외교관 최대 1만 건 정보가 10개월간 새어나갔다.
2026년 7월 21일, 정부는 국립외교원의 온라인교육시스템 서버가 해킹돼
전·현직 외교관과 재외공관 인력의 개인정보 최대 1만 건이 유출된 것으로 추정된다고 밝혔습니다.
이름과 아이디, 이메일, 암호화된 비밀번호가 포함됐습니다.
규모도 규모지만, 이번 사건에서 더 눈여겨볼 대목은 공격자가 서버에 접근한 기간입니다.
침입은 지난해 4~5월에 시작돼 올해 2월까지 이어졌고,
그동안 외부에서 이를 인지하지 못했습니다.
이번 사건이 여느 유출과 갈리는 지점이 바로 이 긴 노출 기간입니다.
확인된 사실
유출된 정보는 국립외교원이 운영하는 온라인교육시스템 서버에 저장돼 있던 자료입니다.
외교부 재직자와 퇴직자, 그리고 타 중앙부처에서 재외공관으로 파견된 직원 정보까지 더해 최대 1만 건 규모로 추정됩니다.
포함된 항목은 이름, 아이디, 이메일, 암호화된 비밀번호, 소속과 직위 정보입니다.
주민등록번호나 휴대전화번호, 주소 같은 민감 개인정보는 해당 서버에 저장돼 있지 않았던 것으로 파악됐습니다.
공격자는 소프트웨어 제조사도 당시 알지 못했던 이른바 제로데이 취약점을 악용해 서버를 장악했습니다.
이후 정상적인 소프트웨어 권한처럼 움직였기 때문에 일반적인 보안 점검으로는 탐지가 어려웠습니다.
배후는 아직 조사 중입니다.
10개월간 몰랐던 유출 사실
유출 자체보다 노출 기간이 문제입니다.
공격자가 서버에 오래 머무르면,
한 번 빠져나간 정보를 넘어서는 것들이 쌓입니다.
시스템 구조와 이용자 목록, 접속 습관 같은 맥락 정보까지 관찰할 시간이 생기기 때문입니다.
10개월은 정보를 한 번에 복사해 가는 시간이 아니라, 수시로 드나들며 필요한 자료를 골라 가져갈 수 있는 시간입니다.
어떤 계정이 실제로 쓰이는지,
누가 어떤 부서와 연결돼 있는지를 파악할 여유가 공격자 쪽에 생깁니다.
탐지가 늦어진 배경에는 제로데이 취약점의 성격이 있습니다.
알려지지 않은 약점을 통해 들어온 침입은 기존 방어 규칙에 걸리지 않습니다.
이번 사건은 서버가 완전히 뚫린 뒤에도 상당 기간 정상 상태처럼 보일 수 있다는 점을 다시 확인시켰습니다.
유출된 정보가 다음으로 표적하는 것은
이름과 이메일, 소속이 함께 묶인 목록은 그 자체로도 활용도가 높습니다.
공직자를 노리는 표적 피싱, 이른바 스피어피싱의 재료가 되기 때문입니다.
불특정 다수에게 뿌리는 스팸과 달리, 표적 피싱은 대상의 소속과 업무를 아는 상태에서 정교하게 접근합니다.
실제 동료나 상급 기관을 사칭한 이메일로 접근하는 방식
업무 맥락에 맞춘 첨부파일이나 링크로 추가 정보를 노리는 방식
유출된 이메일 주소를 발신자로 위조해 신뢰를 얻으려는 방식
암호화된 비밀번호가 함께 유출된 점도 주의가 필요합니다.
암호화 자체가 즉시 열람을 뜻하지는 않지만,
시간과 자원을 들여 해독을 시도하거나 다른 곳에서 재사용된 비밀번호를 대입하는 공격으로 이어질 수 있는 조건이 됩니다.
개인이 점검해야 할 것
이번 사건은 특정 기관의 문제로 보이지만,
대응 원칙은 어떤 유출에도 공통으로 적용됩니다.
자신의 이메일이나 계정이 유출 범위에 있는지 확신하기 어렵다면,
아래 항목부터 확인하는 편이 안전합니다.
이메일 계정 비밀번호를 즉시 변경합니다
여러 사이트에서 같은 비밀번호를 재사용하고 있다면 서로 다르게 바꿉니다
이메일과 주요 계정에 2단계 인증을 설정합니다
발신자가 익숙해 보여도 소속·업무를 언급하며 링크나 첨부를 유도하는 메일은 한 번 더 확인합니다
계정 로그인 알림과 접속 기록을 켜 두고 낯선 접속을 점검합니다.
유출된 정보는 회수되지 않습니다.
그래서 대응의 핵심은 이미 나간 정보가 다음 공격의 재료로 쓰이지 못하게 막는 것입니다.
비밀번호 분리와 2단계 인증은 그 재료의 가치를 떨어뜨리는 가장 확실한 방법입니다.
관련 기사