Güney Kore Dışişleri Bakanlığı, hükümete bağlı Kore Ulusal Diplomasi Akademisi’nin çevrim içi eğitim sistemine düzenlenen siber saldırıda “önemli” miktarda verinin açığa çıkmış olabileceğini açıklamıştır. Saldırganların daha önce bilinmeyen bir yazılım açığından ve güvenlik yapılandırmasındaki zafiyetlerden yararlanarak Nisan-Mayıs 2025 döneminde bir sunucunun kontrolünü ele geçirdiği, erişimin ise şüpheli faaliyetin tespit edildiği Şubat 2026 tarihine kadar sürdüğü belirtilmiştir. Sistem; eğitim videolarının yanı sıra katılımcıların adlarını, kullanıcı kimliklerini ve kurs yönetiminde kullanılan çeşitli bilgileri barındırmaktadır. Güney Kore basınında yaklaşık 6.000 mevcut ve eski diplomat ile başka bakanlıklardan görevlendirilen kamu çalışanının kişisel bilgilerinin etkilenmiş olabileceği ileri sürülse de sızıntının kesin kapsamı henüz resmî olarak belirlenmemiştir.[i]
İlk bakışta bu olay, bir kamu kurumunun eğitim platformunda yaşanan geniş ölçekli bir kişisel veri ihlali olarak görülebilir. Ancak hedef alınan kurumun işlevi, vakayı sıradan bir siber güvenlik olayının ötesine taşımaktadır. Diplomasi akademileri yalnızca çevrim içi derslerin sunulduğu eğitim kurumları değildir. Bu kurumlar, diplomatların mesleki gelişimini sağlayan, dış görevlere hazırlanacak personeli yetiştiren ve farklı kamu kurumlarından gelen görevliler arasında kurumsal ilişkiler oluşturan yapılardır. Dolayısıyla bu sistemlere yönelik uzun süreli erişim, kişisel bilgilerin ele geçirilmesinin ötesinde bir devletin dış politika kapasitesini taşıyan insan kaynağının ve kurumsal ağların görünür hâle gelmesi riskini de beraberinde getirmektedir.
Saldırıda hangi verilerin dışarıya aktarıldığının henüz tespit edilememiş olması nedeniyle kesin sonuçlara ulaşmak mümkün olmasa da adlar, kullanıcı kimlikleri, eğitim kayıtları, görev bilgileri ve kurumlar arası katılım verileri birlikte değerlendirildiğinde saldırganların diplomatik ilişki ağlarını haritalandırmasına imkân sağlayabilir. Bu bilgiler üzerinden hangi diplomatların belirli ülke veya güvenlik dosyalarında uzmanlaştığı, kimlerin aynı eğitim programlarına katıldığı, farklı bakanlıklar arasındaki personel bağlantıları ve hangi görevlilerin yurt dışındaki temsilciliklerle ilişkili olduğu konusunda potansiyel bir ağ haritası çıkarılabilir. Böyle bir harita, daha sonra gerçekleştirilecek hedefli oltalama saldırılarında, sahte diplomatik yazışmalarda veya sosyal mühendislik operasyonlarında kullanılabilecek bir hedef listesi oluşturabilir.
Bu nedenle modern siber casuslukta verinin değeri yalnızca içerdiği gizli belgelere bağlı değildir. Bazen sıradan görünen idari veriler, bir araya getirildiklerinde devlet kurumlarının çalışma biçimini, personel ilişkilerini ve uzmanlık dağılımını ortaya koyabilir. Bir diplomatın adı tek başına sınırlı anlam taşırken; görev yeri, eğitim geçmişi, çalıştığı dosyalar ve bağlantılı olduğu diğer görevlilerle birlikte değerlendirildiğinde istihbarat açısından çok daha değerli hâle gelebilir. Güney Kore vakası bu yönüyle saldırının gerçek hedefinin yalnızca dosyalar değil, devletin diplomatik ilişki ağı olabileceğini düşündürmektedir.
