韓国国立外交院へ不正アクセス、ほぼ全外交官の個人情報が漏洩-秘匿要員の身元特定リスクに当局が緊張|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

大韓民国の外交官養成機関「国立外交院」のオンライン教育システムが、2025年4月から5月ごろにかけてゼロデイ脆弱性を突いた不正アクセスを受け、翌2026年2月まで約10か月にわたって攻撃者に制御されていたことが明らかになりました。韓国外交部は2026年7月20日夜に被害の公表と対象者への個別告知を行い、翌21日に外交部報道官が公式会見を開いています。流出した可能性のある情報は最大約1万件のアカウントデータで、現職・元外交官の氏名・所属部署・役職・メールアドレスに加え、国防部や国家情報院(NIS)から在外公館に派遣された職員のデータも含まれるとみられます。外交部の全職員数が約2,500人であることを考慮すれば、本省職員のほぼ全員と在外公館スタッフを網羅する規模です。韓国当局は、高度なゼロデイ悪用と10か月間の潜伏という手口から、国家が背後にあるハッキング組織の関与を疑っており、北朝鮮や中国のサイバー工作機関による犯行の可能性も排除されていません。

サマリー

韓国国立外交院のオンライン教育システムが2025年4月から5月ごろにゼロデイ脆弱性を悪用した不正アクセスを受け、2026年2月まで約10か月にわたって攻撃者に掌握されていました
外交部自体はハッキングを検知できず、2026年2月に国家情報院(NIS)から異常アクセスの通報を受けて初めて把握し、システムを即時遮断しました
流出した可能性のあるデータは最大約1万件で、氏名・ユーザーID・メールアドレス・暗号化パスワード・所属部署・役職が含まれます。住民登録番号・携帯電話番号・自宅住所・顔写真・公務員証番号はサーバーに保管されていなかったため流出を免れています
一部メディアは、現職・元外交官および他省庁からの派遣職員など少なくとも約6,000人分の具体的なデータが流出したと報じています
最も深刻なリスクは、外交官の肩書で在外公館に勤務する国家情報院(NIS)要員や軍防衛駐在官といった「秘匿要員」の身元が、漏洩データの照合・分析によって特定される可能性です
外交部は発覚から公表まで約5か月を要しており、民間企業には厳格な告知義務を課しながら政府機関が情報開示を遅らせたことへの批判が高まっています
韓国当局は、ゼロデイ悪用と長期潜伏という高度な手口から、国家支援型ハッキング組織の関与を疑っており、北朝鮮や中国の関与の可能性について調査を進めています

1 整理表
2 何が起きたか-10か月間気づかれなかったゼロデイ侵入
3 流出データの内容と免れた情報
4 秘匿要員の身元特定リスク-最も深刻な安全保障上の懸念
5 二次攻撃リスク-スピアフィッシングと横展開
6 帰属分析-北朝鮮・中国の国家支援型組織の関与を疑う
7 「5か月間の沈黙」と韓国の個人情報保護法の二重基準
8 日本との接点-日韓外交・同盟ネットワークへの潜在的波及
9 教訓-政府機関のシステム管理に求められること
10 出典

整理表

項目	内容
攻撃を受けた組織	韓国外交部傘下国立外交院(Korea National Diplomatic Academy)
攻撃対象システム	オンライン教育システム(2022年に構築・稼働)
侵入の時期	2025年4月〜5月ごろ(ゼロデイ脆弱性を悪用)
不正アクセスが継続した期間	約10か月(2026年2月まで)
検知の経緯	外交部自体は検知できず、2026年2月にNISからの通報で把握
公表日	2026年7月20日(被害者告知・Web公表)、7月21日(報道官会見)
発覚から公表までの期間	約5か月
最大の流出規模(登録アカウント数)	約1万件
一部メディアが報じる流出規模	少なくとも約6,000人分の具体的データ
流出した可能性のある情報	氏名、ユーザーID、メールアドレス、暗号化パスワード、所属部署・役職
流出を免れた情報	住民登録番号、携帯電話番号、自宅住所、顔写真、公務員証番号
攻撃者の帰属	調査中、北朝鮮・中国の国家支援型組織の関与を疑う
機密ネットワークへの影響	教育システムは内部機密網・パスポート管理等から論理的に分離、直接侵入は未確認

