sistemas de apoyo y formación, en lugar de centrarse únicamente en las redes diplomáticas principales.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
URL	https://www.mofa.go.kr/www/brd/m_4075/view.do?seq=369430	Aviso oficial del Ministerio de Asuntos Exteriores describiendo la filtración de datos de la academia diplomática.
URL	https://kopico.go.kr	Sitio del Comité de Mediación de Disputas de Información Personal referenciado para consultas sobre uso indebido de datos.
Teléfono	02-2100-7189	Número de contacto de la Oficina de Seguridad de la Información Diplomática para reportar incidentes relacionados.

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-breach-south-koreas-diplomatic-academy/