Coreia do Sul expõe dados de diplomatas via zero-day por dez meses

O caso é um vazamento de dados de servidor governamental confirmado pela própria vítima, e não uma reivindicação de fórum criminoso. Isso muda a natureza da avaliação: a fonte primária é o Ministério das Relações Exteriores da Coreia do Sul (MOFA), fonte de confiabilidade A. O MOFA afirma que um atacante não identificado explorou uma vulnerabilidade zero-day no software do servidor, somada a fraquezas de configuração de segurança, para comprometer o sistema de educação online da KNDA, mantendo acesso recorrente por cerca de dez meses.

O ponto que a cobertura embaralha é o número. O que o MOFA afirma é que o sistema armazenava cerca de 10.000 registros — nomes, IDs, e-mails e vídeos de aula — incluindo funcionários aposentados, e que 10.000 é o teto máximo estimado, não o volume comprovadamente exfiltrado. A própria autoridade disse ser difícil afirmar que todos os dados foram vazados e que pode haver duplicidade de pessoas. Em paralelo, o Dong-A Ilbo, citando fontes de governo, reportou uma estimativa de ~6.000 diplomatas atuais e antigos e funcionários cedidos por outros ministérios. A distância entre 6.000 e 10.000 é justamente informação: um é estimativa de pessoas afetadas, o outro é o total de registros no sistema. Tratá-los como equivalentes infla a manchete.

Sobre a natureza do dado, há consenso de que informações sensíveis de identificação — número de registro de residente (equivalente ao CPF), telefone e endereço — não estavam armazenadas no servidor comprometido. O que estava é uma lista operacional: nomes, cargos, departamentos, IDs de acesso e e-mails. Há uma divergência que não conseguimos fechar: pelo menos uma reportagem sul-coreana (Seoul Shinmun) menciona que o servidor guardava também senhas criptografadas, enquanto os resumos em inglês e o destaque oficial não incluem senhas na lista. Registramos isso como lacuna, não como fato.

A atribuição é o campo mais frágil. O MOFA foi explícito: não há análise técnica suficiente para determinar o autor, e o governo não descarta nenhuma possibilidade, incluindo grupos de hacking estrangeiros. A imprensa e alguns analistas levantaram a hipótese de grupos ligados à Coreia do Norte — Lazarus, Kimsuky, Andariel, sob a Reconnaissance General Bureau — com base na semelhança de método (exploração de zero-day em software de terceiros). A China também foi citada como possibilidade na cobertura coreana. É crucial separar: nenhuma dessas menções é evidência forense deste incidente. A referência da Trellix a 19 campanhas de spear-phishing do Kimsuky contra embaixadas na Coreia do Sul entre março e julho de 2025 é contexto de mercado — mostra que existe demanda por exatamente esse tipo de dado —, mas os próprios pesquisadores registram que nenhuma conexão entre Kimsuky e a brecha na KNDA foi estabelecida.

Há um histórico que dá plausibilidade, sem provar nada: a KNDA já foi alvo de campanha atribuída ao Kimsuky em 2022 (um funcionário da academia recebeu spear-phishing em outubro daquele ano, segundo a polícia e o NIS), e diplomatas sul-coreanos são alvo recorrente de operações norte-coreanas há mais de uma década. Isso eleva a probabilidade a priori de envolvimento norte-coreano, mas não substitui a análise técnica que o próprio governo diz ainda não ter.

O segundo fio investigativo é a falha de detecção. A intrusão durou cerca de dez meses e não disparou nenhum alarme interno; foi outro órgão de governo que detectou o acesso anormal e avisou o MOFA. Reportagem técnica descreve a intrusão como living-off-the-land — o atacante obteve a zero-day para entrar e depois usou privilégios de acesso legítimos para persistir, o que engana defesas baseadas em assinatura. O MOFA alega ter feito verificações de segurança periódicas desde 2022, mas que a exploração de uma vulnerabilidade nova e desconhecida escapava a esse tipo de checagem. Some-se a isso o intervalo entre a detecção (início de fevereiro) e a divulgação pública (20 de julho): cerca de cinco meses de silêncio, apontado pela imprensa coreana.

Por fim, sobre o nosso registro interno: o selo 'claimed/unverified' precisa ser corrigido. Não há ator reivindicando — trata-se de um incidente confirmado pela vítima, e o veredito correto é 'confirmado pela organização afetada, escopo do vazamento sob investigação'. O número '10.000' que tínhamos como 'registros alegados pelo ator' na verdade é o teto estimado pela própria vítima. E o intervalo de comprometimento tem ambiguidade: o comunicado fala em 'abril a maio de 2025' como janela de tomada do servidor, e algumas reportagens usam 'maio de 2025' como início — a origem da divergência está na forma como o MOFA descreveu a janela inicial.

A vítima (MOFA) presume que praticamente todo o corpo diplomático sul-coreano — funcionários atuais, aposentados, adidos em missões no exterior e servidores cedidos por outros ministérios — teve dados de baixa sensibilidade individual expostos. O impacto real não é fraude financeira direta (não havia CPF-equivalente, telefone nem endereço no sistema), mas de inteligência: a exposição de uma lista quase completa de nomes, cargos, departamentos e e-mails que o governo normalmente não torna pública. Segundo a cobertura coreana, entre os registros pode haver dados de agentes do serviço de inteligência (NIS) e adidos de defesa lotados em missões no exterior, o que amplia o risco. Esse tipo de acervo é insumo direto para campanhas futuras de spear-phishing e engenharia social altamente direcionada. Não há, até o momento, uso malicioso confirmado dos dados, segundo o próprio MOFA.