Olayın asıl stratejik önemi, saldırının failinden önce hedef seçiminde ortaya çıkmaktadır. Modern siber rekabette en değerli sistemlerin her zaman gizli belgeleri barındıran veri tabanları olmadığı ileri sürülebilir. Devletin kimler aracılığıyla dış politika ürettiğini, hangi uzmanlıkların hangi kurumlarda yoğunlaştığını ve gelecekte kimlerin karar alma süreçlerinde etkili olabileceğini gösteren idari veriler de uzun vadeli istihbarat faaliyetleri açısından son derece değerli olabilir. Bu nedenle diplomatik eğitim ve personel sistemlerinin ikincil bilişim altyapıları olarak değerlendirilmesi, devletlerin en önemli güvenlik açıklarından birini oluşturabilir.
Saldırganların daha önce bilinmeyen bir “sıfır gün” açığından yararlanmış olması da olayın teknik kapasitesine ilişkin önemli bir göstergedir.[ii] Bununla birlikte saldırının stratejik niteliğini asıl güçlendiren unsur, sisteme ilk girişten sonra erişimin yaklaşık dokuz-on ay boyunca sürdürülebilmiş olmasıdır. Sistemi çalışamaz hâle getiren veya kamuoyuna açık bir mesaj vermeyi amaçlayan yıkıcı saldırılardan farklı olarak bu tür uzun süreli erişim, mümkün olduğunca fark edilmeden bilgi toplamaya dayanan siber casusluk mantığıyla uyumludur. Saldırganın sistemde kalış süresi boyunca hangi alanlara eriştiği ve ne ölçüde veri topladığı henüz bilinmemekle birlikte olay, erken tespit kapasitesi ile düzenli güvenlik denetimlerinin en az saldırıyı önlemek kadar önemli olduğunu ortaya koymaktadır.
Bu noktada kritik altyapı kavramının da yeniden değerlendirilmesi gerekmektedir. Geleneksel olarak enerji şebekeleri, ulaşım sistemleri, finans kuruluşları, iletişim ağları ve askerî tesisler kritik altyapı kapsamında ele alınmaktadır. Ancak dış politika kararlarının hazırlanmasını sağlayan insan kaynağı, kurumsal hafıza ve dijital eğitim sistemleri zarar gördüğünde devletin kriz yönetme, müzakere yürütme ve uluslararası gelişmeleri değerlendirme kapasitesi de zayıflayabilir.
Diplomatik kurumlara yönelik bu tür saldırılar, siber güvenlik tartışmalarının giderek ulusal güvenlik söylemi içerisinde ele alınmasına neden olmaktadır. Bu durum aynı zamanda bir güvenlikleştirme sürecine işaret etmektedir. Güney Kore örneğinde diplomatlara ait verilerin yalnızca kişisel mahremiyet veya bilişim güvenliği açısından değil, devletin dış politika kapasitesine yönelik bir tehdit olarak ele alınması bu dönüşümü yansıtmaktadır. Bununla birlikte diplomatik verilerin güvenlikleştirilmesi, daha sıkı erişim kontrolleri ve kurumsal denetim açısından gerekli görünse de personelin geniş çaplı izlenmesini, bilgi paylaşımının aşırı sınırlandırılmasını ve her veri ihlalinin yabancı devlet kaynaklı bir güvenlik operasyonu olarak değerlendirilmesini de beraberinde getirebilir. Dolayısıyla diplomatik kapasitenin korunması ile güvenlik söyleminin kurumsal açıklık ve personel mahremiyeti üzerinde yaratabileceği sınırlamalar arasında dikkatli bir denge kurulması gerekmektedir.
