외교부 해킹에 정보요원까지 탈탈 털려 … 로그 부실로 사후 분석·피해 규명도 '깜깜이'

외교부 산하 국립외교원 온라인교육시스템 해킹으로 해외 파견 정보기관 요원 수백 명을 비롯해 전·현직 외교관과 재외공관 주재관 등 최대 1만여 명의 개인정보가 유출되는 초유의 사태가 벌어졌다. 국가정보원이 중국 국가안전부 소행으로 특정한 외교부 이메일 4.5GB 유출 사건, 과학기술정보통신부 산하 정보통신기획평가원(IITP) 개인정보접속기록관리시스템 해킹 사건 등에 이은 이번 대규모 해킹은 침해가 진행되는 동안 인지조차 되지 못했다. 

그럼에도 정보보안 컨트롤타워인 정부는 정보보안의 출발점인 로그 정책은 뒷전으로 미룬 채 여전히 네트워크 보안과 인증 강화만 강조하고 있다는 지적이 제기된다.

외교부 당국자는 지난 21일 기자들과 만나 "해당 시스템에 약 1만 건의 데이터가 저장돼 있다"며 "외교부 본부 인원은 거의 다 포함됐다고 상정한다"고 밝혔다. 또 다른 외교부 관계자는 "청와대에도 보고가 됐다"며 "이를 계기로 사이버 보안시스템에 불충분한 점과 미흡한 점은 없는지 심각하게 들여다보려고 한다"고 말했다.

국립외교원 온라인교육시스템에는 전현직 외교부 본부 직원, 재외공관 공무원 및 행정 직원과 주재관 등의 직책이나 소속 부서 정보도 저장돼 있는 것으로 알려졌다. 정부가 지금까지 공개한 적 없는 전체 외교관 명단과 재외공관 근무자 현황 등뿐 아니라 국정원 요원이나 국방부 무관 등에 대한 정보도 유출됐을 가능성이 있는 만큼 실제 피해 규모는 공개된 것보다 클 것으로 보인다. 모든 외교관과 정부 부처 주재관들은 해외공관으로 나가기 전에 국립외교원 온라인교육시스템을 통한 교육을 받아야 하기 때문이다.

외교부는 "유출 정황 개인정보 항목은 국립외교원 온라인교육시스템 교육대상자의 ID, 성명, 이메일, 암호화된 비밀번호 등이며, 고유식별정보, 민감정보 및 휴대전화번호, 집 주소, 사진은 포함돼 있지 않았다"고 선을 그었다.

그러나 외교부의 이런 설명은 현실과 괴리가 있다. 한 국책연구기관 소속 안보 전문가는 "국내 다수 시스템은 주민등록번호·전화번호·주소 등 개인정보를 계정 정보와 별도 구조·강력한 암호화로 분리하기보다, 같은 데이터베이스·테이블에 함께 저장해 운용하는 경우가 많다"며 "공개된 항목보다 실제 유출 범위가 넓을 가능성이 크다"고 지적했다.

특히 코로나19 시기 온라인 교육이 집중적으로 이뤄졌고, 교육 대상도 신임 외교관부터 중간간부, 공관장, 특임공관장, 타 부처 국장급까지 광범위하게 걸쳐 있는 만큼 피해 규모는 외교부가 파악한 것보다 더욱 클 것으로 예상된다. 전직 외교부 고위 당국자는 "그동안 해킹이 보도된 것보다 빈번하게 이뤄졌다"며 "공개되지 않은 취약점을 노리는 제로데이 공격이나 기존 방화벽·침입차단 장비를 우회하는 복합 공격이 이 분야에서 반복적으로 일어났다. 보안 기술은 창과 방패처럼 공격과 방어가 계속 맞서는 분야라, 매번 선제적으로 모든 공격을 막아내는 것은 구조적으로 쉽지 않다"고 토로했다.

국립외교원 내부에서는 이번 해킹 사건을 단순한 기술 사고가 아니라, 이미 일상적으로 체감해 온 사이버 위협의 연장선으로 인식하는 분위기다. 

외교·안보 전문가를 상대로 정부기관이나 싱크탱크를 사칭해 계좌번호, 주민등록번호, 주소 등 민감 정보를 요구해 수집하는 사례가 반복돼 왔다. 이메일이나 문서의 내용과 형식을 실제 정책 제안서나 발제 요청과 거의 구분할 수 없을 정도로 정교하게 꾸미고 전화까지 걸어 전문가들이 의심 없이 응하도록 유도하는 구조다. 국립외교원 직원들은 해킹 관련 주의 공지가 잇따라 발송되는 상황에서 아예 이메일을 열지 않고 업무를 처리할 정도로 경계심을 높이고 있다.

이는 외교부가 밝혔듯 "국가안보와 무관하지 않은 상황"이며, 나아가 개인 안전에 대한 우려마저 나오고 있다. 또 다른 국책연구기관 전문가는 "외교부를 겨냥한 사이버 공격의 배후는 대체로 북한이나 중국으로 의심돼 왔고 외교·안보 부처의 서버·메일·교육 시스템은 이들 국가의 전통적 표적 중 하나"라며 "외교관·주재관·정보요원 정보는 일반 국민 데이터보다 1000배, 100만 배 가치가 있는 정보"라고 평가했다. 

