• ゼロデイ悪用による約10か月の潜伏、発覚まで9か月 — 外交要員を狙った精密ターゲティング・LLMを用いたソーシャルエンジニアリング・心理戦の脅威評価
項目 内容
レポートID CTI-2026-0720-MOFA-KNDA
発行日 2026-07-20
分類 TLP:CLEAR（公開）
深刻度 CRITICAL — 外交・安保要員を狙った標的流出、長期にわたる未検知、国家支援型の可能性
信頼度 HIGH（外交部公式報道資料・流出通知・報道の相互検証）
脅威アクター 未特定（ゼロデイ能力と標的の性格から国家支援型APTの可能性 — 帰属は未確定）
関連ATT&CK技法 T1190（公開アプリケーションの悪用）、T1211（防御回避のための悪用/ゼロデイ）、T1078（有効なアカウント）、T1114（メール収集）、T1589（被害者身元情報の収集）、T1598（情報窃取のためのフィッシング）、T1656（なりすまし）
参考資料 外交部報道資料（2026-07-20）、外交情報保安担当官室 流出通知、マネートゥデイ、オーマイニュース
作成者 CTI分析チーム

Key Judgments — 主要判断

  • (HIGH) 未特定のアクターが、国立外交院（KNDA）オンライン教育システムのサーバに存在するゼロデイ脆弱性と設定不備を悪用し、2025年4〜5月にサーバを掌握、遮断される2026年2月まで約10か月間アクセスを維持した。外交部（MOFA）は2026年2月初旬に関係機関から異常アクセスの通報を受けて初めて認知しており、自己検知ではなかった。- (HIGH) 流出の痕跡が確認された対象は、2025年4月〜2026年2月の期間に教育システムを利用した外交部本部および在外公館勤務の元・現職員、その他の要員である。流出項目は受講対象者のID・氏名・メール・暗号化されたパスワードなどで、固有識別情報・機微情報・携帯電話番号・自宅住所・写真は含まれていない。- (CRITICAL)個々の項目の機微度が低いことを理由に、リスクを過小評価してはならない。氏名＋所属（外交部／特定の在外公館）＋職務コンテキスト＋メール」の組み合わせは、攻撃者に対し誰に、どの身分になりすまし、どの口実で接近するか」を精密に設計できる標的名簿（ターゲティングリスト）を与える。これこそが本インシデントの本質的脅威である。
  • (CRITICAL) 流出データは、LLMを用いたソーシャルエンジニアリング攻撃の精度と規模を同時に押し上げる。大規模言語モデルはこの名簿を入力として、(1) 受信者ごとに最適化したスピアフィッシング文面の大量生成、(2) 実在の同僚・上司・公館担当者になりすました自然な多言語の誘い、(3) 返信内容にリアルタイムで適応する対話型の誘導、(4) ディープフェイクの身分証・音声を組み合わせた多チャネル心理戦を、自動化・産業化できる。従来は担当者1人が標的1人に手作業で信頼を築いていた方式が、名簿全体に対して並列実行可能なキャンペーンへと転換する。
  • (HIGH) 侵害対象が外交・安保要員である点で、これは北朝鮮系組織（Kimsuky/APT43、APT37など）の持続的な標的群と正確に一致する。これらの組織は記者・研究者・外交関係者になりすましたソーシャルエンジニアリング、ゼロデイ・サプライチェーン悪用、ClickFix・QRフィッシングなどで外交・安保情報を収集してきた。帰属は未確定だが、脅威プロファイル上、国家支援型の可能性を優先的に考慮すべきである。
  • (HIGH) 検知失敗こそが最大のリスクである。正規のソフトウェア権限を悪用する「環境寄生（living-off-the-land）」の手口で10か月間潜伏し、関係機関の外部通報によってようやく認知された。これは、その10か月の間に流出した名簿がすでに攻撃インフラに反映され、後続キャンペーンに利用されている可能性を意味する。

現時点で以下の事項は確認されていない。

  • 攻撃アクター（組織・国家支援の有無）
  • 実際に流出したデータの正確な項目・件数・範囲（「特定困難」）
  • 暗号化パスワードのハッシュアルゴリズム・ソルト適用の有無（クラック可能性）
  • 名簿を用いた後続悪用（スピアフィッシングキャンペーン）の発生有無
  • 2025年4月以前の初期侵入経路の完全な再構成

§1. 事件概要 — 10か月の潜伏、9か月後の認知

2026年7月20日、外交部はKNDAオンライン教育システムのサーバが未特定のアクターによって長期間侵害され、外交部本部および在外公館勤務の元・現職員などの個人情報流出の痕跡が確認されたと公式に発表した。

