[보안 리포트] 국립외교원 온라인교육시스템 장기 해킹 침해 — 전·현직 외교관 개인정보 유출 정황 분석

제로데이 악용으로 10개월간 잠복 침투, 9개월 만에 탐지 — 외교관 대상 정밀 타깃팅·LLM 기반 사회공학·심리전 위협 시나리오 대두.

항목	내용
리포트 ID	CTI-2026-0720-MOFA-KNDA
발행일	2026-07-20
분류	TLP:CLEAR (WHITE, 공개)
심각도	CRITICAL — 외교·안보 인력 대상 표적 정보 유출, 장기 미탐지, 국가 배후 위협 노출
신뢰도	HIGH (외교부 공식 보도자료·유출 안내 공지·언론 교차 검증)
위협 행위자	미확인 (제로데이 역량·표적 성격상 국가 배후 APT 가능성 — 귀속 미확정)
관련 ATT&CK 기법	T1190 (Exploit Public-Facing Application), T1211 (제로데이 악용), T1078 (유효 계정/정상 권한 이용), T1114 (정보 수집), T1589 (피해자 신원정보 수집), T1598 (스피어피싱 정보수집), T1656 (Impersonation)
참고 자료	외교부 보도자료(2026-07-20), 외교부 외교정보보안담당관실 유출 안내 공지, 머니투데이, 오마이뉴스
작성자	CTI 분석팀

Key Judgments — 핵심 판단

(HIGH) 미상의 공격자가 국립외교원(KNDA) 온라인교육시스템 서버의 제로데이 취약점과 보안설정 미비점을 악용해 2025년 4~~5월 서버를 장악~~했고, 이후 2026년 2월 차단 조치 전까지 약 10개월간 접속을 유지했다. 외교부는 2026년 2월 초 관계 기관으로부터 비정상 접근 정황을 통보받고서야 인지했다. 자체 탐지가 아니었다.- (HIGH) 유출 정황이 확인된 대상은2025년 4월2026년 2월 기간 전·현직 외교부 본부 및 재외공관 근무 직원과 그 밖의 인력이다. 유출 정황 항목은 교육대상자의 ID, 성명, 이메일, 암호화된 비밀번호 등이며, 고유식별정보·민감정보·휴대전화번호·집주소·사진은 포함되지 않았다고 한다.
(CRITICAL) 개별 항목의 민감도가 낮다는 이유로 위험을 과소평가해선 안 된다.유출된 "성명 + 소속(외교부/특정 재외공관) + 직무 맥락 + 이메일"의 조합은, 공격자에게누구에게, 어떤 신분을 사칭해, 어떤 소재로 접근할지를 정밀하게 설계할 수 있는 표적 명부(targeting list)를 제공한다. 이것이 이 사고의 본질적 위협이며 보이지 않는 그림자 외교전에서 큰 문제가 될 수 있다.
(CRITICAL) 유출 정보는 LLM 기반 사회공학 공격의 정밀도와 규모를 동시에 끌어올린다.대규모 언어모델은 유출된 명단을 입력받아 (1) 수신자별 맞춤 스피어피싱 문안 대량 생성, (2) 실제 동료·상급자·재외공관 담당자를 사칭한 자연스러운 다국어 미끼 메일, (3) 회신 내용에 실시간 적응하는 대화형 유인, (4) 딥페이크 신분증·음성을 결합한 다채널 심리전을자동화·산업화할 수 있다. 개별 표적을 상대로 사람이 수작업으로 신뢰를 쌓던 기존 방식이, 명단 전체를 상대로 병렬 실행 가능한 캠페인으로 전환될 수 있다.
(HIGH) 침해 대상이 외교·안보 인력이라는 점에서, 이는 북한 연계 조직(Kimsuky/APT43, APT37 등)의 지속적 표적군과 정확히 일치한다. 해당 조직들은 기자·연구자·외교 관계자를 사칭한 사회공학, 제로데이·공급망 악용, ClickFix·QR 피싱 등으로 외교·안보 첩보를 수집해 왔다. 귀속은 미확정이나, 위협 프로파일상 국가 배후 가능성을 우선 고려해야 한다.
(HIGH) 탐지 실패가 최대 리스크다.정상 소프트웨어 권한을 도용한 "living-off-the-land" 방식으로 10개월간 잠복했고, 관계 기관의 외부 통보에 의존해서야 인지됐다. 이는 그 10개월 동안 유출된 명부가이미 공격 인프라에 반영되어 후속 캠페인에 활용되고 있을 수 있음을 의미한다.

