1. 10개월 동안, 아무도 몰랐다.

외교부 산하 국립외교원의 온라인교육시스템이 미상의 공격자에게 장악됐다. 침입은 2025년 4~5월에 시작돼 2026년 2월까지 이어졌다. 약 10개월이다. 외교부는 그 사실을 스스로 발견하지 못했다. 관계기관으로부터 "비정상적인 접근 정황"을 통보받고 나서야 시스템을 긴급 차단했다.

그리고 그 인지 시점으로부터 대상자에게 통지가 나가기까지 다시 5개월이 걸렸다. 침입부터 통지까지 총 15개월. 이 숫자가 이번 사건의 본질이며, 폐쇄적인 관료 시스템의 문제이다. 그 동안 개인 신원을 추가 수집하여 스미싱, 크리덴셜 공격과 같은 2차 공격이 없었을 것이라는 보장이 없다.

구분 내용
대상 시스템 국립외교원 온라인교육시스템(2022년부터 운영)
침해 기간 2025년 4~5월 서버 장악 → 2026년 2월까지 접속
침해 원인 제로데이 취약점 + 시스템 보안설정 미비점
인지 경로 자체 탐지 실패, 관계기관 통보(2026년 2월 초)
대외 공개 2026년 7월 20일 (인지 후 약 5개월)
저장 데이터 최대 약 1만 건 (중복 계정 포함 가능)
저장 항목 이름, 아이디, 이메일 주소, 암호화된 비밀번호, 소속 부서, 직책
미저장/미유출(외교부 발표) 주민등록번호, 민감정보, 휴대전화번호, 집주소, 사진
공격 주체 현재까지 미특정

외교부는 "제조사도 인지하지 못한 제로데이였기 때문에 일반적인 방법으로는 탐지가 어려웠다"고 설명했다. 절반은 맞는 말이다. 나머지 절반이 문제다. 외교부 스스로 밝혔듯 이번 공격에는 제로데이뿐 아니라 시스템 보안설정 미비점이 함께 악용됐다. 제로데이는 문을 여는 열쇠였고, 설정 미비는 그 문 안쪽에 아무도 서 있지 않았다는 뜻이다.

제로데이는 불가항력이다. 10개월간의 무탐지는 불가항력이 아니다.

2. "민감정보는 없었다"는 말의 함정

외교부는 주민등록번호와 휴대전화번호가 유출되지 않았다고 밝혔다. 이 발표를 액면 그대로 받아들이더라도, 유출 위험은 조금도 줄어들지 않는다. 이유는 데이터의 구조 때문이다.

유출 가능성이 제기된 항목은 이름 + 소속 부서 + 직책 + 이메일 주소다. 개별 항목은 평범하다. 외교관이라는 특수 직책이 다루는 국가 정보, 외교 정책의 무게와 결합되는 순간 성격이 바뀐다.

첫째, 조직도 재구성이 가능하다.정부는 고위급 인사 발표 시 일부 명단을 공개할 뿐, 전체 외교관과 재외공관 근무자의 소속·직책 정보를 일괄 공개하지 않는다. 공격자가 이 데이터를 확보했다면 특정 국가·지역 공관의 인적 구성과 계선을 통째로 그릴 수 있다.둘째, 파견자 식별이 가능하다.재외공관에는 외교관 외에도 국방·정보·보안·산업·문화 분야 중앙부처 파견자가 근무한다. 데이터 구조상 소속 부처와 직책이 명기돼 있다면, "이 인물은 직업 외교관이 아니다"라는 판별은 통계적으로 어렵지 않다. 정보기관 소속 인력의 블랙요원의 유출 여부는 아직 확인되지 않았다. 문제는 그것이 "유출되지 않았다"가 아니라확인되지 않았다라는 점이다. 국가안보 사안에서 미확인은 안전을 의미하지 않는다.

셋째, 결합 재식별이 가능하다.휴대전화번호가 이 시스템에 없었다는 사실은 공격자에게 별 의미가 없다. 지난 몇 년간 국내 통신사·플랫폼·유통 기업에서 유출된 데이터셋은 다크웹에 이미 축적돼 있다. CI, 실명과 이메일이라는 조인 키(join key)가 확보된 이상, 다른 유출분과의 결합으로 전화번호를 복원하는 것은 공격자 입장에서 데이터 처리 작업일 뿐이다. 그 순간 스피어피싱은 스미싱으로, 이메일은 문자와 메신저로 채널을 확장한다.넷째, 암호화됐다고 안전한 것이 아니다. 해시 알고리즘의 종류, 솔트 적용 여부, 비밀번호 복잡도에 따라 원문 복구 가능성은 크게 달라진다. 2022년에 구축된 교육 시스템이 어떤 해시를 썼는지 외교부는 공개하지 않았다. 그리고 정부 부처 직원이 교육 시스템 비밀번호를 다른 서비스와 재사용했을 가능성은 통계적으로 높다는데 한표를 건다.