何が起きたか-10か月間気づかれなかったゼロデイ侵入

国立外交院のオンライン教育システムは、新型コロナウイルス感染症の拡大に伴う非対面研修の需要急増を受け、2022年に急遽構築・稼働されました。韓国外交部の発表および外交部報道官の7月21日の公式会見によれば、2025年4月から5月ごろ、外部の攻撃者がこのシステムのゼロデイ脆弱性を悪用してサーバーへの侵入に成功し、制御権を掌握しました。その後、2026年2月まで約10か月にわたって、攻撃者はシステムに随時かつ頻繁にアクセスを繰り返していました。

皮肉なことに、このサーバーは外交部本省内に物理的に設置されていました。それにもかかわらず、外交部自体はハッキングを検知できず、2026年2月に外部の関係機関である国家情報院(NIS)から異常アクセスの通報を受けて初めて事態を把握しています。通報を受けた外交部は即座にシステムをオフライン化し、外部接続を全面停止しました。

この検知の失敗には、運用上の盲点が重なっていたことが明らかになっています。まず、ゼロデイ脆弱性であったため侵入当時は対応するパッチが存在せず、通常のシグネチャベースの検知システムでは捉えることが困難でした。しかしそれ以上に問題なのが、このサーバーが日頃の定期セキュリティ点検の対象から除外されていたことです。加えて、すでに退職した外交官や任務を終えて他省庁に戻った元派遣職員のアカウントと個人情報が、長期にわたりシステム内に残存したまま消去されていなかったことも判明しており、データの最小化と不要データの即時削除というセキュリティ管理の基本原則が守られていなかった事実が露呈しました。

流出データの内容と免れた情報

外交部によれば、今回攻撃を受けたオンライン教育システムには約1万件の受講者データが保管されていました。対象者の内訳は、本省職員だけでなく、世界各国の在外公館に勤務する外交官および行政スタッフ、他省庁から在外公館や本省へ派遣された公務員、さらには退職者にまでおよんでいます。

流出した可能性のあるデータは、氏名、ユーザーID、電子メールアドレス、暗号化されたパスワード、所属部署および役職です。一方、住民登録番号、携帯電話番号、自宅住所、顔写真、公務員証番号については、このシステムのサーバーには保管されていなかったため、流出を免れたとされています。外交部は、1万件という数字はシステムに登録されていたアカウントの最大数であり、重複登録の可能性もあるため実際の被害規模は精査中だとしています。一部メディアは、現職・元外交官および他省庁からの派遣職員など少なくとも約6,000人分の具体的なデータが流出したと報じています。

外交部の全職員数が約2,500人であることを踏まえると、最大1万件というデータには本省職員のほぼ全員に加え、在外公館に勤務する外交官・スタッフ、他省庁からの派遣者、退職者まで網羅する規模であることが示唆されます。

秘匿要員の身元特定リスク-最も深刻な安全保障上の懸念

今回の事案で韓国当局が最も深刻視しているリスクが、在外公館に派遣されている秘匿要員の身元が攻撃者によって特定される可能性です。

韓国の在外公館には、外交部所属の通常の外交官に加え、国防部から派遣された防衛駐在官(軍人)や、国家情報院(NIS)に所属するインテリジェンス要員が、外交官の肩書(一等書記官や参事官など)を模して勤務しています。こうした要員の詳細なリストや配置状況は、本来、国家の最重要機密として厳重に保護されるものです。

しかし、今回の流出データには他省庁から在外公館に派遣された公務員の氏名・役職・派遣元省庁の情報が含まれていました。攻撃者がこれらのデータを分析・照合した場合、本来秘匿されるべき情報要員や軍関係者の実名と配置先が高精度で割り出されるリスクがあります。活動国において身元が特定された要員は、監視対象となるだけでなく、追放処分(ペルソナ・ノン・グラータ)や情報源の喪失、さらには物理的な安全への脅威に直面しかねません。複数の国で同時多発的にこうした問題が起きれば、韓国の国外情報収集ネットワーク全体に壊滅的な打撃を与える恐れがあります。

二次攻撃リスク-スピアフィッシングと横展開

今回の事案が純粋なデータ窃取にとどまらない点として、二次的な攻撃への悪用可能性も指摘されています。

流出した電子メールアドレスと正確な所属・役職情報は、高度なスピアフィッシング(標的型フィッシング)の材料として極めて有用です。攻撃者は、実在する上司や同僚、あるいは提携先を巧妙に装ったフィッシングメールを、標的の外交官に送付することが可能になります。今回のオンライン教育システムは内部の機密ネットワークから論理的に分離されていましたが、日常業務を使用する外交官の端末がスピアフィッシングでマルウェアに感染した場合、そこを踏み台として外交部の核心的な内部機密システムへの横展開(ラテラルムーブメント)が試みられるリスクは排除できません。また、暗号化されているとはいえ流出したパスワードが解読された場合、他のシステムでも同じパスワードを使い回している職員がいれば、さらなる不正アクセスの連鎖を招く可能性もあります。当サイトで既報のGTIGレポートで示されたUNC2970(北朝鮮)によるリクルーターを装ったスピアフィッシング手口など、こうした手口は朝鮮半島周辺の脅威アクターが実際に用いてきたものです。

