국립외교원 해킹 파문..."TPRM 플랫폼 도입 등 필요"
해킹으로 국립외교원 정보가 유출되는 사고가 발생한 가운데, 해킹 정황들이 공격 진원지로 북한과 중국을 가리키고 있다. 정보보호 전문가들 역시 북한이나 중국 소행일 가능성이 크다고 보고 있다. 다만 본지가 22일 전문가들을 전화 인터뷰한 결과, 조사가 진행 중인 사건인 만큼 결과를 지켜봐야 하다는 입장을 견지했다. 보안 전문가들은 이번 국립외교원 사태에 대해 "내부 방어에만 집중하던 시각에서 벗어나야 한다"면서 "소프트웨어 자재명세서(SBOM) 등을 통한 소프트웨어 투명성 확보와 실시간 제3자 리스크 관리(TPRM) 플랫폼 도입 등이 필요하다"고 지적했다. 22일 외교부에 따르면 외교관 교육 및 외교 부문 연구기관인 국립외교원의 온라인교육시스템 해킹으로 해외 공관 주재관 등 최대 1만여명의 정보가 유출된 것으로 나타났다. 외교부 직원 수가 2500명임을 감안할 때, 전 직원 대부분의 데이터가 유출됐을 가능성을 배제할 수 없는 상황이다. 국립외교원 온라인교육시스템은 외교부 본부 직원뿐 아니라 해외 공관에 파견되는 대사 및 외교관, 각 정부 부처 주재관, 재외공관 행정직원 등이 교육을 위해 사용하는 시스템이다. 코로나19 시기를 거치면서 비대면 교육의 필요성이 커진 데 따라 지난 2022년 운영을 시작했다. 미상의 공격자는 국립외교원 온라인교육시스템 서버를 지난해 4~5월에 장악하고 올해 2월까지 약 10개월 동안 수시로 접속했다. 공격을 당한 서버에는 약 1만건의 아이디(ID)와 해당 아이디를 사용하는 직원 이름, 직책과 소속 부서, 이메일, 암호화된 비밀번호 등이 저장돼 있던 것으로 전해졌다. 지난 21일 외교부 관계자는 해킹 사태와 관련해 "여타 국가 등 배후의 해킹 조직을 포함해서 모든 가능성을 배제하지 않고 있다"며 "국가 안보와 무관하지 않은 상황으로 인식하고 있다"고 밝혔다. 우리나라 외교부, 국방부 등을 타깃으로 지속적인 해킹 공격 시도를 이어온 북한, 중국 등 국가 배후 해킹 세력의 공격 가능성을 염두에 두고 있는 것이다. 정부가 북한, 중국 등 국가 배후 해킹 세력의 공격이라는 데에 무게중심을 두고 있는 가운데, 정보보호 전문가들 사이에서도 공격 세력이 이들이 아니냐고 추정하고 있다. 10여개월간 서버를 장악하면서 지속적으로 시스템 내부에 숨어있던 점, 지난해 미국 '프랙(Phrack)'을 통해 밝혀졌듯 북한 또는 중국 세력의 외교부 대상 공격이 이어졌던 점, 외교·국방 관련 데이터를 탈취했을 때 가장 큰 이점을 갖는 세력이 북한과 중국인 점 등을 고려했을 때 나온 판단이다. 염흥열 순천향대 정보보호학과 명예교수는 "조사가 진행 중인 사건이기 때문에 추정의 영역이지만, 과거 북한이 우리나라 정부, 외교, 국방 주요 인사에 대해 계속해서 공격을 이어오고 있었고 이들의 정보가 가장 필요한 세력은 다른 국가의 해킹 그룹이 아닌 북한일 가능성이 크다"면서 "공격 대상을 특정하는 과정이 쉽지만은 않을 것이다. 국가 배후 APT(지능형 지속 공격) 세력들은 시스템 내에서 여러 거점을 설치하고, 추적을 어렵게 하기 위한 많은 장치를 둔다. 