정리하면 이번 유출물은 "개인정보"가 아니라 표적 선정용 인텔리전스 데이터셋이다. 국가 배후 공격자가 가장 갖고 싶어 하는 형태의 자산이다.

3. 왜 하필 원격교육 시스템인가? - 판데믹, 코로나가 남긴 부채

이 사건을 국립외교원 한 곳의 실책으로 읽으면 아무것도 배우지 못한다. 문제의 진원지는 2020~2022년 사이 전국에서 동시다발적으로 구축된 비대면 원격교육 플랫폼 전체로 이해해야 한다.

당시 상황을 복기해 보자. 집합교육이 전면 중단됐다. 각급 기관은 긴박하게 몇 주 안에 온라인 교육 체계를 세워야 했다. 그 결과 다음이 벌어졌다.

정상 절차 코로나 시기 실제
정보화사업 사전협의 및 ISP 긴급 수의계약, 사전협의 축약·생략
보안성 검토 및 CC/보안적합성 검증 "한시적 운영"을 근거로 유예
취약점 진단·모의해킹 오픈 일정에 밀려 생략 또는 형식적 수행
개인정보 영향평가 대상 여부 자체를 다투다 미실시
유지보수 예산 다년 확보 구축 예산만 편성, 운영비 미반영
폐기·데이터 파기 정책 애초에 설계에 없는 경우가 있었음

핵심은 마지막 두 줄이다. 이 시스템들은 "팬데믹이 끝나면 없어질 것"이라는 전제로 만들어졌다. 그런데 팬데믹은 끝났고 시스템은 남았다. 유지보수 예산은 붙지 않았고, 담당자는 순환보직으로 바뀌었으며, 벤더는 계약 종료로 손을 떼는 경우가 많았다. 남은 것은 패치되지 않는 서버와, 그 안에 계속 쌓이는 공무원 신상정보다.

국립외교원 시스템이 2022년부터 운영됐고 퇴직자와 원소속 부처로 복귀한 파견자의 정보까지 남아 있었다는 사실은 이 구조를 정확히 보여준다. 장기 미사용 계정 정리와 개인정보 파기 정책이 작동하지 않았다. 교육이라는 저위험 업무 시스템에 국가 인적 자산 명부가 4년간 제대로 관리되지 않고 저장된 것이다.

이것은 국립외교원만의 문제일 수 없다. 같은 시기 같은 방식으로 만들어진 원격교육 플랫폼이 각 부처, 광역·기초 지자체, 공공기관, 그리고 군에 산재해 있다. 나는 이것을 코로나 부채(COVID Debt)라고 부른다. 기술부채와 달리 이자가 복리로 붙고, 청구서는 판데믹과 같은 침해사고의 형태로 온다.

따라서 필요한 조치는 국립외교원 감사가 아니라 전수조사다. 2019년 이후 구축된 모든 공공 원격교육·화상회의·LMS 플랫폼을 대상으로 (1) 운영 주체와 유지보수 계약 존속 여부, (2) 소프트웨어 구성요소 목록(SBOM)과 최종 패치 일자, (3) 저장된 개인정보 항목과 보유 기간, (4) 미사용 계정 현황, (5) 이상행위 탐지 로그 보존 여부를 일괄 점검해야 한다. 목록을 만드는 것부터가 일이다. 아마 상당수 기관은 자기 기관에 그런 시스템이 몇 개 있는지도 모를 것이다.

4. 해외 사례 — 이것은 한국만의 문제가 아니다

정부기관 침해는 보편적 현상이다. 그러나 사례를 뜯어보면 무엇이 달랐는가가 드러난다.

유럽의 사례 - 노르웨이 12개 부처 (2023)

노르웨이 정부 부처 공용 ICT 플랫폼이 Ivanti Endpoint Manager Mobile(구 MobileIron Core)의 제로데이 취약점 CVE-2023-35078로 침해됐다. 이후 CVE-2023-35081이 체인으로 함께 악용된 사실이 확인됐다. 총리실·국방부·법무부·외교부를 제외한 12개 부처가 영향을 받았다.

