Sogang confirma brute-force: 180 mil contas vazadas via portal SAINT

O ataque à Sogang é um incidente confirmado pela própria vítima — raro no ambiente de divulgação universitária sul-coreana, onde muitas instituições resistem à transparência. A universidade publicou aviso assinado, notificou dois reguladores e disponibilizou ferramenta de consulta individual no SAINT, o que eleva a credibilidade da narrativa oficial. O número de 180 mil registros parte da própria Sogang, não de qualquer ator de ameaça externo.

O vetor técnico declarado é força bruta via IP estrangeiro não autorizado, com acesso ao banco de dados do portal integrado SAINT. A universidade demorou três dias para detectar a atividade — da ocorrência em 11/08 à contenção em 14/08 — o que aponta para ausência de alertas em tempo real sobre tentativas anômalas de autenticação. A university não esclareceu publicamente se houve MFA ativo, rate-limiting ou CAPTCHA no portal.

Os tipos de dado confirmados incluem: número de matrícula/funcional, nome, departamento, e-mail, celular e senha criptografada do portal integrado. A universidade declarou expressamente que números de registro civil (주민등록번호) e informações sensíveis NÃO foram comprometidos — distinção legal relevante, pois o RRN (Resident Registration Number) sul-coreano é o equivalente ao CPF com proteção reforçada sob a PIPA. A ausência de RRN reduz o risco de fraude de identidade de alto impacto, mas não elimina o risco de phishing/smishing direcionado com os dados obtidos.

A questão mais crítica não respondida é o algoritmo de hashing das senhas. A universidade afirma que estavam criptografadas, mas não divulgou o esquema. Se o hash for reversível ou fraco sem salt adequado, o risco de credential stuffing em outros serviços (Google, Naver, Kakao) usados pelos 180 mil afetados é substancial. A recomendação da própria Sogang de trocar senhas em outros serviços que usem as mesmas credenciais sugere que a universidade tem ciência desse vetor secundário.

O detalhe da ex-presidente Park Geun-hye entre os afetados tem valor político e midiático, mas não altera a análise técnica. Sua inclusão no banco do SAINT é esperada: a universidade confirmou que o sistema retém dados de ex-alunos de décadas anteriores — o que levanta a pergunta de governança de retenção: por que credenciais de ex-alunos desde os anos 1970 permanecem ativas e acessíveis no mesmo portal de acesso que estudantes ativos?

O contexto setorial é relevante: este é o quarto caso público de vazamento em universidade sul-coreana desde 2024 (Ewha, Jeonbuk, Daejin, agora Sogang). A PIPC já multou Ewha e Jeonbuk em valores equivalentes a centenas de milhares de dólares. Com notificação formal já registrada, a probabilidade de investigação formal e eventual sanção à Sogang é concreta. Até o momento da publicação, nenhuma atribuição a grupo específico foi feita por qualquer fonte.

Aproximadamente 180 mil pessoas — estudantes ativos, ex-alunos e funcionários da Universidade Sogang — tiveram nome, número de matrícula/funcional, departamento, e-mail, celular e senha criptografada do portal SAINT expostos. Números de registro civil não foram afetados. O risco imediato e concreto é de phishing e smishing direcionados usando os dados de contato vazados, além de credential stuffing nos casos em que as senhas do SAINT são reutilizadas em outros serviços. A universidade notificou a PIPC e o Ministério da Educação, abrindo caminho para investigação regulatória com potencial de multa administrativa sob a Lei de Proteção de Informações Pessoais (PIPA).