Korea Atomic Energy Research Institute

lazarus.day

Korea Atomic Energy Research Institute confirmed that an unidentified external actor accessed some systems through a VPN system vulnerability, after which the institute blocked attacker IP addresses and applied VPN security updates. The institute said the hacking subject and damage scope were still under investigation with relevant authorities, while public reporting had raised suspected North Korean involvement and alleged attempted concealment.

CSIS Significant Cyber Incidents

A North Korean cyberattack on South Korea's state-run Korea Atomic Energy Research Institute (KAERI) occurred through a vulnerability in a vendor’s VPN.

EuRepoC

North Korean state-sponsored hacking group Kimsuky gained access into the networks of South Korea's Atomic Energy Research Institute.

ThaiCERT Threat Group Cards

South Korean officials said on Friday that hackers believed to be operating out of North Korea breached the internal network of the South Korean Atomic Energy Research Institute (KAERI), the government organization that conducts research on nuclear power and nuclear fuel technology. https://therecord.media/north-korean-hackers-breach-south-koreas-atomic-research-agency-through-vpn-bug/

CISSM Cyber Events Database (copy exported 21 Apr 2023, via github.com/holisticinfosec/CISSM-EDA)

South Korea's government-sponsored insitute for nuclear power research is hacked by North Korean actors exploiting a VPN vulnerability.

CFR Cyber Operations Tracker

South Korea’s nuclear research center detected an intrusion into its systems in the middle of May 2021, but was able to remove the malicious code from its VPN before it could be executed.

Mendeley Data: Collection of DPRK state-sponsored threat actors' activities v2 (Lyu, Sungkyunkwan Univ.)

Reported: 2021-06; Victims: Korea Atomic Energy Research Institute; Motivations: Espionage DataBreach; Sectors: Utility; Countries: Korea, Republic of

Wikipedia (English), accessed 2026-10-06

A lawmaker from the People Power Party reported that, in May 2021, Kimsuky was detected within the internal networks of the Korea Atomic Energy Research Institute.

Seoul Economic Daily (English edition), "A Decade After OPLAN 5015 Breach, North Korea Turns to AI Hacking" (2026-10-05)

In 2021, nuclear technology materials were also targeted at institutions including the Korea Atomic Energy Research Institute.

France ANSSI/CERT-FR CERTFR-2024-CTI-008 Organismes de recherche et think tanks

Ainsi en mai 2021, l'INSTITUT CORÉEN DE RECHERCHE SUR L'ÉNERGIE ATOMIQUE (KAERI) a publiquement rapporté avoir été compromis via l'exploitation d'une vulnérabilité dans une passerelle VPN. Les autorités sud-coréennes et l'Institut de recherche ont indiqué avoir trouvé des indicateurs de compromission rattachant cette attaque au MOA réputé nord-coréen Velvet Chollima, également connu sous le nom de Kimsuky [15].

Check Point Research

South Korea’s Korea Atomic Energy Research Institute (KAERI) disclosed a breach in their internal network caused by a VPN vulnerability. The state-run nuclear institute’s network was attacked last month by what appears to be a North Korean threat actor.

Hackmageddon cyber attacks timelines (Paolo Passeri)

The Korea Atomic Energy Research Institute discloses that their internal networks were hacked by North Korean threat actors using a VPN vulnerability. [Date Occurred: 14/6/2021; Date Discovered: 14/6/2021]

KISA cyber threat trend report, 2021 H2 (2021년 하반기 사이버 위협 동향 보고서)

2021년 7월, 국가정보원에서는 한국원자력연구원이 북한에 의해 12일 동안 해킹을 당했다고 밝힘 • 국정원으로부터 VPN 서버 관리자의 패스워드를 변경하라는 통보를 받았으나 원자력연구원에서 이행하지 않아 사고가 발생한 것으로 파악됨 • 경찰 수사가 진행 중인 한국항공우주산업(KAI) 해킹 사례도 VPN 서버 관리자 패스워드를 변경하지 않은 것이 사고의 원인으로 조사됨 ▶ 2021년 6월, 하태경 의원실에서는 한국원자력연구원이 북한으로 추정되는 공격 조직에 의해 공격을 당했다고 밝힘 • 하태경 의원실에서 공개한 사이버침해사고 신고서에 따르면, 실제 사고는 5월 14일에 원자력연구원에서 사용하는 VPN의 취약점을 통해 ‘신원불명’의 외부인이 내부 서버에 접속했던 것으로 확인됨 7 국내외 사이버 위협 동향Trend [KISA report, page 8]

KISA cyber threat trend report, 2021 H2 (2021년 하반기 사이버 위협 동향 보고서)

대만 인텔리전스 업체 팀티파이브는 해킹 조직 '김수키'를 추적·감시하는 과정에서 원자력연구원 직원들의 계정정보가 이메일로 공유된 사실을 발견함 • 유출된 데이터에는 직원의 이름과 이메일 주소, 비밀번호, 부서, 직책 등이 포함되어 있음 [KISA report, page 10]

Daily NK (dailynk.com)

attribution sentence(s): 지난 2014년 한국수력원자력을 공격한 북한의 해킹조직 김수키(Kimsusy)가 이번에는 원자력연구원을 공격했다는 주장이 제기됐다. | 하 의원은 “지난달 14일 한국원자력연구원 내부 시스템이 북한 정찰총국 산하 해커 조직인 ‘김수키(kimsuky)’로 추정되는 IP를 통해 해킹당했다”며 “만약 북한에 원자력 기술 등 국가 핵심 기술이 유출됐다면 초대형 보안 사고로 기록될 수 있다”고 말했다. | 북한 사이버테러 전문 연구그룹인 ‘이슈메이커스랩’을 통해 무단접속 IP의 이력을 추적한 결과, 해당 IP가 ‘킴수키’가 지난해 코로나 백신 제약회사를 공격했던 북한 해커의 서버와 관련된 것으로 확인됐다고 하 의원은 주장했다.

Daily NK (dailynk.com)

attribution sentence(s): Home 뉴스 최신기사 “원자력硏, 12일간 북한 추정 해킹에 노출…핵융합硏·KAI도 공격” | “원자력硏, 12일간 북한 추정 해킹에 노출…핵융합硏·KAI도 공격” | 지난 5월 북한 추정 해커의 공격을 받았던 한국원자력연구원이 12일간 무방비 상태로 노출됐던 것으로 전해졌다.

UN Panel of Experts S/2022/132

Para 155: “The Panel sought information on cyberattacks against nuclear and defence-related industries of the Republic of Korea. According to cybersecurity firms and media reports, a cyberthreat group breached the internal network of the Korea Atomic Energy Research Institute in May 2021. The Internet Protocol addresses involved in launching the attack were reported as being linked to attack infrastructure used by Kimsuky.”

지난달 14일 한국원자력연구원 내부 시스템이 북한 정찰총국 산하 해커 조직인 '김수키(kimsuky)'로 추정되는 IP를 통해 해킹당했다