외교관 정보 다 털리는데 10개월간 몰랐다…해킹에 '뻥 뚫린' 외교부

(서울=뉴스1) 김예슬 윤주현 한상희 기자 = 외교부 국립외교원의 온라인교육시스템이 약 10개월 동안 무방비로 해킹에 노출되면서 전현직 외무공무원과 재외공관 주재관 등 사실상 외교관 전체의 개인정보가 대거 유출된 것으로 나타났다. 정부는 북한을 비롯한 외국 배후 해킹조직의 소행 가능성을 열어두고 공격 주체를 추적하고 있다.

21일 외교부에 따르면 해커는 지난해 4~5월쯤 국립외교원 온라인교육시스템 서버에 침투해 올해 2월 초까지 수시로 접속했다. 외교부는 2월에 관계기관으로부터 비정상적인 접근 정황을 통보받은 뒤에야 사건을 인지, 해당 시스템을 긴급 차단하고 조사에 착수했다.

해커가 약 10개월간 서버를 장악했지만 외교부가 자체적으로 침해 사실을 조기에 파악하지 못했다는 점에서 정부의 시스템 보안 관리에 허점이 드러났다는 지적은 피할 수 없을 것으로 보인다.

국립외교원 온라인교육시스템은 외교부 본부 직원뿐 아니라 해외 공관에 파견되는 대사 및 외교관, 각 정부 부처 주재관, 재외공관 행정직원 등이 교육을 위해 사용하는 시스템이다. 코로나19 시기를 거치면서 비대면 교육의 필요성이 커진 데 따라 지난 2022년 운영을 시작했다.

유출된 정보에는 이용자의 성명과 아이디(ID), 이메일 주소, 암호화된 비밀번호 등이 포함됐다. 외교부 본부 직원 대부분과 전현직 외교관, 정부 부처 주재관, 재외공관 행정직원 등의 정보가 포함된 것으로 외교부는 보고 있다.

시스템에 저장된 개인정보는 최대 1만 건 규모로 파악됐다. 중복 유출 건수를 제외하면 실제 유출 피해를 본 인원은 6000여 명 수준이라는 관측도 나오지만, 외교부는 정확한 피해 규모와 유출 내역에 대해서는 추가 조사가 필요하다는 입장이다.

주민등록번호와 휴대전화번호, 주소, 사진 등 민감한 개인식별정보는 유출 대상에 포함되지 않은 것으로 조사됐다. 다만 전 세계 재외공관에서 근무하는 외교관과 주재관의 이름과 이메일이 대규모로 유출됐다는 점에서 이 정보들이 '맞춤형 피싱'이나 추가 해킹에 악용될 가능성이 큰 상황이다.

외교부 역시 유출된 이메일 주소를 이용한 피싱 공격 가능성을 가장 우려하는 것으로 알려졌다. 박일 외교부 대변인은 이날 정례브리핑에서 현재까지 유출된 정보를 이용한 직접적인 피해 사례는 확인되지 않았다면서도 "유출 규모가 상당하기 때문에 사후 피해가 있을 수 있어 정밀하게 보고 있다"라고 말했다.

외교부는 해킹된 온라인교육시스템의 운영을 전면 중단했으며, 충분한 보안성이 확보된 이후에야 신규 시스템 구축 여부를 검토하겠다는 입장이다.

특히 가장 우려가 되는 부분은 해외 공관에 주재관 신분으로 파견된 정보기관 요원의 개인정보 유출 가능성이다. 유출된 여러 정보를 조합해 조직 구성이나 신원이 특정될 경우, 외부에서 우리 정부의 해외 정보 활동 방식을 파악할 수도 있기 때문이다.

외교부 당국자는 정보기관 요원의 개인정보가 유출된 자료에 포함됐는지 여부에 대해서는 언급을 자제했다. 다만 그는 "국가안보와도 무관하지 않은 사안"이라며 사안의 심각성을 인지하고 있음을 시사했다.