Bu çerçevede soruşturmanın Kuzey Kore bağlantılı bir grubu da ihtimaller arasında değerlendirmesi şaşırtıcı değildir. Kuzey Kore’yle ilişkilendirilen aktörlerin geçmişte Güney Koreli savunma şirketlerini, yarı iletken üreticilerini, kamu kurumlarını, akademisyenleri ve Kore Yarımadası üzerine çalışan düşünce kuruluşlarını hedef aldığı bilinmektedir. Güney Kore polisi 2024 yılında Lazarus, Kimsuky ve Andariel gibi Kuzey Kore bağlantılı grupların savunma şirketlerinin sistemlerine sızarak teknik veriler çaldığını açıklamıştır.[iii] ABD güvenlik kurumlarının ortak uyarılarında da Kuzey Koreli aktörlerin gazeteci, akademisyen veya dış politika çevrelerinden güvenilir kişiler gibi davranarak araştırma merkezleri ve uzmanları hedeflediği; amaçlarının dış politika stratejileri, diplomatik girişimler ve Pyongyang’ın çıkarlarını etkileyen gelişmeler hakkında istihbarat toplamak olduğu belirtilmiştir.[iv] Kuzey Kore bağlantılı Andariel grubunun savunma, havacılık, nükleer ve mühendislik kuruluşlarından hassas teknik bilgi topladığı da ABD, Birleşik Krallık ve Güney Kore tarafından yayımlanan ortak uyarılarda belgelenmiştir.[v]
Fakat geçmiş saldırı örüntüleri, mevcut olayın failini tek başına kanıtlamamaktadır. Nitekim Güney Kore Dışişleri Bakanlığı da mevcut teknik bulguların belirli bir aktöre atıf yapmak için yeterli olmadığını, soruşturmanın ise yabancı devlet destekli gruplar dâhil bütün ihtimaller üzerinden sürdürüldüğünü açıklamıştır. Siber saldırılarda kullanılan altyapının başka aktörlerce taklit edilebilmesi, saldırganların farklı ülkelerdeki sunucular üzerinden faaliyet göstermesi ve zararlı yazılımların yeniden kullanılabilmesi atıf sürecini karmaşıklaştırmaktadır. Bu nedenle Kuzey Kore bağlantısı makul bir soruşturma hattı olarak ele alınabilir; ancak teknik inceleme tamamlanmadan kesinleşmiş bir gerçek gibi sunulması doğru olmayacaktır.
Sonuç olarak Güney Kore Ulusal Diplomasi Akademisi’ne yönelik saldırı, modern devletlerin yalnızca fiziksel sınırlarının, askerî sistemlerinin veya enerji şebekelerinin değil; dış politika üreten insan ağlarının ve kurumsal hafızalarının da stratejik hedeflere dönüştüğünü göstermektedir. “Diplomatik hafıza”, bu bağlamda arşivlenmiş belgelerle birlikte diplomatların uzmanlıklarını, mesleki ilişkilerini, eğitim süreçlerini ve kurumların zaman içerisinde biriktirdiği karar üretme kapasitesini kapsamaktadır. Dolayısıyla diplomatik kurumların dijital güvenliği, teknik bir bilişim meselesi olmanın ötesinde devletlerin dış politika üretme kapasitesini ve uluslararası hareket alanını korumanın temel unsurlarından biri hâline gelmektedir.
[i] “South Korea probes diplomatic academy hack, eyes possible North Korea link”, Reuters, https://www.reuters.com/legal/litigation/south-korea-probes-diplomatic-academy-hack-eyes-possible-north-korea-link-2026-07-21/, (Erişim Tarihi: 21.07.2026).
[ii] “Korean diplomatic academy’s training platform was hacked for nearly 10 months — and no one knew”, Korea JoongAng Daily, https://www.koreajoongangdaily.com/korea/korean-diplomatic-academys-training-platform-was-hacked-for-nearly-10-months-and-no-one-knew/12782219 (Erişim Tarihi: 21.07.2026).
[iii] Jack Kim, “North Korea hacking teams hack South Korea defence contractors—police”, Reuters, https://www.reuters.com/technology/cybersecurity/north-korea-hacking-teams-hack-south-korea-defence-contractors-police-2024-04-23/, (Erişim Tarihi: 21.07.2026).
[iv] “North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media”, Federal Bureau of Investigation, National Security Agency, U.S. Department of State & Republic of Korea National Intelligence Service, https://www.ic3.gov/CSA/2023/230601.pdf, (Erişim Tarihi: 21.07.2026).
[v] “North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime’s Military and Nuclear Programs”, Cybersecurity and Infrastructure Security Agency, https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-207a, (Erişim Tarihi: 21.07.2026).
