Passaportes da comitiva presidencial coreana ficaram 5 meses expostos
Presidência da Coreia do Sul (comitiva presidencial)
claimed on · assessed on
A exposição é real e o governo coreano a admite. Uma planilha com passaportes e datas de nascimento de 168 pessoas da comitiva do presidente Lee Jae Myung ficou cerca de cinco meses numa plataforma pública de análise de malware. Não há ator ou invasão: o Ministério das Relações Exteriores trata como vazamento interno, e quem enviou o arquivo, como e por quê continua sem resposta pública.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
A exposição ocorreu e é admitida oficialmente. O arquivo ficou publicado de 2 de junho até o início de novembro de 2026. O Itamaraty (MOFA) reconheceu que o formato é de documento seu, notificou a autoridade de proteção de dados (PIPC), pediu investigação à polícia e começou a reemitir passaportes. O que desmentiria isto: um comunicado do MOFA ou da PIPC dizendo que o arquivo não é autêntico.
Não há indício público de invasão. A avaliação oficial, ainda preliminar, é de manuseio indevido interno do documento («pesa mais para vazamento do que para hacking», nas palavras do porta-voz). O arquivo ter sido enviado por alguém com acesso é plausível, mas o MOFA não excluiu envio automático por ferramenta de segurança nem passagem por terceiros. Seria desmentido por logs mostrando acesso não autorizado a um sistema do governo.
Não se sabe se o arquivo foi baixado ou usado. O MOFA diz que não identificou difusão adicional, mas a polícia só havia pedido os registros de download à plataforma quando saíram as reportagens, e nenhum resultado foi divulgado. Por cinco meses, quem tinha acesso pago à plataforma pôde baixar o arquivo. Para planejamento de risco, convém assumir que ele foi lido por terceiros. Os registros de download da plataforma resolveriam a questão.
A versão de que o governo ignorou o caso por cinco meses não está provada, e a versão contrária também não. O Cheong Wa Dae disse ter agido após «ciência prévia», sem informar a data. Relatos indicam que a KBS pediu ao administrador do site a remoção do arquivo e avisou o Palácio antes de publicar. O MOFA diz ter pedido investigação assim que confirmou o vazamento. Uma data de ciência verificável nos registros do MOFA ou da polícia fecharia a questão.
A reemissão de passaportes resolve o risco documental, mas não a parte mais difícil de reparar. A lista traz a identidade de seguranças próximos, médicos, estilistas e do degustador de alimentos do presidente, cuja identidade em geral não é pública. Esse dado de composição da equipe de proteção não se anula com um novo passaporte. Esta é uma inferência analítica, não uma constatação oficial.
Nosso registro estava desatualizado. O selo «claimed» e o veredito «unverified» não se sustentam: o próprio governo confirmou o fato. Também não existe alegação de ator, pois a notícia veio de reportagem da KBS. O correto é «confirmed» e «real», sem ator e sem registros verificados oficialmente.
Analysis
O caso não é cibercrime comum. Não há grupo, extorsão nem alegação de ator. É exposição sem ator: um arquivo sensível chegou a uma plataforma pública de análise de arquivos e lá ficou. A pergunta útil é qual controle falhou, e a resposta pública é que não se sabe. Todas as fontes convergem em cima de uma só origem primária, a reportagem da KBS de 2 de novembro, que a imprensa depois repetiu (Yonhap, Kyunghyang, Herald, DataBreaches.net e outros). O que dá peso ao caso é a confirmação posterior pelo MOFA, pela PIPC e pela polícia.
O que a KBS descreveu e o governo não contestou: a planilha, intitulada «lista de passageiros do Air Force One (total de 168)» ou «lista de passageiros (Coreia-Bélgica)», conforme o veículo, traz nomes em coreano e inglês, afiliação, cargo, data de nascimento, número do passaporte e datas de emissão e validade. Estão nela o presidente, a primeira-dama, ministros, o assessor de segurança nacional, funcionários do Palácio e do MOFA, seguranças, equipe médica, equipe de imagem, o degustador e jornalistas. O número 168 vem do título do arquivo. Nenhuma fonte que li traz o MOFA ou a PIPC afirmando esse total com suas próprias palavras. Por isso o campo de registros verificados fica vazio, embora o governo esteja reemitindo passaportes para todos os afetados.
O que o governo afirma: o porta-voz do MOFA disse que o ministério pediu investigação à polícia assim que confirmou o vazamento e que removeu o arquivo do site. Disse ainda que investiga computadores e e-mails ligados à viagem de junho, que verifica outros vazamentos e que trata o caso como vazamento, não como hacking. Um funcionário do MOFA afirmou que o formato é o de documento do ministério, embora não seja documento oficial. A fala de que o arquivo teria circulado durante a preparação da viagem foi dada como suposição, não como achado. O Cheong Wa Dae disse que a lista não saiu de lá, o que desloca o foco para o MOFA ou as embaixadas.
A versão da SBS, baseada em fontes anônimas, é que o arquivo foi feito pelo protocolo do MOFA em 1º de junho, seguiu pela rede interna até a embaixada junto à UE e daí, pela internet, ao ministério belga, e foi publicado em 2 de junho. O governo estaria investigando justamente esse trajeto. Outro veículo, de credibilidade menor, informa que o MOFA guarda esses arquivos numa rede interna separada da internet, mas que copiar o arquivo por USB não tem controle físico adicional e que os computadores com internet alcançam a plataforma. A JoongAng Daily registra que a investigação considera duas hipóteses, erro interno ou varredura automática de segurança. Inferência minha, sem fonte: se o arquivo passou por e-mail ou por um produto que envia amostras a serviços externos, quem enviou pode não ter tido intenção. É hipótese, não achado.