이번 공격에는 소프트웨어 제조사조차 존재를 알지 못했던 보안상 허점인 '제로데이 취약점'이 이용된 것으로 파악됐다. 해커가 제조사도 미처 파악하지 못한 취약점을 통해 서버에 침투한 뒤 정상적인 권한을 이용한 것처럼 활동해 일반적인 보안 점검으로는 탐지가 쉽지 않았다는 게 외교부의 설명이다.

외교부는 2022년 시스템 구축 당시 보안점검을 실시했고 이후에도 주기적으로 점검해 왔다고 밝혔다. 박 대변인은 "최근 해킹 기술이 고도화·지능화되고 있어 인지하는 데 어려움이 있었다"라고 설명했다.

다만 일각에서는 해킹된 서버가 외교부의 정기 보안점검 대상에서 사실상 빠져 있었고, 퇴직 외교관이나 원소속 부처로 복귀한 주재관의 개인정보도 제때 삭제되지 않아 피해가 커졌다는 지적도 제기한다. 외교부가 주기적 보안점검을 실시했다고 밝힌 만큼 향후 조사에서는 실제 점검 범위와 방식, 개인정보 보관·삭제 절차가 적절했는지 규명돼야 할 것으로 보인다.

공격 주체는 아직 특정되지 않았다. 정부는 북한 당국 혹은 북한이 배후에 있는 해킹조직의 소행 가능성도 열어두고 조사하고 있다.

보안업계에서는 소프트웨어 공급망이나 파악이 어려운 취약점을 이용해 공공기관 전산망에 침투하는 방식이 북한 관련 해킹조직이 과거 사용한 수법과 유사하다는 분석도 제기된다. 북한은 정찰정보총국(구 정찰총국) 산하 라자루스와 킴수키, 안다리엘 등의 조직을 동원해 한국 주요 정부기관과 방산·금융기관을 상대로 정보 탈취를 시도해 왔다.

북한의 해킹조직 '라자루스'는 2021년부터 2023년까지 대법원 전산망에 침투해 문서 5000여 건을 탈취한 것으로 드러난 바 있다. 다만 공격 방식이 유사하다는 이유만으로 이번 사건을 북한 소행으로만 단정할 수는 없다는 게 정부의 입장이다.

외교부가 외부의 해킹 사실을 인지한 뒤 약 5개월이 지난 20일에야 이를 공개한 것을 두고 늑장 대응 논란도 불가피할 전망이다. 외교부는 올해 2월 초 시스템을 차단했지만 유출 대상자에 대한 개별 통보도 아직 완료하지 못했다.

박 대변인은 공개가 늦어진 배경에 대해 "외교안보 기관에서 발생한 사안의 민감성이 있었고 관련 검토와 분석에도 신중을 기해야 했다"며 "수법이 지능화됐고 처음 접하는 수법이어서 관계기관과 파악하는 데 영향을 받았다"라고 설명했다.

퇴직자나 원부처로 복귀한 주재관의 경우 기존 이메일 계정이 만료돼 통보가 쉽지 않은 상황인 것으로 전해졌다. 시스템에 전화번호가 저장돼 있지 않아 개별 통보 수단도 이메일로 제한된다는 것이 외교부의 설명이다.

외교부는 해킹된 시스템이 외교부 내부 업무망이나 여권시스템 등과 물리적·논리적으로 분리돼 있어 다른 시스템으로 피해가 직접 확산했을 가능성은 작다고 설명했다.

외부 수사기관에 정식으로 수사를 의뢰할지 여부도 아직 결정되지 않았다. 외교부는 관계기관과 공격 경로와 유출 범위, 공격 주체를 조사하는 한편 내부 사이버 보안 체계와 개인정보 관리 실태를 전면 점검할 방침이다.

박 대변인은 "이번 사안을 엄중하게 인식하고 있다"며 "사건을 철저히 규명하고 내부 사이버 보안 체계를 정밀하게 점검해 미비점을 보완·개선하는 동시에 관련 관리시스템을 강화하겠다"라고 말했다.

yeseul@news1.kr