Malgeun Soft заявила об утечке 2,37 млн записей клиентов

Подробно

Что известно об утечке в Malgeun Soft?

Malgeun Soft поставляет и обслуживает облачные системы онлайн-обучения для компаний и государственных учреждений Южной Кореи. По материалам PIPC, которые регулятор передал офису Хан Чан Мина, члена парламентского Комитета по государственным делам от Социал-демократической партии, компания заявила об утечке примерно 2,37 млн записей пользователей более чем 20 организаций. Об этом 13 октября 2026 года в 06:01 по корейскому времени (00:01 мск) сообщили Yonhap и Financial News.

PIPC окончательный масштаб пока не подтвердила: регулятор ещё проверяет, сколько данных утекло и какие именно. Компания в официальном заявлении признала:

«На сервере образовательных сайтов произошёл незаконный доступ внешнего злоумышленника, и мы подтвердили утечку персональных данных части пользователей».

Генеральный директор Malgeun Soft Ха Гын Хо извинился: «Мы глубоко извиняемся перед клиентами, которые доверяли и пользовались Malgeun Soft».

Как взломали сервер Malgeun Soft?

По уточнённой хронологии Malgeun Soft и одного из её клиентов, PENTA INSTITUTE, злоумышленник получил несанкционированный доступ к административной странице 19 сентября 2026 года около 14:47 по корейскому времени (08:47 мск). Базы пользователей выгрузили 20 сентября около 10:04 (04:04 мск). В ранних уведомлениях клиентов называлось другое время - 19 сентября 18:26 или 20 сентября 10:21, позже его исправили.

На сервере нашли бэкдор и файлы для рассылки спам-SMS. Через этот сервер злоумышленник и получил доступ к базам пользовательских данных. Как именно он проник в систему - через уязвимость, украденные учётные данные или иначе, - не раскрывается. Кто стоит за атакой, тоже неизвестно: не названы ни личность, ни страна, ни группировка, ни мотив. Причастность КНДР или другого государства ничем не подтверждена.

Сама компания узнала об инциденте только 22 сентября около 09:35 (03:35 мск), когда SMS-оператор сообщил о подозрительной спам-рассылке с аккаунта одного из её клиентов. Значит, собственный мониторинг Malgeun Soft не заметил ни проникновения, ни выгрузки данных. 23 сентября после сплошной проверки компания окончательно подтвердила утечку. По её словам, спам рассылали не по телефонам из украденных баз, а по номерам, которые случайным образом генерировала отдельная программа. Независимого подтверждения этой версии PIPC и KISA пока не публиковали.

Какие организации пострадали от взлома?

Полный список клиентов, которых затронула утечка, официально не опубликован. В разных материалах говорится об «около 20», «более 20» организациях или «22 сайтах». Среди публично названных:

• Министерство национальной обороны Республики Корея - затронут учебный сайт профессиональных консультантов по армейской жизни; сколько там пострадавших и какие поля утекли, публично не сообщалось;
• Комиссия по борьбе с коррупцией и защите гражданских прав (ACRC) - платформа «Чхоннём квонъик пэумтхо» (Clean Integrity and Rights Learning Center), 104 139 пользователей;
• Корейский институт безопасности образовательных объектов - около 40 тыс. пользователей;
• профсоюз завода Kia AutoLand Gwangmyeong - около 5 тыс. членов;
• Академия рекламы Korea Broadcast Advertising Corporation (KOBACO);
• PENTA INSTITUTE компании Penta Security, Корейский центр обучения информационной безопасности KISEC, онлайн-центр Корейского коммерческого арбитражного совета, платформа Invets и другие образовательные сайты.

По данным Seoul Economic Daily, профсоюз Kia также проверяет, не затронуты ли работники заводов в Хвасоне и Кванджу. Сколько их, не сообщается.

Вместе публично раскрытые цифры по ACRC, институту и профсоюзу Kia дают около 149 тыс. записей. Но складывать их как число уникальных людей нельзя: один человек мог быть зарегистрирован на нескольких платформах. Ранняя отраслевая оценка, которую приводила Hankook Ilbo, - максимум около 300 тыс. пострадавших на 22 сайтах - появилась до заявления о 2,37 млн записей и, вероятно, учитывала только известные тогда площадки.

Какие персональные данные утекли?

Среди заявленных категорий данных:

• идентификаторы пользователей и пароли в зашифрованном или односторонне хешированном виде;
• номера мобильных телефонов, электронная почта, адрес;
• пол и дата рождения;
• сведения о родителях или опекунах;
• дополнительные поля, которые настраивали отдельные клиентские сайты, - например, организация, должность, табельный номер.

В массивы также попали CI (Connecting Information) и DI (Duplicate-joining Information). CI - постоянный идентификатор, который связывает результаты проверки личности в разных сервисах, DI нужен, чтобы выявлять повторные регистрации. Корейские СМИ образно называют CI «онлайн-аналогом номера жителя», но регистрационным номером он не является.