현재까지 다음 사항이 확인되지 않았다.

공격 행위자 (조직·국가 배후)
실제 유출된 데이터의 정확한 항목·건수·범위 ("특정 어려움")
암호화된 비밀번호의 해시 알고리즘·솔트 적용 여부 (크래킹 가능성)
유출 명부의 후속 악용(스피어피싱 캠페인) 발생 여부
2025년 4월 이전 초기 침투 벡터의 완전한 재구성

1. 사건 개요 — 10개월 잠복, 9개월 만의 인지

2026년 7월 20일, 외교부는 국립외교원 온라인교육시스템 서버가 미상의 공격자에게 장기간 침해당했으며 전·현직 외교부 본부 및 재외공관 근무 직원 등의 개인정보 유출 정황이 확인됐다고 공식 발표했다.

조사 결과에 따르면 공격자는 서버 소프트웨어의 미공개 제로데이 취약점과 시스템 보안설정 미비점을 악용해 2025년 4월부터 5월 사이 서버를 장악했고, 이를 기반으로 2026년 2월 차단 조치 이전까지 시스템에 접속했다. 외교부는 2026년 2월 초 관계 기관으로부터 비정상 접근 정황을 통보받은 뒤 시스템을 긴급 차단하고 관계 기관과 합동 조사를 진행해 왔다.

외교부는 "소프트웨어 제조사도 당시에 인지하지 못했던 제로데이 취약점을 악용해 접속한 후 정상적인 소프트웨어 권한을 이용했기 때문에 일반적인 방법으로는 탐지가 어려웠으며, 해당 시점에는 이를 보완할 보안 업데이트가 제공되지 않아 대응에 한계가 있었다"고 설명했다. 다만 유출 내역을 특정하기 어려운 상황이라고 밝혔다.

사건 타임라인

일자	내용
2025-04 ~ 05	제로데이 + 설정 미비 악용, 서버 최초 장악
2025-04 ~ 2026-02	개인정보 유출 정황 발생 구간 (전·현직 직원 및 인력)
~2026-02	정상 권한 도용으로 지속 접속(잠복)
2026-02 초	관계 기관이 비정상 접근 정황 통보 → 외교부 인지 및 시스템 긴급 차단
2026-02 ~ 07	관계 기관 합동 조사
2026-07-20	외교부 공식 발표 및 유출 정황 안내 공지

탐지·공표 지연의 이중 구조: (1) 침투(2025.4)부터 인지(2026.2)까지 약 10개월의 잠복 탐지 공백, (2) 인지(2026.2)부터 대외 공표(2026.7)까지 약 5개월의 조사 기간. 이 기간 전체에 걸쳐 유출 명부의 악용 가능성이 상존했다.

2. 유출 정보 상세 및 표적화 위험 분석

① 유출 정황 항목

외교부 외교정보보안담당관실 안내 공지 기준, 유출 정황이 확인된 항목과 미포함 항목은 다음과 같다.

구분	항목
유출 정황 (포함)	교육대상자 ID, 성명, 이메일, 암호화된 비밀번호 등
미포함	고유식별정보, 민감정보, 휴대전화번호, 집주소, 사진

② "낮은 민감도"라는 착시 — 조합이 만드는 표적 명부

각 항목을 개별로 보면 민감도가 낮다. 그러나 CTI 관점에서 이 사고의 위험은 항목의 민감도가 아니라 조합의 표적성에 있다. 특히 AI로 사진 데이터와 SNS 상의 데이터를 조합하면 분쟁 지역에서 활동하는 외교관의 생명이 위험해질 수 있다.