調査結果によれば、攻撃者はサーバソフトウェアの未公開ゼロデイ脆弱性とセキュリティ設定不備を悪用して2025年4〜5月にサーバを掌握し、これを足がかりに2026年2月の遮断措置まで同システムにアクセスした。外交部は2026年2月初旬に関係機関から異常アクセスの通報を受けた後、システムを緊急遮断し、関係機関との合同調査を行ってきた。

外交部は「ソフトウェア製造元も当時把握していなかったゼロデイ脆弱性を悪用してアクセスした後、正規のソフトウェア権限を利用したため、通常の手法では検知が困難であり、当該時点ではこれを補完するセキュリティアップデートが提供されておらず、対応に限界があった」と説明した。ただし、流出内容の特定は困難な状況であるとした。

タイムライン

日付 内容
2025-04 〜 05 ゼロデイ＋設定不備を悪用、サーバ初期掌握
2025-04 〜 2026-02 個人情報流出の痕跡が発生した期間（元・現職員および要員）
〜2026-02 正規権限の悪用による継続アクセス（潜伏）
2026-02 初旬 関係機関が異常アクセスを通報 → 外交部が認知・システム緊急遮断
2026-02 〜 07 関係機関との合同調査
2026-07-20 外交部の公式発表および流出通知

検知・公表の二重構造の遅延：(1) 侵入（2025.4）から認知（2026.2）まで約10か月の潜伏検知の空白、(2) 認知（2026.2）から対外公表（2026.7）まで約5か月の調査期間。この全期間にわたり、名簿の悪用可能性が常に存在していた。

§2. 流出情報の詳細と標的化リスク分析

① 流出の痕跡がある項目

外交部 外交情報保安担当官室の通知に基づく、流出項目と非対象項目は以下のとおり。

区分 項目
流出の痕跡（含む） 受講対象者ID、氏名、メール、暗号化パスワード など
含まれない 固有識別情報、機微情報、携帯電話番号、自宅住所、写真

② 「機微度が低い」という錯覚 — 組み合わせが生む標的名簿

項目単位で見れば機微度は低い。しかしCTIの観点では、本インシデントのリスクは項目の機微度ではなく、組み合わせの標的性にある。

流出データは本質的に、外交部／特定の在外公館に勤務する（していた）実名要員＋業務メールの精密名簿である。ここにKNDA受講対象者というコンテキストが加わると、攻撃者は次を獲得する。

  • 標的の識別（T1589）： 誰が外交・安保の実務者か、どの公館の所属か
  • 接近チャネル（メール）： スピアフィッシングの直接的な配送経路
  • なりすましの口実： KNDAの教育／修了／保安案内を装った誘いの正当性
  • 信頼関係のマップ： 名簿内の人物間での相互なりすまし（同僚→同僚、上司→部下）の設計

暗号化パスワードは即時利用は困難だが、ハッシュが脆弱・ソルト未適用・パスワード使い回しの場合、オフラインクラックおよび他システムへの認証情報の使い回し侵入（credential stuffing）のリスクが残る。対象者全員へのパスワード再設定勧告が必須である理由がここにある。

§3. 中核的脅威 — LLMを用いたソーシャルエンジニアリング・心理戦の産業化

本インシデントの最も重大な含意は、流出名簿が大規模言語モデル（LLM）と結合したとき、脅威の精度と規模が同時に爆発的に増大するという点である。従来の標的攻撃が「熟練した攻撃者1人が標的1人に数週間かけて信頼を築く」労働集約的な作業であったのに対し、LLMはこれを名簿全体に対する並列・自動キャンペーンへと転換する。

① 精度の向上（Precision）

  • 受信者ごとの最適化文面： 氏名・所属・職務コンテキストを入力として、各標的に自然な個人化メールを個別生成。「○○公館 △△実務者様、先般のKNDA教育に関して…」という水準の文脈整合性。
  • ネイティブ水準の多言語文面： 在外公館勤務者向けに、駐在国の言語・外交文体で違和感のない誘いを作成。従来スピアフィッシングの最大の検知手がかりであった文法・語調の誤りが消える。
  • リアルタイム対話型の誘導（T1598）： 返信内容に適応して会話を続け、信頼を築き、適切なタイミングで悪性リンク・添付を送付。Kimsuky系が手作業で行っていた「誘いメール → 信頼構築 → マルウェア」の3段階を自動化。