Malgeun Soft утверждает, что пароли хранились с односторонним SHA-хешированием, а телефонные номера были зашифрованы. При этом на 13 октября компания всё ещё выясняла, не похищен ли ключ шифрования номеров. Насколько надёжно защищены хеши, зависит от алгоритма, наличия соли и сложности паролей, а технические параметры не раскрыты. По словам компании, учебные курсы, данные о прохождении обучения, платёжные сведения и история платежей не похищены, а карточные данные и критические платёжные ключи она не хранит.

Представитель профсоюза Kia сказал: «Телефонные номера были похищены в зашифрованном виде, поэтому вероятность реального вторичного ущерба оценивается как низкая». Однако то, что вторичного ущерба пока не выявлено, не гарантирует, что злоупотреблений не было и не будет.

Почему утекли данные старой системы ACRC?

Платформу ACRC в апреле 2025 года перевели на новую систему с сертификацией облачной безопасности CSAP. Старую базу временно оставили на случай отката при сбоях, но после стабилизации Malgeun Soft её не уничтожила. В сентябре 2026 года похитили именно эту базу. Оставшиеся данные старой системы компания, по её сообщению в ACRC, уничтожила только 24 сентября - уже после взлома.

Оператор платформы, Национальный институт антикоррупционного и гражданско-правового образования, заявил:

«Инцидент произошёл из-за небрежного управления подрядчика: после стабилизации системы он продолжал хранить данные, не уничтожив их».

ACRC начала проверять, уничтожены ли персональные данные по всем её аутсорсинговым проектам за последние три года, и после будущих контрактов будет требовать документального подтверждения удаления. Факт неуничтоженной старой базы подтверждён только для ACRC: открытые источники не говорят, что все 2,37 млн записей были такими же устаревшими данными.

Что делать пользователям, чьи данные могли утечь?

Компания сообщила, что к 25 сентября лично уведомила всех установленных пострадавших - по электронной почте, а если адреса не было, по SMS. Тем, с кем связаться не удалось, обещаны повторные попытки, а уведомление будет опубликовано на сайте не менее чем на 30 дней. Проверить, затронуты ли ваши данные, можно на специальной странице проверки, которую создала Malgeun Soft.

Malgeun Soft советует:

• сменить пароль в LMS и на других сайтах, где использовалась та же комбинация;
• не переходить по ссылкам из подозрительных сообщений;
• при подозрении на мошенничество звонить в KISA по номеру 118 или в полицию по номеру 112.

Какие меры приняли компания и регуляторы?

По словам Malgeun Soft, после обнаружения атаки она заблокировала IP-адрес злоумышленника, удалила бэкдор, заменила серверные и интеграционные ключи, изменила права веб-сервера и исправила уязвимости в исходном коде. Двухфакторную аутентификацию администраторов изначально планировали включить 30 сентября, но ввели досрочно, вечером 22 сентября. План из восьми направлений включает WAF и защиту от DDoS, раздельное хранение файлов и веб-приложений, изоляцию данных клиентов, отдельное управление ключами шифрования, ограничение административного доступа, постоянный анализ логов, ежегодные внешние тесты на проникновение и более строгие процедуры уничтожения данных.

PIPC получила от компании три сообщения - 22, 24 и 29 сентября - и 30 сентября начала расследование. Инцидент отнесён к «важным делам»: по критериям регулятора, это утечки данных не менее 1 млн человек, социально значимые происшествия и взломы важных госсистем. Ориентировочный срок расследования таких дел - до 12 месяцев. KISA 30 сентября провела проверку по факту киберинцидента. Министерство образования 6 октября разослало экстренные рекомендации по безопасности примерно 400 организациям. Неназванный представитель министерства сообщил: «Хотя связанные учреждения прежде не входили в сферу управления кибербезопасностью министерства, рассматривается их включение в мониторинг центра кибербезопасности».

На 13 октября 2026 года не объявлены ни сумма ущерба, ни выкуп, ни штрафы, ни компенсации, ни иски. Подозреваемых и уголовных обвинений нет.

Почему взлом считают системной проблемой?

Депутат Хан Чан Мин указывает на концентрацию данных у одного подрядчика:

«Malgeun Soft занимает первое место на внутреннем рынке облачных систем онлайн-обучения. Нельзя исключать утечку во всех учреждениях, передавших ей работу на аутсорсинг».

«Необходимо общегосударственное сплошное обследование онлайн-сервисов и платформ, где неизбежно концентрируются большие объёмы персональных данных».

Seoul Economic Daily называет эпизод примером риска в цепочке поставок: даже организация с собственной защищённой сетью может потерять данные через внешнего подрядчика, который обслуживает обучение и серверы. Бывший руководитель National Security Research Institute Пак Чун Сик, говоря о серии недавних корейских кибератак в целом, заявил, что разрозненной реакции после каждого инцидента мало и стране нужен специализированный орган уровня агентства кибербезопасности.

В сентябре о признаках взлома сообщали и другие южнокорейские образовательные сервисы - математическая школа «Сэнгакханын хвансо» и Haneul Education. Связь этих атак с инцидентом в Malgeun Soft не установлена.