주목할 점은 대응이다. 노르웨이 국가보안청(NSM)은 취약점을 자국에서 최초 발견했고, 공개 시점을 의도적으로 조절해 다른 기관으로의 확산을 억제했다고 밝혔다. 동시에 국내 모든 MobileIron Core 고객사에 긴급 패치를 통보했다. 자국에서 발견한 제로데이를 국가 차원의 방어 자산으로 투명하게 전환한 것이다. 우리는 이번 사건에서 어떤 소프트웨어의 어떤 취약점이었는지조차 공개하지 않았다. 같은 제품을 쓰는 다른 부처와 지자체는 지금 이 순간에도 무방비일지도 모른다. 뉴스가 나오고 나서야 공문이 갔다는 이야기도 들린다.(미확인)

북미의 사례 - 미국 OPM (2015), 캐나다 외교부 (2024)

미국 인사관리처(OPM) 침해는 이번 사건을 이해하는 가장 정확한 참조점이다. 약 2,150만 명의 신원조사(SF-86) 자료가 유출됐다. 여기에는 보안등급 심사 대상자의 가족관계, 해외 접촉 이력, 재정 상태, 지문 데이터가 포함됐다. 미 정보당국은 이 사건을 단순 개인정보 유출이 아니라 방첩(counterintelligence) 재난으로 규정했다. 한 번 유출된 신원 데이터는 회수되지 않고, 해당 인력의 활용 가능성은 영구히 제약된다.

캐나다 외교부(Global Affairs Canada)는 2023년 12월 20일부터 2024년 1월 24일까지 약 5주간 SIGNET 원격접속 VPN이 침해됐다. 직원의 이메일, 캘린더, 연락처, 개인·공유 드라이브 내용이 노출됐다. 이 사건에서 배울 점은 두 가지다. 첫째, 침해 인지 후 정부가 자발적으로 공개한 것이 아니라 언론 문의를 받고서야 공식 인정했다.둘째, 그럼에도 불구하고 개인정보보호위원장(Privacy Commissioner)이 직권 조사에 착수했고, 직원들에게는 즉시 비밀번호 변경과 암호화 키 재생성이 지시됐다. 인지에서 대응까지가주 단위였다.

국립외교원 사건은 인지에서 언론 발표 개별 통지까지 5개월이었다.

아시아의 사례 - 인도네시아 국가데이터센터 (2024)

2024년 6월 20일, 인도네시아 임시 국가데이터센터(PDNS)가 LockBit 3.0 변종인 Brain Cipher 랜섬웨어에 감염됐다. 210개 중앙·지방 기관, 282개 공공서비스가 마비됐다. 수카르노-하타 공항 출입국 시스템이 멈췄고 여권·비자 발급이 지연됐다. 공격자는 800만 달러를 요구했고 정부는 지불을 거부했다.

이 사건이 이번 칼럼의 논지와 직결되는 이유는 사후 조사 결과다. 상당수 데이터베이스에 최신 백업이 없었고, 일부 보안 옵션은 사고 이전에 이미 비활성화돼 있었으며, 해당 센터의 조달 과정이 국가사이버암호청(BSSN) 규정을 따르지 않았다. 코로나 전후 급조된 디지털 인프라가 어떤 방식으로 무너지는지를 보여주는 교과서적 사례다. 인도네시아는 이 사건 직후 전 정부 데이터센터 전수 점검에 착수했다.

그리고 국내 최악의 사례 - 법원행정처 (2021~2023)

가장 뼈아픈 선례는 국내에 있다. 북한 해킹조직 라자루스가 2021년 1월 이전부터 2023년 2월까지 2년 넘게 사법부 전산망에 상주하며 1,014GB를 반출했다. 이 중 내용이 확인된 것은 개인회생 관련 문서 5,171개(4.7GB), 전체의 0.4%에 불과하다. 나머지 99.6%가 무엇이었는지는 지금도 모른다. 보안장비 로그가 이미 삭제된 뒤였기 때문이다.

더 심각한 것은 절차였다. 법원행정처는 2023년 2월 공격 사실을 인지하고도 수사당국에 신고하지 않고 자체 보안조치를 취했다. 언론 보도 이후인 12월에야 합동조사가 시작됐고, 그 사이 자체 조사 과정이 오히려 유출 자료 특정을 어렵게 만들었다는 지적을 받았다.