유출된 데이터는 본질적으로 "외교부/특정 재외공관에 근무하는(했던) 실명 인력 + 업무 이메일"의 정밀 명부다. 여기에 국립외교원 교육 대상자라는 맥락이 결합되면, 공격자는 다음 정보를 획득한다.

표적 식별(T1589): 누가 외교·안보 실무자인지, 어느 공관 소속인지
접근 채널(이메일): 스피어피싱의 직접 전달 경로
사칭 소재: 국립외교원 교육/수료/보안 안내를 가장한 미끼의 정당성
신뢰 관계 지도: 동일 명부 내 인물 간 상호 사칭(동료→동료, 상급자→하급자) 설계

암호화된 비밀번호는 즉시 사용은 어렵지만, 약한 해시·솔트 미적용·재사용 비밀번호일 경우 오프라인 크래킹 및 패스워드 재사용을 통한 타 시스템 침투(credential stuffing) 위험이 남는다. 전 직원 대상 비밀번호 재설정 권고가 필수인 이유다.

§3. 핵심 위협 — LLM 기반 사회공학·심리전의 산업화

이 사고의 가장 중대한 문제는, 유출 명부가 대규모 언어모델(LLM)과 결합될 때 위협의 정밀도와 규모가 동시에 폭증한다는 점이다. 기존의 표적 공격이 "숙련된 공격자 1인이 표적 1인에게 수주간 신뢰를 쌓는" 노동집약적 작업이었다면, LLM은 이를 명부 전체에 대한 병렬·자동 캠페인으로 전환할 수 있다.

① 정밀도 향상 (Precision)

수신자별 맞춤 문안: 성명·소속·직무 맥락을 입력받아 각 표적에게 자연스러운 개인화 메일을 개별 생성. "○○ 공관 △△ 실무자님, 지난 국립외교원 교육 관련…" 수준의 문맥 정합성.
다국어 원어민 수준 문안: 재외공관 근무자 대상, 주재국 언어·외교 문체로 어색함 없는 미끼 작성. 과거 스피어피싱의 최대 탐지 단서였던 문법·어투 오류가 사라진다.
실시간 대화형 유인(T1598): 회신 내용에 적응해 대화를 이어가며 신뢰를 쌓고, 적절한 시점에 악성 링크·첨부를 전달. 김수키류가 수작업으로 하던 "미끼 메일 → 신뢰 구축 → 악성코드" 3단계를 자동화.

② 규모 확대 (Scale)

캠페인 병렬화: 명부에 포함된 수백~수천 명 전원을 동시 표적화. 사람이 못 하던 전수 캠페인이 가능해진다.
저비용 반복: 1차 차단 시 도구·문안·도메인을 즉시 변주해 재시도. 방어 측의 차단이 곧바로 우회로 이어진다.

③ 심리전·영향력 공작 (Influence Operation)

외교·안보 인력이 표적이라는 점에서 단순 정보 탈취를 넘어선 위험이 있다.

딥페이크 결합: 유출 명단의 실명·소속을 근거로, 특정 인물을 사칭한 딥페이크 음성·영상·위조 신분증을 생성해 다채널(메일+메신저+전화) 신뢰 조작. (참고: 2025년 김수키의 생성형 AI 위조 군 신분증 사례)
내부 신뢰 관계 악용: 동료·상급자 사칭으로 조직 내부에서 지시·요청을 위장, 정보 제공이나 계정 접근을 유도.
인지전·여론 조작 소재화: 외교 실무자 명부와 접근 패턴은, 특정 사안에 대한 표적 메시지 살포나 갈등 조장의 기반 데이터로 전용될 수 있다.