외교부 관계자는 "외교·안보 인력의 주소·연락처·계좌 정보 같은 개인 식별정보가 유출될 경우 해당 인물이 표적형 정보수집이나 스피어피싱의 대상이 될 위험이 있다"며 "이런 유형의 정보가 축적되는 것 자체가 개인 안전과 무관하지 않다"고 우려했다.

국립외교원 사건이 드러난 경위 자체가 정부 정보 보안 체제에 근본적인 한계가 있음을 보여준다. 외교부나 국정원이 자체 시스템을 통해 침해 사실을 선제적으로 찾아낸 것이 아니라, 외부에서 포착된 비정상 접근·정보 거래 정황 등을 토대로 뒤늦게 공격 흔적을 확인하는 구조라는 것. 국립외교원처럼 금전 협박에 응할 유인이 크지 않은 기관을 겨냥한 공격은 애초부터 데이터를 제3자에게 넘기는 거래형 공격일 가능성이 크고, 이런 유형의 공격은 은밀하게 이뤄지는 탓에 해외 정보망에서 관련 정황이 먼저 포착되는 경우가 많다. 이 같은 구조에서는 외교부가 자체적으로 공격 여부와 피해 범위를 가늠하기 어렵고, 외부 통보에 의존해 사고를 인지할 수밖에 없다.

외교부를 겨냥한 해킹 시도는 최근 5년간 꾸준히 증가해 왔다. 외교부가 국회에 제출한 자료에 따르면 외교부 대상 해킹 시도는 2021년 9002건에서 2024년 1만4674건으로 늘었고, 2025년 1~7월에만 1만1706건에 달했다. 같은 기간 외교부 이메일 계정을 탈취하거나 해킹 이메일을 보내는 공격은 2021년 1339건에서 2024년 3302건, 2025년 1~7월에는 4240건으로 3배 이상 증가했다. 

공격 유형별로는 서버 정보유출 시도와 메일 계정 탈취, 홈페이지 해킹, 네트워크 침입 등이 급증한 것으로 나타났다. 특히 2022년에는 외교부 정보시스템에 저장된 이메일 일부가 해킹 공격으로 유출돼 약 4.5GB 분량의 이메일 자료가 빠져나간 사실이 약 22개월 뒤에 뒤늦게 알려지기도 했다.

국립외교원 해킹으로 전현직 외교관과 재외공관 주재관, 재외공관에 근무하는 정보기관·군 관계자 등 1만여 명의 개인정보 유출이 확인된 것은 그동안의 공격 패턴이 결국 실제 피해로 이어졌다는 점을 보여준다. 외교부는 지난해 4월부터 10개월간 이어진 해킹을 국정원으로부터 통보받은 뒤에야 인지했고, 침해 사실을 안 뒤에도 5개월이 지난 시점에서야 공지를 통해 피해 사실을 공개했다.

물론 이러한 사후약방문식 패턴은 외교부만의 문제는 아니다. 지난해 SK텔레콤과 쿠팡 해킹 사고 역시 각각 수개월간 피해가 파악되지 않은 채 이어졌다. 12만 명 개인정보가 유출된 것으로 알려진 한국연구재단 논문투고시스템 해킹, 올해 7월 과학기술정보통신부 산하 연구개발(R&D) 관리 전문 기관인 정보통신기획평가원(IITP) 개인정보접속기록관리시스템 해킹 등에서 알 수 있듯이 정부 산하기관에 대한 해킹 공격은 반복되고 있다.

그러나 해킹이 발생할 때마다 피해 범위와 공격 경로가 제대로 규명되지 않는다는 지적이 꾸준히 나온다. 해킹 발생 여부와 데이터 유출 규모, 공격 경로와 대응 방향을 판단하는 근거는 결국 로그에 담긴 기록이지만, 해킹이 발생한 뒤에도 자체 조사나 정부 합동조사에서 정작 분석에 필요한 기록이 충분히 확보되지 않는 상황이 되풀이되고 있다. 

문제의 핵심은 해킹 사후 분석에 필요한 수준의 로그가 저절로 남지 않는다는 것이다. 운영체제와 서버, 애플리케이션은 어떤 행위를 어떤 수준까지 기록할지, 어떤 이벤트를 감사 대상으로 삼을지, 어느 수준까지 세부 내역을 남길지를 관리자가 명시적으로 설정해야만 적절한 로그를 생성한다.

정부는 정보보호·개인정보보호 관리체계 인증(ISMS-P) 등을 통해 로그의 보존·점검 의무와 최소 접속기록 항목은 제시하고 있지만, 실제 해킹 행위를 분석하고 탐지하기 위한 공격자 행위 로그(계정·권한 변경, 프로세스 실행, 원격 접속, 대량 다운로드 등)를 운영체제·서버·웹 서비스별로 어떻게 설정할지에 대한 표준 로그 항목·설정 가이드는 제시하지 않고 있다. 정부가 운영체제와 웹 서비스가 무엇을 기록할지 정하지 못한 상태에서 해킹 사건은 언제나 "그동안 몰랐다. 로그가 없어 유출 내역을 특정할 수 없다"는 결론으로 끝날 수밖에 없게 된다.