사례 침해 지속 인지 경로 인지→공개 핵심 실패 지점
국립외교원 (2026) 약 10개월 관계기관 통보 약 5개월 자체 탐지 부재, 지연 통지
노르웨이 12개 부처 (2023) 수 주 자체 발견 수 일 (대응은 모범 사례)
캐나다 외교부 (2024) 약 5주 자체 탐지 약 1주(언론 문의) 자발적 공개 실패
인도네시아 PDNS (2024) 즉시 발현 서비스 장애 수 일 백업 부재, 조달 규정 미준수
법원행정처 (2021~2023) 2년 이상 외부 보도 약 10개월 미신고, 로그 소실

표를 세로로 읽으면 결론이 나온다. 한국 공공기관의 고질적 취약점은 침입 자체가 아니라 탐지와 통지다. 침입은 어느 나라나 당한다. 우리만 유독 오래 모르고, 알고 나서도 오래 숨긴다.

5. 지금 당장 해야 할 2차 피해 차단

침해는 끝났지만 공격은 이미 진행 중일지도 모른다. 유출된 명부과 데이터는 유효 기간이 있다. 긴 시간 신선하지 않다.

첫째, 스피어피싱 방어선을 재설정해야 한다.이름·소속·직책·이메일 조합을 확보한 공격자는 실제 조직 계선을 반영한 사칭 메일을 보낼 수 있다. "본부 ○○과 △△사무관"이 "주○○대사관 ◇◇참사관"에게 보내는 메일은 불특정 다수 피싱과 성공률이 다르다. 재외공관은 시차와 물리적 거리 때문에 전화 확인이 어렵다는 점까지 공격자는 계산에 넣는다.둘째, 카카오톡 단톡방이 지금 가장 취약한 지점이다.상당수 정부 부처와 산하기관이 업무 연락을 카카오톡 단체채팅방으로 처리하고 있다. 이 관행은 세 가지 위험을 동시에 안고 있다. (1) 신원 확인 수단이 프로필 사진과 이름뿐이라 사칭이 쉽다. (2) 초대 링크가 유출되면 외부인이 침묵 상태로 상주할 수 있다. (3) 공식 감사 로그가 남지 않아 사후 추적이 불가능하다. 유출된 실명과 소속을 가진 공격자가 "인사이동으로 새로 온 ○○○입니다"라며 단톡방에 들어오는 시나리오는 가정이 아니라 이미 국내에서 반복된 수법이다.부처 업무용 메신저는 즉시 정부 인증 기반 플랫폼으로 이관하거나, 최소한 초대 승인 이력과 참여자 실명 검증 절차를 문서화해야 한다.물론 이전이 힘들다면 카카오톡에 LLM을 기반으로한 보안 시스템이 들어갸가는 것이 훨씬 빠를 것이다. 그래서 독파모 AI 모델이 중요하다.셋째, 비밀번호 재사용 차단과 다중인증 의무화.암호화된 비밀번호의 안전성을 신뢰할 근거가 공개되지 않은 이상, 대상자 전원의 정부 서비스 및 개인 서비스 비밀번호 변경과 MFA 적용을 전제하고 전체 교체해야 한다. 개인과 정부의 이메일 체계를 분리해야 한다.넷째, 실제 반출 범위 확정과 공개. 지금 발표된 "최대 1만 건"은 저장 규모이지 유출 규모가 아니다. 법원행정처 사례처럼 로그가 소실되면 영원히 알 수 없게 된다. 취약 소프트웨어의 종류와 버전, 보안설정 미비 내용, 공격자의 내부 횡적 이동 범위, 다른 외교부 시스템으로의 확산 여부가 확인되고 공개돼야 한다. 이것은 외교부의 명예가 아니라 같은 소프트웨어를 쓰는 다른 기관의 생존이 걸린 문제다.

6. LLM을 도입하되, 모든 것의 만능인 오라클로 착각하지 말 것

이번 사건의 탐지 실패는 인력으로 메울 수 없다. 정상 권한을 획득한 공격자의 행위는 문법적으로 정상이다. 시그니처 기반 탐지는 무력하고, 규칙 기반 UEBA는 오탐이 너무 많아 담당자가 결국 알람을 끈다. 외교부를 겨냥한 해킹 시도만 2021년 9,002건에서 2024년 1만 4,674건으로 늘었다. 사람이 감당할 수 있는 규모를 이미 넘었다.

여기서 인공지능, LLM의 역할이 생긴다. 다만 정확히 어디에 쓸 것인지가 중요하다.

