2026-10-22 13:46:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

韩国国防部暗网数据泄露分析

原创

网空闲话
网空闲话

网空闲话plus

2026年10月18日 07:00
北京
标题已修改

去阅读

2026年10月16日，一个自称黑客组织ShinyHunters（闪亮猎人）创始人”Aegis”的账号在海外论坛与Telegram频道发帖，声称掌握约1TB韩国国防部（MND）及国军防谍司令部数据，以30万美元挂牌出售，并附组织架构表、用户管理表与系统告警截图等多份样本。本文对部分样本逐层解剖发现：192条组织记录覆盖了从国防部本部到陆海空三军主要司令部、直至兵务厅11个地方厅的完整代码体系；680条通信用户记录中486条直接指向防谍司令部系统，含调度账号与灾害对策班；告警截图则暴露了一套IMS架构的指挥通信（MCPTT）平台后台。样本细节翔实、“新鲜度”高（导出时间为发帖当日），但存在防谍司令部已于2026年7月31日解散的时间线矛盾，且与今年5月同源性叫卖帖高度雷同。

一、事件概况：1TB数据、30万美元、三份样本

据韩国安全媒体DailySecu 10月17日独家报道，海外网络论坛出现一则帖子，声称入侵韩国国防部与国军防谍司令部并获取1TB数据(DailySecu)。帖子以英文书写，开宗明义标注”1TB Ministry Of Defense of the Republic Of Korea（국군방첩사령부）“，将被泄数据概括为”组织代码、组织名称、详细组织名称、上级组织代码、内部机密文件”五类，并逐条列举国防部本部（代码0000000）、国军化生放防护司令部、国军防谍司令部及其信息通信队、兵务厅及首尔（1300031）、釜山、大邱庆北、光州全南、大田忠南、江原等地方厅的机构名称与代码作为”卖点”。

发帖者留下全套联络与验信渠道：Telegram账号@reyswap、PGP公钥链接、邮箱[email protected]及一个Session ID，并以”有意者直接联系，非诚勿扰”（Those who are interested, please contact us directly. Don’t contact us to waste time）作结——这是数据掮客惯用的施压话术，意在过滤围观者、筛选真实买家。随帖发布的三份样本（两份Excel、一张系统截图）构成本事件目前唯一的实证基础。

二、样本解剖：三份材料说了什么

2.1 组织架构表：一幅韩军”编制地图”

第一份样本《조직도 관리（组织管理）》含192条记录，字段为组织代码、组织名、详细组织名、上级组织代码，层级结构为”军（70，ROOT）＞国防部（14）“主干。其构成如下：

分支	记录数	代表性条目
国防部直属	9	国防部本部（0000000）、国军心理战团、国军指挥通信司令部、国军医务司令部、国防部勤务支援团、国军化生放防护司令部、国军防谍司令部（9800105）→信息通信队
陆军（1580000）	102	首都防卫司令部（52师团）、特殊战司令部（含707特殊任务团、特殊作战航空团）、导弹司令部、地面作战司令部（第1—8军团及下辖各师团）、第二作战司令部、情报司令部（9800050）
海军（1590000）	29	海军陆战队司令部（第1、2师团，第6、9旅团，延坪部队）、作战司令部（第1—3舰队、潜艇司令部、特殊战战团、海军情报团）
空军（1600000）	3	空军防空管制司令部、空军防空导弹司令部
国防部所属机构	48	兵务厅（1300000）及11个地方兵务厅（首尔1300031、釜山1300066、大邱庆北1300100等）＋兵役资源国、入营动员国，下设信息管理科、动员训练科、动员管理科、顾客支援科、运营支援科、兵役管理科等科室

这份表的价值不在单一机构，而在体系完整性：从国防部本部到一线军团、从潜艇司令部到707特种部队、从征兵系统到动员科室，若属实，等于为攻击者提供了一张可直接用于定向钓鱼、社会工程与人力情报定位的”全军导航图”。

