Seoul National University Hospital

lazarus.day

South Korean police attributed the 2021 Seoul National University Hospital breach to a North Korean hacking organization after investigating intrusions that used seven domestic and overseas servers as attack infrastructure from around May to June. The attackers exploited a hospital server vulnerability to enter the internal network and were assessed to have exposed personal information for roughly 830,000 patients and current or former employees, with attribution based on overlaps in IP addresses, account-registration data, IP-laundering techniques, intrusion methods, and North Korean vocabulary.

EuRepoC

The suspected North Korean state-sponsored hacking group Kimsuky gained access to the internal network of Seoul National University Hospital (SNUH) and stole personal information of approximately 831,00 patients and employees beginning from May to June 2021, National Assembly deputy Ha Tae-keung told Seoul Economic Daily in July 2021. That year, Kimsuky was known to have hacked one server and 62 workstations as well as accessed 6,969 records from June 5 to June 11, 2021. The professor of North Korean studies, Park Won-gon also said that North Korea-affiliated hacker were either looking for data on COVID-19 vaccinations or wanted to harm the South Korean government. On May 10, 2023, the Cyber Investigation Bureau of the National Police Agency (KNPA) released a report on the cyber incident at Seoul National University Hospital, concluding that North Korean hackers stole and exposed personal information of approximately 831,000 patients and employees without attributing it to a specific North Korean hacking group.

ThaiCERT Threat Group Cards

North Korean hackers breached major hospital in Seoul to steal data https://www.bleepingcomputer.com/news/security/north-korean-hackers-breached-major-hospital-in-seoul-to-steal-data/

CFR Cyber Operations Tracker

Kimsuky attacked the networks of Seoul National University Hospital in 2021 and stole personal data from over eight hundred thousand current and former patients and employees. Two years later, South Korean police attributed the attack to North Korea.

Mendeley Data: Collection of DPRK state-sponsored threat actors' activities v2 (Lyu, Sungkyunkwan Univ.)

Reported: 2021-06; Victims: Seoul National University Hospital; Motivations: DataBreach; Sectors: Healthcare; Countries: Korea, Republic of

경찰청 보도자료 (Korean National Police Agency press release, board 1002)

서울대병원 해킹 및 개인정보 유출사건(2021년), 북한 소행 - 약 83만 명의 환자・직원 개인정보 유출 정황 확인 경찰청 국가수사본부(사이버수사국)는 지난 2021년에 발생한 서울대학교병원 개인정보 유출사건을 수사한 결과, 북한 해킹조직의 소행이라고 밝혔다. 2021년 5월경부터 6월경까지 국내・외에 소재한 서버 7대를 장악하여 공격 기반을 마련하였으며, 서울대학교병원 서버의 취약점으로 내부망에 침입하 여 환자 81만여 명, 전・현직 직원 1만 7천여 명 등 약 83만 명의 개인정 보를 유출하거나 유출한 정황이 확인되었다. 경찰청은 그간 북한 해킹조직에 의한 주요 정보통신망 침입 사건을 여러 차례 수사한 사례가 있으며, 기존 북한발로 규명된 다수 사건과 비교하여, △공격 근원지의 아이피(IP) 주소 △ 인터넷 사이트 가입정보 △ 아이피 (IP) 주소 세탁 기법 △ 시스템 침입・관리 수법 등이 같고, △ 북한어휘를 사용하는 점 등을 근거로 북한 해킹조직의 소행으로 판단하였다. 경찰청은 피해기관에 침입 및 정보 유출 수법과 재발 방지를 위한 보안 권고사항을 설명하였고, 관계기관에 북한 해킹조직의 침입 수법·해킹 도구 등 관련 정보를 제공하여 정보보호 정책 수립에 활용하도록 하였다. 경찰청은 의료 분야 외 다른 분야에도 주요 정보통신망에 대한 침입 시도를 지속해서 할 것으로 예상하므로 최신 보안 업데이트 적용, 불법적인 접속 시도에 대한 접근통제, 개인정보를 포함한 중요 전산 자료 암호화 등 보안 시스템과 보안정책 강화를 당부하였다. 경찰청은 “국가 배후의 조직적 사이버 공격에 대해 치안 역량을 총동원 하여 적극적으로 대응함과 동시에, 관계기관 정보공유 및 협업을 통해 추가적인 피해를 방지함으로써 대한민국의 사이버 안보를 굳건히 지키기 위해 노력할 계획이다.”라고 밝혔다. 붙임: 사건 개요도(별도 첨부) 담당 부서 국가수사본부 사이버수사국 책임자 총경 정석화 (02-3150-0053) 사이버테러대응과 담당자 경정 이승운 (02-3150-1459) [source: attached PDF of the press release; text as extracted]

UN Panel of Experts S/2023/656

Annex 65, Case 3: “On 10 May 2023, the National Police Agency (NPA) of the Republic of Korea announced the results of its investigations into a breach of a network of one of the country's largest hospitals, Seoul National University Hospital, by DPRK cyberthreat actors. The incident, which occurred between May and June 2021, resulted in data exposure for 831,000 individuals, most of whom were patients. 17,000 of the impacted people were current and former hospital employees. ... The NPA did not mention the specific DPRK cyberthreat actor group, but ROK local media linked the attack to Kimsuky.”

'김수키'와 연관이 있는 것으로 추정된다