외교안보 요원 1만 명 정보 유출…시스템 사실상 완전 장악
국립외교원 온라인교육시스템이 해킹당해 외교관과 정보기관 요원 등 약 1만 명의 개인정보가 유출된 사실이 뒤늦게 알려졌습니다. 공격은 지난해 4월에 시작돼 올해 2월에야 발견되었는데, 무려 10개월간 지속됐습니다. 해커는 전자서명 인증을 담당하는 보안 소프트웨어의 취약점을 노렸는데요. 이 틈을 타 시스템 관리자 권한을 빼앗은 뒤 파일을 마음대로 업로드하고 실행까지 할 수 있었습니다. 한국인터넷진흥원 역시 해당 취약점을 통해 명령 실행과 파일 업로드가 모두 가능하다고 분석했습니다. IT 전문가들은 이 정도면 웹사이트가 사실상 완전히 장악된 상태라고 보고 있습니다.
'물웅덩이 공격' 가능성까지…10개월간의 침묵
문제는 단순 정보 유출에 그치지 않을 수 있다는 점입니다. 해커가 교육 동영상 등에 악성코드를 숨겨 접속자의 기기를 감염시키는 '물웅덩이 공격'을 시도했을 가능성이 제기되었습니다. 외교관과 정부부처 주재관들이 주로 이용하는 시스템인 만큼, 1차 침해를 넘어 보안망이 뚫린 기기를 통한 추가 피해가 우려됩니다. 사실 10개월이라는 긴 시간 동안 내부가 통제되었다는 점 자체가 이번 사건의 심각성을 보여주는 대목입니다. 전문가들은 해커가 장기간 권한을 쥔 뒤 전술을 바꿔 추가 공격을 펼쳤을 수 있다고 설명합니다. 공격자가 언제, 어떤 방식으로 전략을 바꿨을지 알 수 없는 상황인 셈입니다.
늑장 신고 논란과 정부의 해명
피해 규모가 커지는 가운데 외교부의 초기 대응도 지적받고 있습니다. 개인정보보호법 시행령은 유출 인지 후 72시간 이내 신고를 의무화하고 있는데, 외교부는 3개월이 지나서야 개인정보보호위원회에 신고했습니다. 이에 개인정보보호위원회가 늑장 신고의 적절성 여부를 두고 조사에 착수했고, 외교부는 국가안보상 불가피한 사유였다고 해명했습니다. 위성락 국가안보실장은 정부가 고의로 숨긴 것이 아니라며, 지난 2월 인지 후 안보 차원에서 시급한 조치를 취하느라 대외 공표가 늦어졌다고 설명했습니다. 또 초기 소통이 부족해 오해가 생긴 점을 인정하기도 했는데요. 외교 기관이 해커의 주요 표적이 될 수밖에 없는 만큼, 보안 체계 강화와 투명한 소통이 동시에 필요해 보입니다.