2.2 用户管理表：防谍司令部现役指挥通信账号清单

第二份样本《그룹사용자관리\_사용자조회（群组用户管理\_用户查询）》含680条PTT（一键通）用户记录，字段含PTT号码、用户名、优先级、用户类型、最近变更时间及摄像头、麦克风、GPS、USB等13项终端权限开关。核查发现：

•号码与状态高度一致：680个PTT号码全部以”82135”开头（即韩国手机号段010-13xx），全部不重复；最近变更时间统一为2026-10-16——即发帖当日，系”现炒现卖”的新鲜导出；所有账号状态UNLOCK、全部权限Allow。

•近七成账号指向防谍系统：用户名中含”방첩사（防谍司）“者达486条，其中”军防谍司安全措施”151条、“军防谍司 380”100条、“军防谍司 560”50条，另有大量”防谍司331/336/550/552/555/560/710/730灾害对策班”账号（全表”灾害”相关账号共186条）。

•覆盖网络战与要害部门：含”777司令部”（国军网络作战司令部部队番号）相关账号75条（如”780团团本部系统队长”“710团 R101机系统担当”“指挥控制室”）、“军网络司”46条（如”第3作战团长”“信息系统团运营管理科长”）、“军国防部本部灾难安全管理科总括班”12条。

•唯一的调度席：全表仅1条Dispatcher（调度员）类型账号，名为”防谍司\_指令装置\_01”，优先级6（其余679条均为优先级1的普通终端）——该账号正是指挥通信系统的调度台席位。

2.3 告警截图：一个IMS/MCPTT指挥通信平台的后台

第三份样本为某告警监控台截图，显示多台”Operation Command Device（作战指挥设备）“触发emergency级告警：DB\_DISCONNECTED（Postgre数据库连接建立失败）、CSCF\_DISCONNECTED、CSC\_DISCONNECTED（通信建立失败）、DISPATCHER\_NO\_ANSWER、AGENT\_NO\_ANSWER（应用子系统故障）。CSCF（呼叫会话控制功能）是IMS核心网元，表明该平台是一套基于IMS架构的任务关键型一键通（MCPTT）指挥通信系统。

值得注意的是设备命名：“Namhaecheong（南海厅）”“Incheon West（仁川西部）”“Yeosu（丽水）”“Mokpo（木浦）”“Tongyeongseo（统营署）”——“청（厅）/서（署）”的命名习惯与韩国海洋警察厅地方机构（南海地方海警厅、丽水/木浦/统营海警署等）高度相似，而非国防部部队番号风格。这引出两种可能：其一，被渗透的是一个军队与海洋警察等多机构共用的政府级应急通信平台（韩国国家灾难安全通信网即为此类军警民共用MCPTT网络，用户表中大量”灾害对策班”账号与之吻合）；其二，样本系从不同系统拼接”贴标”。两种解释对事件定性的影响截然不同，需待官方取证厘清。

三、真实性与疑点：三个无法回避的矛盾

其一，时间线矛盾。防谍司令部因深度卷入2024年”12·3”紧急戒严事件，已于2026年6月10日由国防部长官安圭百宣布解散方案，7月21日国务会议表决通过、7月28日公布相关总统令，7月31日正式解散，职能分拆至新设的国防防谍本部、国防安全支援团与国防部调查本部安全搜查团，8月3日举行创设仪式(경향신문, 중앙일보)。而10月16日导出的样本仍沿用”防谍司令部”番号——既可能是系统更名滞后，也可能意味着数据是解散前导出的”存货”。

其二，五个月前的”前传”。DailySecu曾于2026年5月6日报道，自称ShinyHunters的威胁行为者于5月2日下午6时许在BreachForums发帖，同样宣称”入侵大韩民国国防部数据库”(DailySecu)。两次叫卖时隔五个半月、样本同源（均含兵务厅组织代码），指向同一系统的持续失陷，或同一批旧数据的二次叫卖。