② 規模の拡大（Scale）

  • キャンペーンの並列化： 名簿に含まれる数百〜数千人全員を同時標的化。人手では不可能だった全数キャンペーンが可能になる。
  • 低コストの反復： 一次遮断時にツール・文面・ドメインを即座に変えて再試行。防御側の遮断がそのまま回避につながる。

③ 心理戦・影響力工作（Influence Operation）

外交・安保要員が標的である点で、単純な情報窃取を超えるリスクがある。

  • ディープフェイクとの結合： 流出名簿の実名・所属を根拠に、特定人物になりすましたディープフェイク音声・映像・偽造身分証を生成し、多チャネル（メール＋メッセンジャー＋電話）で信頼を操作。（参考：2025年のKimsukyによる生成AI偽造軍身分証事例。）
  • 内部信頼関係の悪用： 同僚・上司になりすまして組織内部の指示・依頼を装い、情報提供やアカウントアクセスを誘導。
  • 認知戦・世論操作の素材化：外交実務者の名簿とアクセスパターンは、特定案件に対する標的メッセージの散布や対立煽動の基盤データに転用され得る。要点：流出したのは「機微度の低い個人情報」ではなく、国家支援型アクターがLLMで武器化しうる外交・安保の標的データセットである。

§4. 脅威アクターのプロファイル（帰属 — 未確定）

帰属は確定していないが、以下の特徴は国家支援型APT、特に北朝鮮系組織のプロファイルと合致する。

観察された特徴 脅威の含意
ゼロデイの確保・運用 相当の資源・能力を保有。機会主義的犯罪組織より国家支援型の可能性を示唆
10か月の潜伏・正規権限の悪用 隠密な長期スパイ活動（espionage）志向。即時収益化型犯罪とは性格が異なる
外交・安保要員の標的化 Kimsuky/APT43、APT37の伝統的標的群と一致
教育システム（周辺資産）経由 防御の弱い付属システムを通じて中核要員情報に到達する迂回戦略

北朝鮮系組織は外交関係者・研究者・記者になりすましたソーシャルエンジニアリング、ゼロデイ・サプライチェーン悪用を持続してきており、近年は生成AIを偽造・文面作成に積極活用する痕跡が多数報告されている。本インシデントの流出名簿は、こうした組織にとって最も効率的な後続攻撃の入力値となる。ただし、確定的な帰属は関係機関のフォレンジック結果に従うべきである。

§5. 影響評価（Impact Assessment）

① 一次的影響

  • 標的スピアフィッシングキャンペーンのリスク急増： 名簿ベースの精密フィッシングが、元・現職外交官全員を対象に展開され得る。
  • アカウント乗っ取りの連鎖： 暗号化パスワードのクラック・使い回し時、外交部関連の他システムへの侵入が拡散し得る。
  • 検知空白期間中にすでに悪用された可能性： 10か月の潜伏＋5か月の調査期間の間に、流出データが後続作戦に反映された蓋然性。

② 二次的影響

  • 外交・安保情報の流出リスク： 個人情報そのものを超え、それを梃子にした後続侵入で外交通信・政策情報が露出し得る。
  • 在外公館ネットワークへの脅威拡散： 駐在国別担当者のなりすまし・標的化により、海外拠点のセキュリティリスクが同時に上昇。
  • 信頼・心理戦の脆弱性： ディープフェイク・なりすましと結合すると、組織内部の信頼体系と対外コミュニケーションの信頼性そのものが攻撃面となる。

§6. 推奨措置（Recommendations）

① 対象者（元・現職外交部職員および要員）の即時措置

  1. 出所不明メールへの格別の注意： KNDAの教育／修了／保安案内、個人情報流出確認要請などを装ったメールに特に注意。リンク・添付を実行する前に、送信者を別チャネルで検証。
  2. パスワードの全面変更と使い回しの排除： 流出システムと同一・類似のパスワードを使用した全アカウントを即時変更。
  3. MFA（多要素認証）の有効化： 特に業務メール・主要システムに必須適用。
  4. 不審メールの通報： 外交情報保安担当官室（+82-2-2100-7189）へ。個人情報侵害の相談は個人情報紛争調停委員会（kopico.go.kr）へ。

② 外交部・KNDAの組織措置

  1. 名簿ベースの標的フィッシングへの態勢： 流出対象者全員を高リスク群に指定し、最適化フィッシング警報・模擬訓練・メールフィルタリングを強化。LLM生成フィッシングに文法的手がかりがないことを前提に検知ロジックを再設計。
  2. 周辺資産の全数点検： 教育システムなど防御の弱い付属システムのインターネット露出・設定・パッチ状態を全数調査。中核要員情報が周辺システムに保存される構造そのものを再検討。
  3. 潜伏型脅威の検知強化： 正規権限の悪用（living-off-the-land）を前提とした異常行動検知（UEBA）・EDRを導入し、外部通報依存の構造からの脱却のため24/7監視連携を整備。
  4. パスワード保存方式の検証： ハッシュアルゴリズム・ソルト適用の有無を点検し、不備があれば即時強化。