이에 국제 공조가 활성화되지 않는 한 추적이 현실적으로 어렵다"고 설명했다. 염 교수는 이어 "많은 어려움이 있는 현실이지만 사건 경위를 낱낱이 파악할 수 있어야 한다"며 "특히 최근에는 사이버보안 특화 인공지능(AI) 모델이 등장하고 수많은 취약점이 '제로데이(0-day)'로 공격이 이뤄지고 있는 현실인데, 민간보다 민감한 데이터를 보유하고 있는 공공 부문은 특히 보안에 신경써야 한다. 제로데이 공격에 대응해 '제로데이 패치 시스템'을 자체적으로 구축할 필요가 있겠다"고 강조했다. 이용준 극동대 해킹보안학과 교수는 "국립외교원 온라인 교육시스템 해킹 공격은 10개월간 장기간 은닉한 지능적 해킹으로 APT 공격 특성을 보였다"면서 "해킹 그룹을 실증적으로 특정하기 위해서 공격 IP, 경유지(국가), 해킹도구, 소스코드 증적 등으로 확정하기에 수사과정 중에 있어 현시점에 특정은 어렵지만, 해킹 목적으로 추정할 경우 해킹 목적이 외교관, 해외 주재관 1만여명 개인정보 해킹으로 금전적 목적이 아니며 안보상 측면에서 북한에 의한 사이버상 정보수집 활동 가능성이 있다"고 진단했다. 이 교수는 "김수키, 안다리엘, 라자루스 북한 해킹 그룹이 외교, 방산 분야 공격을 지속해 왔던 만큼 수사결과에서 공격 세력이 가려질 것으로 판단된다"면서 "국가 및 공공기관을 대상으로 한 해킹사고 방지를 위해 국가 차원에 정보보안 거버넌스 체계를 권고히 하고, 공공기관의 보안수준을 일관되게 높이는 정책, 제도 운영이 필요하다"고 강조했다. 보안업계에서도 이번 국립외교원 해킹 사태를 두고 북한 소행일 가능성을 내려놓지 않고 있다. 사이버 위협 인텔리전스(CTI) 전문 기업 에스투더블유(S2W) 김재기 최고제품책임자(CPO)는 "(국립외교원 해킹 사건이)현재까지 기관에서 확인 및 조사 중이기 때문에 외교부 건에 대한 구체적인 인텔리전스는 직접 확인하기는 어렵다"면서도 "다만 범정부 'SW 공급망 보안 강화 로드맵'에 따르면, 북한 정찰총국 등으로 추정되는 해커가 2023년 전자서명 등에 사용되는 보안 모듈의 취약점을 악용해 50여 개 공공기관 및 방산 기업을 해킹한 사례나, 2024년 국내 ERP 솔루션 업체의 업데이트 서버를 해킹해 악성 루틴을 삽입한 사례 등 국가 배후 해킹 그룹이 소프트웨어 공급망을 교묘하게 타겟팅하는 위협은 지속적으로 보고되고 있는 상태"라고 밝혔다. 이어 그는 "사이버 위협에 효과적으로 대응하기 위해 공공기관과 정부, 기업은 대응 체계를 시급히 구축해야 한다"며 "공공기관과 기업은 자체 내부 방어에만 집중하던 시각에서 벗어나, 소프트웨어 자재명세서(SBOM) 등을 통한 소프트웨어 투명성 확보와 실시간 제3자 리스크 관리(TPRM) 플랫폼 도입을 통해 비즈니스 생태계 전체의 가시성과 대응력(사이버 복원력)을 확보하는 것이 가장 시급하다"고 역설했다. 지니언스시큐리티센터장을 맡고 있는 문종현 지니언스 이사는 "지니언스 역시 국립외교원 해킹 사건을 주의깊게 지켜보고는 있는 상황이지만 외부에 공유되는 내용은 아직 없다"면서 "해당 사건이 아직 조사 중이기 때문에 'APT 공격이다'하고 단정지을 수는 없다. 전후 상황, 침해 경위 등을 파악해 봐야 하는 상황"이라고 밝혔다.