其三，组织前科。ShinyHunters确为一线数据勒索组织：2024年借Snowflake事件席卷Ticketmaster（约5.6亿条）、AT&T（1.1亿条，据报支付37万美元赎金）、桑坦德银行（3000万客户）；2025年以语音钓鱼攻陷数百家企业的Salesforce实例（谷歌、澳航、LVMH、思科等受害）；2026年4—5月攻陷Canvas平台并声称窃取3.5TB数据(Secure.com, CybelAngel)。但2025年6月法国警方逮捕4名疑似BreachForums/ShinyHunters管理员后，冒名发帖者激增，该组织名称已被广泛盗用(ValiCyber)。DailySecu亦明确提示：发帖者与ShinyHunters的真实关联及数据真伪均未获证实(DailySecu)。

四、背景：韩国军方网络防线的”十年旧伤”

此次叫卖无论真假，都落在韩国军方信息安全的多事之秋：2016年8月，韩国军内网（国防网）遭入侵，3200台电脑（含700台内网机与时任国防部长官韩民求的互联网用机）感染恶意代码，韩美联合作战计划”作战计划5015”部分内容外泄，军方将源头指向朝鲜(Korea Herald, 연합뉴스)；2024年7月，国军情报司令部海外工作部门军务员A某被捕，伪装身份活动的”黑色要员”身份信息经其个人笔记本电脑外泄，疑流向朝鲜侦察总局，部分海外特工紧急撤回(연합뉴스)；2025年8月，安全界公开分析一台被泄露的朝鲜Kimsuky操作员工作站（Phrack 72泄露事件，约9GB），Genians随后披露Kimsuky用AI深度伪造韩国军官证实施钓鱼攻击(Lazarus.day, GBHackers)；2026年7月24日，国防部又披露国军医务司令部移动医疗影像系统（PACS）于2025年11—12月遭未授权访问约8GB（约千张X光片）数据，6家军队医院受影响、系统内存有115万人份影像，相关通信端口裸露长达四个月，3名军官被提请问责(연합뉴스, 중앙일보)。在此背景下，一份自称”国防部1TB”的叫卖帖，天然具备舆论引爆力。

五、影响评估：若属实的三重危害

第一，编制透明化风险。组织表覆盖陆海空三军及兵务厅全体系代码与隶属关系，可直接服务于定向钓鱼的”话术定制”、薄弱环节筛选与人员关联分析。

第二，指挥通信暴露风险。用户表包含防谍、网络战（777司令部）系统的现役通信账号、手机号段与调度席信息；若攻击者据此实施SIM交换、钓鱼或供应链渗透，可能危及军用指挥通信网的账号层安全；告警截图则泄露了平台架构（IMS/MCPTT、PostgreSQL）与设备命名规则。

第三，征兵动员体系风险。兵务厅地方机构与科室信息外泄，可能波及数百万服役对象的行政安全。反之，若属旧数据翻新或拼接造假，其危害则主要体现在认知战层面——在防谍体系解散重组、指挥关系交接的脆弱窗口期制造”军方门户大开”的舆论印象。

六、防范措施与后续观察

对韩国国防部与兵务厅而言，当务之急是以样本反查源头：将680个PTT号码与组织代码同在用系统逐一比对，锁定失陷平台与导出时间，强制轮换涉事平台全部账号凭据，回溯2026年以来的批量导出与异常登录日志；中期应对MCPTT等任务关键系统落实零信任架构、抗钓鱼多因素认证与最小权限管控，并建立暗网叫卖帖的常态化监测—取证—反制联动。

后续发展有三个关键观察点：一是韩国国防部是否正式立案并公布取证结论（对照PACS事件”承认访问、否认证实泄露”的处置惯例，官方表态大概率保持克制）；二是发帖者是否放出更多样本”自证”，尤其是帖子宣称的”内部机密文件”是否现身；三是30万美元的叫卖能否成交——暗网数据交易的规律是，无人问津的帖子往往在一段时间后转为免费公开，以换取声望与关注。