요지: 유출된 것은 "낮은 민감도의 개인정보"가 아니라, 국가 배후 행위자가 LLM으로 무기화할 수 있는 적대적 국가의 LLM이 학습할 수 있는 외교·안보 표적 데이터셋이라고 평가할 수 있다.

4. 위협 행위자 프로파일 (Attribution — 미확정)

공격의 주체는 확정되지 않았으나, 다음 특성은 국가 배후 APT, 특히 북한 연계 조직의 프로파일과 부합하고 있다.

관찰 특성	위협 의미
제로데이 확보·운용	상당한 자원·역량 보유. 기회주의적 범죄 조직보다 국가 배후 가능성 시사
10개월 잠복·정상 권한 도용	은밀한 장기 첩보 수집(espionage) 지향. 즉시 수익화형 범죄와 성격 상이
외교·안보 인력 표적	Kimsuky/APT43, APT37의 전통적 표적군과 일치
교육시스템(주변부 자산) 경유	방어가 약한 부속 시스템을 통해 핵심 인력 정보에 접근하는 우회 전략

북한 연계 조직들은 외교 관계자·연구자·기자를 사칭한 사회공학, 제로데이·공급망 악용을 지속해 왔으며, 최근에는 생성형 AI를 위조·문안 작성에 적극 활용하는 정황이 다수 보고됐다. 본 사고의 유출 명부는 이러한 조직에게 가장 효율적인 후속 공격 입력값이 된다. 단, 확정적 귀속은 관계 기관의 포렌식 결과를 따라야 한다.

5. 영향 평가 (Impact Assessment)

① 1차적 영향

표적 스피어피싱 캠페인 위험 급증: 명부 기반 정밀 피싱이 전·현직 외교관 전원을 상대로 전개될 수 있다.
계정 도용 연쇄: 암호화 비밀번호 크래킹·재사용 시 외교부 관련 타 시스템으로의 침투 확산 가능.
탐지 공백 기간 중 이미 악용됐을 가능성: 10개월 잠복 + 5개월 조사 기간 동안 유출 데이터가 후속 작전에 반영됐을 개연성.

② 2차적 영향

외교·안보 첩보 유출 위험: 개인정보 자체를 넘어, 이를 지렛대로 한 후속 침투로 외교 통신·정책 정보가 노출될 수 있다.
재외공관 네트워크 위협 확산: 주재국별 담당자 사칭·표적화로 해외 거점의 보안 위험 동반 상승.
신뢰·심리전 취약성: 딥페이크·사칭 결합 시 조직 내부 신뢰 체계와 대외 커뮤니케이션의 신뢰성 자체가 공격면이 된다.

6. 권고 조치 (Recommendations)

① 대상자(전·현직 외교부 직원 및 인력) 즉시 조치

출처 불명 이메일 각별 주의: 국립외교원 교육/수료/보안 안내, 개인정보 유출 확인 요청 등을 가장한 메일에 특히 유의. 링크·첨부 실행 전 발신자를 별도 채널로 검증.
비밀번호 전면 교체 및 재사용 차단: 유출 시스템과 동일·유사 비밀번호를 사용한 모든 계정 즉시 변경.
MFA(다중요소인증) 활성화: 특히 업무 이메일·주요 시스템에 필수 적용.
의심 메일 신고: 외교정보보안담당관실(02-2100-7189)로 신고. 개인정보 침해 상담은 개인정보 분쟁조정위원회(kopico.go.kr).