帰属分析-北朝鮮・中国の国家支援型組織の関与を疑う

韓国の安保当局および外交部報道官は、ゼロデイ脆弱性の巧妙な悪用と10か月に及ぶ長期潜伏という高度な手口から、国家が背後にあるハッキング組織の関与を疑っていると明言しています。特に、長年にわたり韓国政府機関や外交網を執拗に狙ってきた北朝鮮や中国のサイバー工作機関の関与の可能性が排除されていません。

国家情報院の過去の統計によれば、韓国の公共部門を標的としたサイバー攻撃の約80%が北朝鮮に関連しているとされています。朝鮮半島を取り巻く地政学的緊張が高まる中、当サイトで既報のラザルスグループや北朝鮮がAIをサイバー攻撃に悪用している実態と照らし合わせると、北朝鮮のAPTアクターが韓国の外交・安保担当者の網羅的な連絡先情報と組織図を手にすることは、政策決定プロセスの盗聴や世論工作、外交交渉の妨害を進めるうえで極めて高い戦略的価値を持つ情報収集活動にあたります。本稿執筆時点で外交部は帰属先を特定していませんが、Strait Times等の国際メディアも北朝鮮との関連について報じています。

「5か月間の沈黙」と韓国の個人情報保護法の二重基準

今回のインシデントは、韓国における政府機関のデータ管理と情報開示をめぐる制度的な矛盾を鮮明に浮き彫りにしています。

韓国の個人情報保護委員会(PIPC)は民間部門に対して厳格な姿勢を貫いており、2026年6月には電子商取引大手Coupangに対して約6,247億ウォン(約4億900万ドル)という過去最高額の制裁金を科したばかりでした。一方で、外交部は2026年2月に発覚したハッキングを、7月20日まで約5か月にわたって公表しませんでした。外交部は、事案の機微性と技術的検証の必要性を理由に挙げていますが、民間企業には迅速な告知義務を課しながら政府機関が情報開示を遅らせたことへの強い批判が起きています。さらに、2026年9月からは改正個人情報保護法の施行が予定されており、売上高の最大10%の制裁金と経営トップへの直接的な法的責任が明記されます。民間への厳格な法適用が進む一方で、政府機関自身がセキュリティの基本(定期監査対象からのサーバー除外、退職者アカウントの長期放置)を疎かにしていたという矛盾は、国のサイバーレジリエンスへの信頼を揺るがすものとなっています。

日本との接点-日韓外交・同盟ネットワークへの潜在的波及

今回の事案は韓国の話題ですが、日本の安全保障・外交の観点からも無関係ではありません。韓国は日米安全保障体制の重要な連携国であり、東アジア地域における情報共有の枠組みに参加しています。韓国外交ネットワークの人的構成が敵対的アクターの手に渡ることは、韓国側だけでなく、韓国と連携している日本の外交・防衛関係者についての間接的な情報収集にも活用される可能性があります。当サイトで既報の中露の認知戦や沖ノ鳥島EEZ内の中露合同実弾訓練でも示されたとおり、東アジアの安全保障環境においてサイバー攻撃と地政学的圧力は表裏一体のものとして展開されており、韓国を標的にした情報窃取がより広いインテリジェンス活動の一環である可能性にも目を向けておく必要があります。

教訓-政府機関のシステム管理に求められること

今回の事案は、政府機関のシステム管理において普遍的な教訓を含んでいます。

定期セキュリティ検査の対象から除外されたサーバーの存在、退職者・元派遣職員のアカウントの長期残存という問題は、いずれも技術的な問題ではなく、運用・ガバナンスの問題です。機密性の高いネットワークから論理的に分離されているという理由でセキュリティ監査から除外されたシステムが、長期にわたる潜伏型攻撃の踏み台になり得ることは、今回の事案が改めて示したといえます。韓国政府は現在、全省庁が単独で運用するすべてのサーバーや独自教育システムを対象とした包括的なセキュリティ総点検を指示しており、常時脅威ハンティングの導入、不要な個人情報の即時廃棄、アクセス権限管理(IAM)の刷新を柱とした再発防止策の検討を進めています。