국방망·법원망 뚫리고도…외교원 해킹은 왜 또 놓쳤나 [한반도 GPS]

(서울=뉴스1) 한상희 기자 = 이번에 해커가 침입한 곳은 외교 기밀이 오가는 외교부 핵심망이 아니었습니다. 외교관 교육용으로 만든 국립외교원 온라인교육시스템이었습니다.

그런데 이 시스템에는 현직 외교관 사실상 전원에 재외공관 직원, 다른 부처 파견자까지 최대 1만 건의 개인정보가 쌓여 있었습니다. 이름과 이메일, 아이디를 교차하면 우리 외교·안보 인력의 소속과 근무지를 추정할 수 있는 '사람 명부'였습니다.

해커는 지난해 4~5월 이 서버에 처음 들어왔습니다. 그리고 올해 2월까지 수시로 드나들었습니다. 10개월입니다. 그동안 외교부는 침입을 알아차리지 못했습니다. 관계기관이 이상 징후를 알려주고서야 뒤늦게 알았고, 무엇이 얼마나 빠져나갔는지는 지금도 명확하지 않습니다.

처음 있는 일이 아닙니다.

2016년에는 북한 해킹조직으로 추정되는 세력이 군에 백신을 납품하는 업체를 먼저 뚫고 그 중계서버를 징검다리 삼아 내·외부망이 연결된 지점을 타고 국방망에 들어갔습니다. PC 약 3200대에 악성코드가 퍼졌고, 군사자료 176건이 빠져나간 것으로 조사됐습니다.

2021년 1월 이전부터 2023년 2월까지는 법원 전산망이 당했습니다. 북한 해킹조직이 2년 넘게 드나들며 데이터 1014GB를 빼갔습니다. 그런데 접속기록이 충분히 남아 있지 않아, 무엇이 유출됐는지 확인된 자료는 4.7GB. 전체의 0.5%에 불과했습니다.

경로도 대상도 달랐지만, 닮은 점이 있습니다. 오래 이어진 침입을 제때 발견하지 못했다는 것. 그리고 뒤늦게 알고 나서도 정확한 피해 규모조차 밝혀내지 못했다는 것입니다.

외교부는 소프트웨어 제조사조차 몰랐던 '제로데이 취약점'을 이용한 공격이라, 기존 점검으로는 잡아내기 어려웠다고 설명합니다. 맞는 말입니다. 그러나 절반만 맞습니다. 제로데이는 '첫 침입'을 막지 못한 이유는 될 수 있어도, 그 뒤 10개월 동안 반복된 접속을 보지 못한 이유까지 설명해 주지는 못합니다.

침입 이후 계정 사용과 접속·정보 조회 기록이 어디까지 남았는지, 그 기록을 들여다보는 이상행위 감시체계가 제대로 돌아가고 있었는지 따져봐야 하는 이유입니다.

대책이 없었던 것도 아닙니다. 국방부는 국방망 해킹 뒤 재발 방지 대책을 내놨고, 법원행정처도 침해 사고 뒤 일일 보안점검과 모니터링 강화에 나섰습니다. 정부 차원에서도 국가 사이버보안 기본지침, 정보보안 관리실태 평가, 보안권고문 배포 같은 제도를 운영해 왔습니다.

문제는 과거 사고에서 확인된 침투 경로와 탐지 실패의 교훈이, 다른 기관의 시스템을 점검하는 기준으로까지 이어졌느냐는 겁니다. 특히 주요정보통신기반시설 울타리 밖에 있으면서도 핵심 인력정보가 쌓여 있는 시스템이, 그 정보의 가치에 걸맞은 보호를 받고 있었는지는 분명하지 않습니다.

국립외교원 온라인교육시스템이 그런 경우였습니다. 외교부는 2022년 개통 전후는 물론 2024년과 2025년에도 여러 차례 보안점검을 했다고 설명합니다. 다만 이 시스템은 주요정보통신기반시설로 지정되지 않아 정해진 주기에 따라 점검받는 대상이 아니었고, 새 취약점이나 위협정보가 통보되면 그때그때 확인하는 수시점검이었습니다.

점검은 여러 번 했습니다. 그런데 침입은 못 봤습니다. 결국 물어야 할 것은 점검의 '횟수'가 아니라, 그 안에 담긴 정보의 민감도에 맞는 상시 감시가 '작동'했느냐입니다.

해외에서도 공격자들이 노린 곳은 비슷했습니다. 기밀망보다 방어가 상대적으로 느슨하면서, 핵심 인력정보가 한데 모여 있는 시스템이었습니다.

미국에서는 2015년 연방 인사관리처(OPM)가 해킹돼 공무원과 정부 계약업체 직원 등 2200만여 명의 정보가 유출됐습니다. 안보 분야 취업에 쓰이는 신원조사 자료와 지문까지 포함됐습니다. 미국 정부는 이후 신원조사 업무를 국방부 산하 국방방첩안보국(DCSA)으로 아예 옮겼습니다.

2024년 영국에서는 외부업체가 운영하던 군 급여망이 뚫려 현역·예비군 등 약 27만 명의 이름과 계좌정보가 노출됐습니다. 같은 해 네덜란드에서도 경찰 계정 하나가 해킹돼 경찰관과 지원인력 약 6만5000명의 이름과 업무용 이메일이 유출됐습니다.

세 사건 모두, 뚫린 곳은 군사작전이나 외교기밀을 직접 다루는 핵심망이 아니었습니다. 그러나 미국의 신원조사 자료, 영국군의 급여정보, 네덜란드 경찰의 연락망은 모두 핵심 인력의 신원과 소속, 관계를 읽어낼 수 있는 정보였습니다. 해커에게는 기밀문서만이 아니라, 기밀에 접근하는 '사람들의 명단'도 중요한 표적이었던 겁니다.

국립외교원 사건도 같은 맥락입니다. 이름은 온라인교육시스템이지만, 그 안에 담긴 정보의 가치를 따지면 우리 외교·안보 인력의 현황을 추정할 수 있는 데이터베이스였습니다.

외교부는 앞으로 시스템 구축업체를 고를 때 가격만이 아니라 보안체계도 주요 기준으로 삼겠다고 밝혔습니다. 필요한 조치입니다. 그러나 이번에 뚫린 서버 한 곳을 메우는 데서 멈춰서는 안 됩니다.

이번 교훈이 또다시 국립외교원 담장 안에 머문다면, 다음 공격자는 다른 기관의 문을 두드릴 겁니다. 사후약방문식 땜질이 아니라 예방이 먼저여야 하는 이유입니다. 정부는 이제라도 모든 부처의 독립 운영 서버와 교육시스템을 전수 점검해야 합니다.

angela0204@news1.kr