③ 政府・関係機関レベル

  1. 外交・安保要員を対象としたAIベースのソーシャルエンジニアリング脅威警報の発令： LLM・ディープフェイク結合型の標的攻撃に対する省庁横断的な認識向上と対応指針の配布。
  2. 同一脅威群を対象とした関連機関の点検： Kimsuky/APT37の標的群（外交・国防・研究・統一分野）に属する機関の類似侵害の有無を先制的に点検。
  3. 侵害の検知・公表SLAの強化： 長期潜伏型侵害の認知・公表遅延を減らすため、検知能力の基準と通報手続きを整備。

§7. 総合結論

国立外交院インシデントの核心は、流出した個人情報項目の機微度ではなく、「外交・安保要員の実名標的名簿が、国家支援型の可能性が高いアクターの手に、しかも10か月間誰にも気づかれずに渡った」という事実である。

機微情報が含まれなかった点は慰めにならない。むしろ、この流出データはそれ自体が目的ではなく、より大きな攻撃のための精密照準器である。氏名・所属・メールの組み合わせはスピアフィッシングの命中率を決定づける核心変数であり、そこにLLMが結合すると、かつて労働集約的だった標的工作が名簿全体を対象とする自動化キャンペーンへと産業化される。文法の誤りで偽メールを選り分ける時代は終わった。

何よりも、この侵害が自己検知ではなく外部通報によって、しかも10か月後に認知されたという点は、名簿がすでに後続作戦に利用されている可能性を排除できなくする。したがって対応の焦点は「流出した個人情報の保護」を超え、「この名簿を入力値とする次世代の標的キャンペーンの先制遮断」に置かれなければならない。対象者全員の高リスク管理、AI生成フィッシングを前提とした検知の再設計、潜伏型脅威に対する常時監視が並行されなければ、今回の流出は単発の事故ではなく、長期スパイ戦の序幕となるだろう。

参考資料（References）

  • 外交部「外交部本部および在外公館勤務の元・現職員とその他の要員の個人情報流出の痕跡に関する案内」通知（外交情報保安担当官室、2026-07-20）
  • 外交部報道資料、KNDAオンライン教育システム侵害の調査結果（2026-07-20）
  • マネートゥデイ「国立外交院、9か月間ハッキング被害…『流出内容の特定は困難』」（2026-07-20）
  • オーマイニュース「国立外交院の教育システムが数か月間ハッキング、流出情報は不明」（2026-07-20）
  • （背景）デイリーセキュ「北朝鮮のKimsuky、QRコードフィッシングで米政策関連機関を標的化」（2026-01）
  • （背景）VOA「北朝鮮系APT37、韓国の研究分野を狙ったサイバー攻撃」（2026-07）

本レポートは公開情報（OSINT）に基づいて作成され、TLP:CLEAR分類に従い自由に共有可能です。脅威アクターの帰属および流出範囲は、関係機関のフォレンジック結果に応じて更新される可能性があります。

このアーカイブについて（About This Archive）

本レポートは、CYBER-THREAT-INTELLIGENCE-REPORTの一部です。これはサプライチェーン・ゼロデイ脅威、北朝鮮/APTキャンペーン、AI/LLM武器化脅威、Web3、韓国の侵害・政策レポートを扱う独立系OSINT CTIアーカイブ（TLP:GREEN）です。レポートは韓国語／英語／日本語／中国語で多言語公開され、通常はインシデント発生後24〜48時間以内に作成されます。

著者について（About the Author）

Dennis Kim（김호광） — 韓国の先駆的ソーシャルプラットフォーム「サイワールド（Cyworld、3,500万会員）」元CEO · 投資家・Web3投資家 · サイバー脅威インテリジェンス＆クオンツ研究者 · Microsoft Azure MVP（2015–2023、9年連続）。

サイバー脅威インテリジェンス、AIベースのクオンツ投資、Web3の交差点で研究・開発・投資を行う独立研究者であり、ゲームセキュリティ・ソーシャルプラットフォーム・ブロックチェーンにわたる28年以上の経験を持つ。オリジナルの脆弱性研究にはTelegramの0-click RCE（ZDI-CAN-30207、CVSS 9.8 Critical）などがある。編集哲学：LLMはエクセルであってオラクルではない。