O ponto em que as versões divergem é a ciência. Uma parte da imprensa, entre elas Pressian e Segye, diz que o governo ignorou o arquivo por cinco meses. O Palácio diz que agiu depois de saber, sem data. Relatos indicam que a KBS avisou o administrador do site e o Palácio antes de divulgar. O Segye nota que o MOFA não explicou quando soube nem por que caminho. O período de cinco meses de exposição é consistente nas fontes (2 de junho até 2–3 de novembro). A data em que o governo soube não é verificável hoje.
O benefício político da narrativa é visível. A oposição (Partido do Poder Popular) chamou o caso de «desastre de segurança» e pediu que a apuração não fique restrita ao Palácio. A classificação de «vazamento e não hacking» reduz a imagem de intrusão, mas admite falha interna. O presidente havia pedido, em setembro, punições mais duras para quem negligencia dados pessoais, o que agrava o desgaste. Nada disso altera os fatos técnicos.
Correção ao nosso registro: a entrada previa selo «claimed», veredito «unverified» e nenhuma análise. Os fatos centrais são confirmados pelo governo, então o selo passa a «confirmed» e o veredito a «real». A data de divulgação também precisa de ajuste: a primeira notícia é de 2 de novembro, e o dia 3 é o da resposta oficial. O título original, que era manchete de notícia, foi substituído pelo nome da vítima. Nosso registro também confundia «registros» com pessoas: são 168 pessoas, num único arquivo.
Timeline
- 01 Jun 2026Segundo a SBS, citando fontes do governo, o arquivo foi produzido pelo protocolo do MOFA e seguiu pela rede interna até a embaixada coreana junto à UE e, pela internet, ao ministério das Relações Exteriores da Bélgica. É a versão da apuração do governo, não um fato confirmado.
- 02 Jun 2026O arquivo é publicado na plataforma de análise de malware, um dia depois do suposto envio à Bélgica (SBS) e uma semana antes da partida do presidente.
- 09 Jun 2026Lee Jae Myung parte de Seongnam para uma viagem de 10 dias a Bélgica, Itália e França, incluindo a cúpula do G7.
- 02 Nov 2026A KBS revela a exposição. O Cheong Wa Dae diz ter agido após ciência prévia, sem informar a data.
- 03 Nov 2026O chefe de gabinete Lim Kwang-hyun preside reunião de emergência. O MOFA faz briefing, informa o caso à PIPC por volta das 10h e inicia a reemissão de passaportes. A Polícia Nacional converte a apuração preliminar em investigação formal, pelo setor de crimes cibernéticos.
Data involved
Impact
168 pessoas tiveram identificação e dados de passaporte expostos: o presidente, a primeira-dama, ministros, assessores, seguranças, equipe médica e de apoio e jornalistas. A resposta anunciada é a reemissão de passaportes para todos, incluindo o presidente e a primeira-dama. A exposição durou cerca de cinco meses, em parte durante uma viagem internacional. Não há confirmação de uso indevido nem de difusão adicional, mas também não há prova de que o arquivo não foi lido. O maior efeito prático recai sobre quem exerce função de proteção: a composição da equipe fica conhecida.
Recommendations
- Trate todo arquivo enviado a um serviço público de análise de malware como publicado. Bloqueie no proxy e no egress o envio de documentos com dados pessoais ou classificados a esses serviços. Use análise privada ou local para amostras internas.
- Audite gateways de e-mail, antivírus e sandboxes quanto à opção de enviar amostras a terceiros ou compartilhar relatórios publicamente. Desative onde houver risco.
- Aplique DLP em planilhas e PDFs com padrão de número de passaporte e data de nascimento, e controle mídia removível nos postos que lidam com manifestos de viagem.
- Cifre manifestos por destinatário e registre acessos. Minimize os campos enviados ao país anfitrião e envie os dados sensíveis o mais perto possível da data da viagem.
- Procure periodicamente nas plataformas públicas de análise por nomes de arquivo, hashes e marcadores de documentos internos, para detectar publicação indevida antes de terceiros.
- Para as pessoas expostas: reemita documentos, monitore uso indevido do número do passaporte e reveja procedimentos operacionais da equipe de proteção cuja identidade foi exposta.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Quem enviou o arquivo à plataforma e se foi ato humano, envio automático ou terceiro. Resolveria: resultado da perícia nos computadores e e-mails do MOFA e dos postos no exterior, e dos logs da plataforma.
Se o arquivo foi baixado e por quem. Resolveria: registros de download fornecidos pela plataforma à polícia, hoje apenas solicitados.
Quando o governo soube de fato. Resolveria: data nos registros do MOFA e do Palácio, hoje não informada.
Se há outros arquivos semelhantes, para os trechos Itália e França ou outras viagens. Resolveria: revisão do MOFA de todos os manifestos enviados a governos anfitriões.
Se o 168 é a contagem oficial de afetados. Resolveria: comunicado da PIPC ou do MOFA com o total.
Se o caminho pela Bélgica (versão SBS) se confirma. Resolveria: confirmação oficial ou resultado da investigação.
Se haverá sanção administrativa. Resolveria: conclusão da apuração da PIPC.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.