외교부 국립외교원의 온라인교육시스템이 약 10개월 동안 무방비로 해킹에 노출되면서 사실상 외교관 전체의 개인정보가 유출된 것으로 나타났다.

정부는 북한을 비롯한 외국 배후 해킹조직의 소행 가능성을 열어두고 공격 주체를 추적하고 있다.

21일 외교부에 따르면 해커는 지난해 4~5월쯤 국립외교원 온라인교육시스템 서버에 침투해 올해 2월 초까지 수시로 접속했다.

외교부는 2월에 관계기관으로부터 비정상적인 접근 정황을 통보받은 뒤에야 사건을 인지, 해당 시스템을 긴급 차단하고 조사에 착수했다.

국립외교원 온라인교육시스템은 외교부 본부 직원뿐 아니라 해외 공관에 파견되는 대사 및 외교관, 각 정부 부처 주재관, 재외공관 행정직원 등이 사용한다.

코로나19 시기를 거치면서 비대면 교육의 필요성이 커지면서 지난 2022년 운영을 시작했다.

유출된 정보에는 이용자의 성명과 아이디(ID), 이메일 주소, 암호화된 비밀번호 등이 포함됐다.

외교부 본부 직원 대부분과 전현직 외교관, 정부 부처 주재관, 재외공관 행정직원 등의 정보가 포함된 것으로 외교부는 보고 있다.

시스템에 저장된 개인정보는 최대 1만 건 규모로 파악됐다.

외교부는 정확한 피해 규모와 유출 내역에 대해서는 추가 조사가 필요하다는 입장이다.

주민등록번호와 휴대전화 번호, 주소, 사진 등 민감한 개인식별정보는 유출 대상에 포함되지 않은 것으로 조사됐다.

다만 전 세계 재외공관에서 근무하는 외교관과 주재관의 이름과 이메일이 대규모로 유출됐다는 점에서 이 정보들이 '맞춤형 피싱'이나 추가 해킹에 악용될 가능성이 크다.

외교부 역시 유출된 이메일 주소를 이용한 피싱 공격 가능성을 가장 우려하는 것으로 알려졌다.

박일 외교부 대변인은 "현재까지 직접적인 피해 사례는 확인되지 않았다"면서도 "유출 규모가 상당하기 때문에 사후 피해가 있을 수 있어 정밀하게 보고 있다"고 했다.

외교부는 해킹된 온라인교육시스템의 운영을 전면 중단했으며, 충분한 보안성이 확보된 이후에야 신규 시스템 구축 여부를 검토하겠다는 입장이다.

가장 우려가 되는 부분은 해외 공관에 주재관 신분으로 파견된 정보기관 요원의 개인정보 유출 가능성이다.

유출된 여러 정보를 조합해 조직 구성이나 신원이 특정될 경우, 외부에서 우리 정부의 해외 정보 활동 방식을 파악할 수도 있기 때문이다.

공격 주체는 아직 특정되지 않았다.

정부는 북한 당국 혹은 북한이 배후에 있는 해킹조직의 소행 가능성도 열어두고 조사하고 있다.

보안업계에서는 소프트웨어 공급망이나 파악이 어려운 취약점을 이용해 공공기관 전산망에 침투하는 방식이 북한 관련 해킹조직의 과거 수법과 유사하다는 분석도 나온다.

북한은 정찰정보총국 산하 라자루스와 킴수키, 안다리엘 등의 조직을 동원해 한국 주요 정부기관과 방산·금융기관을 상대로 정보 탈취를 시도해 왔다.

다만 공격 방식이 유사하다는 이유만으로 이번 사건을 북한 소행으로만 단정할 수는 없다는 게 정부의 입장이다.

외교부가 외부의 해킹 사실을 인지한 뒤 약 5개월이 지난 20일에야 이를 공개한 것을 두고 늑장 대응 논란도 불가피할 전망이다.

외교부는 올해 2월 초 시스템을 차단했지만 유출 대상자에 대한 개별 통보도 아직 완료하지 못했다.

외교부는 해킹된 시스템이 외교부 내부 업무망이나 여권시스템 등과 물리적·논리적으로 분리돼 있어 다른 시스템으로 피해가 직접 확산했을 가능성은 작다고 설명했다.

외부 수사기관에 정식으로 수사를 의뢰할지 여부도 아직 결정되지 않았다.

외교부는 공격 경로와 유출 범위, 공격 주체를 조사하는 한편 내부 사이버 보안 체계와 개인정보 관리 실태를 전면 점검할 방침이다.