韓国外務省は2026年7月21日、傘下の研究・教育機関である国立外交院が運営するオンライン教育システムがサイバー攻撃を受け、現職・元職の外交官らの個人情報が最大約1万件流出した可能性があると発表した。攻撃者は2025年4〜5月ごろにシステムへ侵入してから2026年2月ごろまで、およそ10カ月にわたって断続的にアクセスを続けていたとされ、その間、侵害はほとんど検知されないまま放置されていた。外交を担う組織で職員のほぼ全員分にあたる情報が長期間さらされていた可能性があり、韓国では前例のない事態として波紋が広がっている。
10カ月にわたる長期潜伏
複数の報道によると、攻撃者は国立外交院の教育プラットフォームのサーバーに侵入し、2025年4〜5月ごろから2026年2月初めごろまで随時アクセスを繰り返していた。実質的に10カ月近く内部にとどまり続けていた計算になる。長期にわたる潜伏を許した背景として、韓国外務省はソフトウェア開発元も把握していなかった「ゼロデイ脆弱性」が悪用されたとみている。海外の報道では、この未知の脆弱性に加えてセキュリティ設定の不備が重なり、ネットワークへの侵入と居座りを容易にしたとされている。
外交官の研修に用いる教育システムという性質上、現職だけでなく過去に研修を受けた元職員の情報も蓄積されていた。このため、被害の範囲が組織の「ほぼ全員」に及ぶ規模になったとみられている。
流出した恐れのある情報
流出した可能性があるのは、氏名、利用者ID、メールアドレス、暗号化されたパスワードのほか、役職や所属部署に関する情報とされる。報道によれば、影響を受けた可能性のある人数は最大で約1万件にのぼり、重複を除いた実際の対象者は約6000人との見方が示されている。そのうち一定数は現職の在外公館駐在官（アタッシェ）にあたるとも報じられている。
一方で、韓国の個人識別番号にあたる住民登録番号や携帯電話番号、自宅住所、顔写真といった、より機微な情報は今回の流出対象には含まれていないと説明されている。ただし、氏名・所属・メールアドレスといった情報だけでも、標的型のフィッシングやなりすましに悪用される余地は小さくない。
攻撃元は特定されず
韓国外務省の報道官は「他国などのハッカー組織を含めて、あらゆる可能性を排除していない」と述べ、攻撃元の断定は避けている。現地報道では、政府が北朝鮮や中国など海外の組織による関与の可能性も視野に入れて調査を進めているとされる。海外のセキュリティ専門家からは、第三者製ソフトウェアのゼロデイ脆弱性を突く手口が、これまで北朝鮮系とされる攻撃グループの戦術と共通する点が指摘されているが、いずれも現時点では未確認であり、技術的な分析が続いている。
外交機関が抱える情報管理リスクの本質
今回の事案が重く受け止められているのは、被害を受けたのが外交という国家の中枢に近い機能を担う組織であり、しかも侵害が10カ月近く見過ごされていた点にある。仮に流出情報の機微度が限定的であったとしても、外交官の氏名・所属・連絡先が体系的に外部へ渡れば、標的型攻撃やソーシャルエンジニアリングの起点として悪用されうる。
より本質的な教訓は、「研修・教育システム」のような一見周辺的に見える基盤が、実際には組織全体の人員情報を集約する重要資産になっているという点だ。基幹システムだけでなく、外部委託や周辺システムを含めた資産全体の可視化、ゼロデイを前提とした多層防御、そして侵入を早期に検知する監視体制の整備が、あらためて問われている。長期潜伏を許さないための継続的なログ監視と、脆弱性・設定不備の定期的な点検は、規模や業種を問わずすべての組織に共通する課題といえる。