국립외교원 온라인교육시스템, 9개월간 해킹 피해…제로데이 취약점 악용·유출 범위 특정 못해

핵심 요약

외교부 산하 국립외교원의 온라인 교육 시스템이 미상의 공격자에 의해 약 9개월간 해킹당한 사실이 뒤늦게 드러났다. 공격자는 소프트웨어 제조사조차 인지하지 못한 제로데이(미공개) 취약점을 악용해 서버를 장악했으며, 교육 대상자의 성명·아이디 등 개인정보가 저장된 서버가 침해 대상이 됐다. 현재까지 정확한 유출 범위는 특정되지 않은 상태다.

주요 내용

9개월간 이어진 해킹, 올해 2월에야 발각

외교부는 올해 2월 초 관계 기관으로부터 국립외교원 온라인 교육 시스템에 대한 비정상적인 접근 정황을 통보받고 해당 시스템을 긴급 차단했다고 20일 공식 발표했다. 조사 결과, 미상의 공격자는 지난해 4월부터 5월 사이에 서버를 최초 장악한 뒤, 올해 2월까지 약 9개월에 걸쳐 지속적으로 접속한 것으로 확인됐다.

제로데이 취약점과 보안 설정 미비 복합 악용

공격자가 활용한 수법은 다음과 같다.

• 제로데이(Zero-day) 취약점 악용: 소프트웨어 제조사 스스로도 당시 인지하지 못했던 미공개 보안 취약점을 이용해 초기 침투에 성공
• 시스템 보안 설정 미비점 활용: 서버 내 보안 설정의 허점을 결합 활용해 권한 장악 범위 확대
• 정상 소프트웨어 권한 위장: 서버 장악 후에는 정상적인 소프트웨어 권한을 이용해 활동, 일반적인 탐지 방식으로는 식별이 사실상 불가능했던 것으로 분석됨
• 보안 업데이트 부재: 해당 시점에 제조사 측 보안 패치가 제공되지 않아 기술적 대응에 한계가 있었음

침해된 정보와 현재 상황

해킹된 온라인 교육 시스템 서버에는 교육 동영상, 교육 대상자의 성명 및 아이디 등 교육 운영에 필요한 정보가 저장돼 있었다. 외교부는 "현재로서는 유출 내역을 특정하기 어려운 상황"이라고 밝혔으며, 해당 시스템은 최초 침해가 포착된 지난 2월부터 현재까지 차단된 상태로 관계 기관과의 공동 조사가 진행 중이다.

전문가 분석

이번 국립외교원 해킹 사고는 개인정보보호 실무 측면에서 여러 중요한 시사점을 남긴다.

개인정보보호법상 안전조치 의무 위반 가능성: 「개인정보보호법」 제29조는 개인정보처리자에게 개인정보의 안전성 확보를 위한 기술적·관리적 보호조치를 의무화하고 있다. 제로데이 취약점 자체에 대한 책임은 제조사에 있더라도, 시스템 보안 설정 미비는 기관 스스로의 안전조치 의무 이행 여부에 대한 점검 필요성을 제기한다. 개인정보보호위원회(개보위)가 향후 조사에 착수할 경우 이 부분이 핵심 쟁점이 될 수 있다.

9개월의 탐지 공백과 접속기록 관리: 침해 사실을 자체적으로 감지하지 못하고 외부 기관 통보로 뒤늦게 인지한 점은, 접속기록의 충분한 보존과 이상 징후 모니터링 체계의 실효성 문제를 드러낸다. 개인정보 안전성 확보 조치 기준 고시는 접속기록의 보관 및 점검을 명시적으로 요구하고 있어, 기관의 내부 관제 역량 강화가 시급하다.

유출 범위 특정 불가와 정보주체 통지 의무: 개보위 고시 기준상 개인정보 유출이 확인되거나 합리적으로 의심되는 경우, 정보주체에 대한 지체 없는 통지와 개보위 신고 의무가 발생한다. 현재 유출 내역이 특정되지 않은 상황이나, 외교부와 국립외교원은 조사 진행 경과에 따라 통지 및 신고 의무 이행 여부를 신속히 판단해야 할 것으로 보인다.

공공기관 사이버 보안 거버넌스 재점검 필요: 이번 사고는 외교·안보와 직결된 공공기관의 정보시스템이 대상이라는 점에서 파장이 더 크다. 전문가들은 공공기관이 도입한 소프트웨어에 대한 주기적인 취약점 점검, 최소 권한 원칙 적용, 망 분리 및 이상 행위 탐지 시스템(UEBA) 도입 등 다층적 보안 체계의 필요성을 강조하고 있다.

실무 연계 포인트

• 안전조치 의무(개보위 고시): 접속기록 보관 기간 및 점검 주기 준수 여부 재확인
• 유출 통지·신고: 유출 사실 인지 시점 기준 '지체 없이' 이행 의무 숙지
• 제로데이 대응 절차: 제조사 패치 부재 시 임시 완화 조치(Workaround) 적용 및 기록 관리
• 보안 설정 관리: 시스템 도입·운영 시 보안 설정 기준(Hardening Guide) 적용 내부 절차 확립