韩国海军陆战队退伍军人协会涉嫌数据泄露-全球CTI监控

事件概述

2026年6月10日，黑客声称分享韩国网站 rokmcva.kr 的用户数据库。该数据库包含约 1,000 名用户（~250MB SQL 格式转储）。泄露数据包括用户名、电子邮件地址、密码哈希（SHA512/SHA256）、真实姓名（韩文）、昵称、IP 地址、注册/最后登录时间以及部分额外元数据。

20260611221935379-图片

rokmcva.kr 是 대한민국 해병대전우회（Republic of Korea Marine Corps Veterans Association，韩国海军陆战队退伍军人协会）的官方网站。该协会是一个合法的退伍军人组织，致力于成员联络、纪念活动、募捐和爱国教育。

威胁行为者

动机：典型暗网数据经纪行为——声誉提升、潜在销售或免费分享以吸引流量。帖子包含样本记录，旨在证明真实性。
技术：SQL 转储格式，表明可能通过 SQL 注入、配置错误、凭证填充或内部访问获得数据库。未明确说明入侵向量。

"member_srl","user_id","email_address","password","email_id","email_host","phone_number","phone_country","phone_type","user_name","nick_name","find_account_question","find_account_answer","homepage","blog","birthday","allow_mailing","allow_message","denied","status","limit_date","regdate","ipaddress","last_login","last_login_ipaddress","change_password_date","is_admin","description","extra_vars","list_order" "4","admin","rokmc153@hanmail.net","sha512:0032768:Biyfp0yF4jEk:pMmHghtmCj1f39HuUy/hguWeCEVW1agf","rokmc153","hanmail.net",,,,"admin","관리자",NULL,,,,,"N","Y","N","APPROVED",,"20210713202532",NULL,"20211216192314",NULL,"20210713202532","Y",,"O:8:""stdClass"":4:{s:15:""xe_validator_id"";s:20:"

Vandal 提供样本显示管理员账号（“admin”）和普通成员记录，部分用户有韩国 IP（如 14.55.203.242、49.142.177.113、175.196.0.97）。

泄露数据分析

数据库结构（从样本推断）：

核心字段：member_srl、user_id、email_address、password（哈希）、email_id/host、phone_number（多为空）、user_name（真实姓名）、nick_name、find_account_question/answer、regdate、ipaddress、last_login、last_login_ipaddress、is_admin、extra_vars 等。
哈希：混合使用 SHA512（较强）和 SHA256（带盐？）。部分旧记录可能易破解。
敏感性：
- PII：真实姓名、电子邮件（多为 naver.com、hanmail.net、gmail.com）、部分电话、国家代码。
- 位置/活动：IP 地址、注册/登录时间，可用于地理定位和时间线分析。
- 关联：昵称常与“해병대”（Marine Corps）相关，如“무적해병상승해병”、“울산연합회”等，揭示退伍军人身份和地方分会（e.g., 蔚山联合会）。
- 规模：约 1,000 条记录，覆盖 2021 年至今的注册用户，包括管理员和活跃成员。

归因与背景

网站背景：rokmcva.kr 是韩国海军陆战队退伍军人中央会的官方站点，包含新闻、活动、捐款记录和成员区。使用 XE CMS（从 extra_vars 可见）。
无公开确认：截至报告时间，未见 rokmcva.kr 官方披露或主流媒体报道此特定泄露（韩国近期有其他大型泄露，如 Coupang，但不相关）。
类似事件：暗网论坛常交易小型组织/协会数据库。韩国退伍军人团体数字化程度高，但安全实践可能滞后。