韓国の外交研修サイト侵入は、なぜ日本の安全保障実務にも響くのか

外交機関のオンライン研修サイトと聞くと、機密外交文書そのものを扱う中核システムではないから被害は限定的だと見たくなる。だが、外交実務では、誰がどこに所属し、どのIDで研修や管理業務に入るのかという周辺情報だけでも、次の侵入やなりすましの足場になり得る。今回の韓国の事案が日本にとって重要なのは、まさにその点である。

韓国外務省は2026年7月20日、国立外交院のオンライン教育システムがサイバー攻撃を受けたと発表した。説明によれば、攻撃者は未知のソフトウェア脆弱性、いわゆるゼロデイと設定不備を悪用し、2025年4月から5月ごろにサーバーを掌握し、2026年2月まで接続を維持した。焦点は、韓国側の機密文書流出を断定することではなく、周辺情報が次の標的化の足場になり得るかどうかにある。

確認できているのは、長期潜伏と受講者情報が載る周辺システムへの侵入だ

韓国外務省の発表で確認できるのは三点ある。第一に、侵入は2025年4月から5月ごろに始まり、2026年2月まで続いたこと。第二に、通常の検知では見つけにくいゼロデイ脆弱性が使われたこと。第三に、侵害されたシステムが教育動画と、受講者の氏名やユーザーIDなど研修運営に必要な情報を保存していたことである。

一方、外務省は、どの情報が実際に流出したのかは確認が難しいとしている。つまり現時点で、機密外交文書が漏れた、日本側情報が流出した、あるいは特定の職員情報が悪用されたといった点を断定する材料はない。ここは、確認済みの侵入事実と、まだ特定できていない流出内容を分けて読む必要がある。

それでも侵入期間の長さは軽くない。2026年2月まで接続が維持されていたことは、周辺システムであっても異常検知や構成管理の見直し余地があった可能性を示す。少なくとも、外交・安全保障分野でも中核システムだけを守ればよいわけではないという教訓として読む必要がある。

約1万件規模の報道と攻撃者の帰属は、まだ切り分けて扱うべきだ

聯合ニュースは2026年7月21日、この漏えい懸念が退職者を含む外務省職員全体に及びうると報じ、対象データは約1万件に達する可能性があると伝えた。SBSも、在外公館に派遣されている他省庁職員を含め、現職と退職者、警察や情報機関関係者の情報が含まれ得ると報じている。

ただし、この件数は現時点では報道ベースの推計であり、韓国外務省が確定値として公表した数字ではない。Reutersも7月21日、韓国外務省報道官が『相当規模』の情報露出があったようだと述べつつ、漏えいの全体像や具体的な情報内容はまだ確定していないと説明したと報じた。

攻撃者の帰属も同様である。Reutersは、韓国当局が国外の国家支援型ハッカーの関与可能性を排除していないと伝えているが、技術的証拠は不十分で、北朝鮮など特定主体の犯行を確認したとは報じていない。今回の論点は、帰属を急いで断定することではなく、長期潜伏が確認された周辺システムから何が次のリスクになるかを見極めることにある。

日本への波及は、標的型メールとなりすましの入口として表れやすい

日本への影響経路は、まず日韓協議や在外公館実務に関わる担当者への標的型メールである。氏名、役職、所属、メールアドレス、研修受講歴のような周辺情報が攻撃者に渡れば、もっともらしい差出人名や業務文脈を使ったメールやメッセージを組み立てやすくなる。これは一般論としてのリスク評価であり、今回すでに実行が確認されたという意味ではない。

次に起こり得るのは、なりすましを通じた横展開だ。外交官や在外公館職員の役職や派遣先が推測できれば、取引先、関係省庁、委託先ベンダー、共同訓練や協議の関係者を狙う足がかりに使われうる。中核の外交文書システムに直接届かなくても、周辺の名簿、ID、研修、連絡網を足場にした多段的な侵入準備は十分に考えられる。

日本側が重く見るべきなのは、こうした攻撃がサイバー部門だけの問題にとどまらない点だ。日韓の安全保障協力は、会議、出張、在外公館、訓練、共同声明の事務調整など、多数の周辺実務で動いている。そこに結びつく情報が狙われるなら、外交・防衛・官民連携の現場は、機密文書サーバー以外も安全保障の境界に含めて見直す必要がある。

日本が先に点検すべきなのは、ゼロデイ前提の検知と周辺名簿系の分離だ

この事案から日本が先に点検すべき実務は三つある。第一に、ゼロデイ悪用を前提にした検知とログ保全である。既知の脆弱性対策だけでは、今回のような長期潜伏を防ぎきれない。異常な接続、権限昇格、外部通信を拾えるかが焦点になる。

第二に、研修、名簿、ID管理、外部委託を含む周辺システムの権限分離である。周辺システムに残る個人情報や管理者権限が、そのまま他システムの入口にならない設計が必要になる。第三に、侵害を前提にした復旧訓練である。長期潜伏が見つかった後、何を止め、どこを再発行し、誰に連絡し、どのログを保存するかを平時から決めておかなければならない。

編集部の見立てとして、この事案が示しているのは、外交機関の安全保障境界が『機密文書を置く本丸』だけでは成り立たないということだ。研修サイト、名簿、ID、在外公館との周辺実務まで含めて見直さなければ、攻撃者はより柔らかい入口から実務協力の信頼を削っていく。日本にとっての持ち帰りどころは、韓国の被害を外から論評することではなく、自分たちの周辺基盤でも同じ穴が空いていないかを確認することにある。

関連して読みたい記事

• 北朝鮮のサイバー収益網への対策は、日本企業の採用・委託・金融管理にも直結する
• 日本の銀行業界がAIサイバー攻撃に備え、ATM停止の可能性に言及した意味
• AI基本計画改定案が示す重要インフラ防衛の次の焦点

主な出典

• 韓国外務省: 国立外交院オンライン教育システムへのサイバー攻撃
• 聯合ニュース: 韓国外交官全体の情報漏えい懸念を報じた記事
• Reuters: 韓国外務省が相当規模の情報露出と未確定の範囲を説明した報道
• SBS: 在外公館派遣者を含む約1万件規模の漏えい懸念を報じた記事