韓国KNDAハッキング：外交官データが10カ月間露呈

10か月間、誰にも気づかれずに潜んでいたゼロデイ攻撃

韓国外交部は、韓国国立外交院（KNDA）が使用するeラーニングプラットフォームが、誰も気づかぬまま約10カ月間にわたって侵害されていたことを確認した。インシデントを調査する当局者によると、この侵入は、これまで知られていなかった「ゼロデイ」のソフトウェア脆弱性と、プラットフォーム上の脆弱なセキュリティ設定が組み合わさって悪用されたという。

この侵害では、現職および元外交官を含む約6,000人分の個人情報（氏名、身分証明書の詳細、役職など）が流出したとみられている。KNDAのプラットフォームは同国の外交官養成の中心的な研修拠点であるため、今回の情報流出は韓国外務省職員名簿のかなりの部分に影響を及ぼす。

この事例が特に注目されるのは、単に流出したデータの規模だけではない。国家安全保障や外交政策を担う人材を育成するために構築された政府システム内で、攻撃者がそれだけ長期間にわたり気づかれることなく活動し続けた、その時間の長さにある。

なぜ内部監視は見逃したのか

外交部によると、この侵入は政府独自の内部監視システムでは検知されなかった。その代わりに、外部の政府機関が侵害の可能性を警告し、韓国当局が調査して侵害を確認した。この詳細こそ、おそらく今回の件で最も重要な部分である。機密性の高い外交データを保持するシステムが、約1年近くも内部の警報を一切鳴らすことなく、侵害され続けていたのだ。

ゼロデイ脆弱性は、その定義上、まだパッチやシグネチャが存在しないため検出が難しい。しかし、10か月近くも検知されなかったという事実は、単に未修正の欠陥以上のものを示している。調査官は、プラットフォーム自体のセキュリティ設定の弱点も一因であると指摘しており、これは脆弱性を取り巻く環境が、侵入を持続しやすく、かつ発見しにくくしていた可能性を意味する。

このインシデントを調査する当局者は、北朝鮮との関連を含む外国政府系の攻撃者の関与の可能性を調べているが、現時点では攻撃元の特定作業はまだ進行中である。

認証情報の露出こそが本当のリスク

研修やeラーニングのプラットフォームが侵害された場合、それが機密扱いの外交公電システムではないことから、深刻度を軽く見積もろうとするのが自然な反応かもしれない。しかし、eラーニングや内部ポータルには、攻撃者にとって同じくらい価値のある情報、つまりログイン認証情報、個人識別子、組織の詳細が保存されていることが多い。これらは、まさに氏名が流出した当の職員を狙ったフィッシング、クレデンシャルスタッフィング、ソーシャルエンジニアリングといった二次攻撃に転用されうる。

このパターンは政府機関に限った話ではない。個人情報の大規模流出は、あるシステムで起きた侵害が、いかに広範なプライバシー上の、さらには地政学的な結果へと波及しうるかを繰り返し示してきた。それは、Coupangデータ侵害事件の余波で見られたとおりであり、消費者向けのインシデントが、流出したデータの規模が明らかになるにつれて国際的な側面を帯びた。KNDAの事例も同様の軌跡をたどっている。一見すると閉じたプラットフォームの侵害が、いざ紐解いてみると、流出した身元情報や認証情報の、はるかに広範な影響範囲を露わにするのだ。

あなたにとっての意味

読者のほとんどは外交官ではないが、根底にある教訓は、職場の研修ポータル、政府サービスのプラットフォーム、専門教育システムにログインするすべての人に当てはまる。すなわち、こうした二次的なプラットフォームは、中核インフラよりも精査が行き届かないことが多いが、深刻な二次攻撃を可能にするだけの個人情報や認証情報を保持しうる、ということだ。

政府、法務、医療、企業など、機密性の高いコミュニケーションを扱う分野で働いているなら、ログイン認証情報や個人識別子を保存するあらゆるプラットフォームは潜在的な標的であると想定するに越したことはない。職場のポータルにアクセスする際、特に共有ネットワークや公共ネットワークを使う場合にVPNを使用すれば、トラフィック傍受に対する保護層が追加され、日和見的な攻撃者から自分の位置や行動を隠す助けとなる。サーバー側のゼロデイ攻撃を防ぐことはできないが、強力で一意なパスワードや多要素認証と組み合わせることで、クライアント側での露出を減らすことができる。

実践すべきポイント

今回の侵害を踏まえ、検討に値するいくつかの対策を挙げる。

• 研修ポータルのような重要度が低く感じられるものも含め、業務用または政府関連のあらゆるアカウントで多要素認証を有効にする。
• eラーニングや内部システムには、よりセキュリティレベルの高いアカウントと使い回さない、固有のパスワードを使う。
• 機密性の高い職場のプラットフォームにリモートからアクセスする際は、特に不慣れなネットワークや公共のネットワークでは、VPNの利用を検討する。
• 職名や所属組織に言及したフィッシングの試みがないか注意深く監視する。流出した身元情報は、巧妙な二次攻撃を仕立てるためによく使われるからだ。
• eラーニングや研修ポータルを持つ組織で働いているなら、それらが中核システムと同水準のセキュリティ監査を受けているかどうかを尋ねてみよう。

韓国の外交アカデミーへのハッキングは、私たちが二次的とみなすシステム、つまり研修プラットフォーム、オンボーディングポータル、内部Wikiなどが、他の部分では十分に防御された組織の中で、静かに最も弱い環となりうることを改めて思い起こさせる。どんな侵入であれ、10か月もの間気づかれないままというのは長すぎる。この期間は、政府機関だけにとどまらず、あらゆる組織が、自らの監視体制にどれほどの自信を持てるのかを自問すべき契機となるはずだ。