LLM이 잘하는 일은 이질적 로그의 의미론적 정규화다. 방화벽 로그, WAS 액세스 로그, 인증 로그, EDR 이벤트는 서로 다른 스키마를 갖는다. 이것을 하나의 서술로 묶어 "이 계정이 지난 3개월간 해온 일과 오늘 한 일이 어떻게 다른가"를 자연어로 요약하는 작업은 LLM이 규칙 엔진보다 잘한다. 야간 시간대 접근, 평소와 다른 지리적 출처, 교육 콘텐츠 열람 계정이 갑자기 사용자 테이블을 순회하는 패턴 — 이런 것들의 1차 분류와 우선순위 부여에 LLM을 쓰면 분석가의 인지 대역폭을 대폭 늘릴 수 있다.

동시에 반드시 경계해야 할 것이 있다. LLM은 엑셀이지 오라클이 아니다. 계산을 대신해주는 도구이지, 답을 알려주는 신탁이 아니다. LLM 기반 탐지를 도입하면서 다음을 함께 설계하지 않으면 이번과 똑같은 실패를 더 비싼 예산으로 반복하게 된다.

요구사항 이유
로그 원본 장기 보존 (최소 1년) LLM은 없는 로그를 추론하지 못한다. 법원행정처는 로그가 지워져 99.6%를 영구히 잃었다
판정 근거의 로그 라인 인용 강제 근거 없는 요약은 환각이며, 침해 조사에서 환각은 오염이다
사람 분석가의 최종 판단 유지 자동 차단은 새로운 서비스 거부 벡터가 된다
프롬프트 인젝션 방어 로그 필드는 공격자가 값을 넣을 수 있는 입력이다. 공격자가 로그에 지시문을 심는 공격은 이미 존재한다
온프레미스 또는 국내 리전 운영 외교 인력 로그를 외부 API로 보내는 순간 새로운 유출 경로가 생긴다

마지막 항목은 특히 강조하고 싶다. 보안 강화를 명분으로 도입한 AI가 두 번째 침해 경로가 되는 것만큼 어리석은 일은 없다.

7. 맺으며, 목록부터 만들자

국립외교원 사건은 정교한 공격의 결과가 아니다. 관리되지 않는 시스템에 국가 인적 자산을 4년간 방치한 결과다. 제로데이는 계기였을 뿐이다.

정부가 지금 해야 할 일은 세 가지다.

  1. 전수 목록화. 2019년 이후 구축된 모든 공공 원격교육·비대면 플랫폼의 목록, 운영 주체, 유지보수 계약 상태, 저장 개인정보 항목, 최종 패치 일자를 3개월 내에 파악한다. 감사가 아니라 재고조사다.
  2. 강제 폐기와 데이터 최소화. 목적을 다한 시스템은 폐기하고, 존속이 필요한 시스템에서는 퇴직자·복귀자 계정과 직책 정보를 즉시 파기한다. 저장하지 않은 데이터는 유출되지 않는다.
  3. 탐지·통지 시한 법제화. 공공기관 침해사고의 인지-보고-통지 시한을 법으로 못 박아야 한다. 캐나다는 주 단위로 움직였고 우리는 5개월이 걸렸다. 이 차이는 기술이 아니라 제도의 차이다.

윤석렬 정부의 법원 행정처 해킹 사고 이후 우리 정부 행정 부처의 폐쇄성은 달라지지 않았다. 10개월간 모르고, 5개월간 알리지 않았다. 다음 사건에서 이 숫자가 줄어들지 않는다면, 우리가 배운 것은 아무것도 없는 것이다.

참고 자료

  • 외교부, 「국립외교원 온라인교육시스템 사이버 공격 관련」 보도자료, 2026.7.20
  • 데일리시큐, 「국립외교원 서버 10개월간 해킹…외교관·재외공관 인력 정보 최대 1만건 노출 가능」, 2026.7.21
  • 경향신문, 「현직 외교관 등 1만명 정보 유출…10개월간 '해킹' 몰랐던 외교부」, 2026.7.21
  • BleepingComputer, "Norway says Ivanti zero-day was used to hack govt IT systems", 2023.7.24 (CVE-2023-35078)
  • BankInfoSecurity, "Ivanti Says Second Zero-Day Used in Norway Government Breach", 2023.7.29 (CVE-2023-35081)
  • CBC News, "Authorities investigating massive security breach at Global Affairs Canada", 2024.1.30
  • Office of the Privacy Commissioner of Canada, 조사 착수 발표, 2024.2.26
  • GovInsider, "Cyberattack on Indonesia's national data centre paralyses government services", 2024.6.25
  • 경찰청 국가수사본부, 「법원 전산망 해킹 및 자료유출 사건」 수사 결과 발표, 2024.5.11