② 외교부·국립외교원 조직 조치

명부 기반 표적 피싱 대비 태세: 유출 대상자 전원을 고위험군으로 지정, 맞춤형 피싱 경보·모의훈련·이메일 필터링 강화. LLM 생성 피싱은 문법 오류 단서가 없음을 전제로 탐지 로직을 재설계.
주변부 자산 전수 점검: 교육시스템 등 방어가 약한 부속 시스템의 인터넷 노출·설정·패치 상태를 전수 조사. 핵심 인력 정보가 주변부 시스템에 저장되는 구조 자체를 재검토.
잠복형 위협 탐지 강화: 정상 권한 도용(living-off-the-land)을 전제로 한 이상행위 탐지(UEBA)·EDR 도입, 외부 통보 의존 구조 탈피를 위한 24/7 관제 연동.
비밀번호 저장 방식 검증: 해시 알고리즘·솔트 적용 여부 점검, 미흡 시 즉시 강화.

③ 정부·관계 기관 차원

외교·안보 인력 대상 AI 기반 사회공학 위협 경보 발령: LLM·딥페이크 결합 표적 공격에 대한 범부처 인식 제고 및 대응 지침 배포.
동일 위협군 대상 유관기관 점검: Kimsuky/APT37 표적군(외교·국방·연구·통일 분야) 소속 기관의 유사 침해 여부 선제 점검.
침해 탐지·공표 SLA 강화: 장기 잠복형 침해의 인지·공표 지연을 줄이기 위한 탐지 역량 기준과 통보 절차 정비.

7. 종합 결론

국립외교원 사고의 핵심은 유출된 개인정보 항목의 민감도가 아니라, 외교·안보 인력의 실명 표적 명부가 국가 배후 행위자의 손에, 그것도 10개월간 아무도 모르게 넘어갔다는 사실이다.

민감정보가 빠졌다는 점은 위안이 되지 않는다. 오히려 이번 유출 데이터는 그 자체가 목적이 아니라 더 큰 공격을 위한 정밀 타겟팅된 공격의 기초 데이터이다. 성명·소속·이메일, 사진의 조합은 스피어피싱의 명중률을 결정하는 핵심 변수이며, 여기에 LLM이 결합되면 과거 노동집약적이던 표적 공작이 명부 전체를 상대로 한 자동화 캠페인으로 산업화된다. 문법 오류로 가짜 메일을 걸러내던 시대는 끝났다.

무엇보다 이 침해가 자체 탐지가 아닌 외부 통보로, 그것도 10개월 만에 인지됐다는 점은, 유출 명부가 이미 후속 작전에 활용되고 있을 가능성을 배제할 수 없게 만든다. 따라서 대응의 초점은 "유출된 개인정보 보호"를 넘어 이 명부를 입력값으로 삼는 차세대 표적 캠페인의 선제 차단에 맞춰져야 한다. 대상자 전원의 고위험군 관리, AI 생성 피싱을 전제한 탐지 재설계, 잠복형 위협에 대한 상시 관제가 병행되지 않으면, 이번 유출은 단발 사고가 아니라 장기 첩보전의 서막이 될 것이다.

참고 자료 (References)

외교부, "전·현직 외교부 본부 및 재외공관 근무 직원과 그 밖의 인력의 개인정보 유출 정황 안내" 공지 (외교정보보안담당관실, 2026-07-20)
외교부 보도자료, 국립외교원 온라인교육시스템 해킹 조사 결과 (2026-07-20)
머니투데이, "국립외교원, 9개월간 해킹 당해…'유출 내역 특정 어려워'" (2026-07-20) — https://www.mt.co.kr/politics/2026/07/20/2026072015164856121
오마이뉴스, "국립외교원 교육시스템 수개월간 해킹, 유출 정보 파악 안 돼" (2026-07-20)
(배경) 데일리시큐, "북한 해킹조직 '김수키', QR코드 피싱으로 미국 정책 관련 기관 표적" (2026-01)
(배경) VOA, "북한 연계 APT37, 한국 연구 분야 겨냥 사이버 공격" (2026-07)

본 리포트는 공개 출처 정보(OSINT)를 기반으로 작성되었으며, TLP:CLEAR 등급에 따라 자유롭게 공유 가능합니다. 위협 행위자 귀속 및 유출 범위는 관계 기관의 포렌식 결과에 따라 갱신될 수 있습니다.