[사진=픽사베이]

외교부 산하 국립외교원의 온라인 교육시스템이 무려 10개월 동안 해킹된 상태였다는 사실이 뒤늦게 드러났다. 해킹된 시스템에는 외교관을 포함해 외교부 본부와 재외공관 직원, 경찰과 정보기관 등 다른 부처에서 파견된 인원까지 포함해 1만여명의 정보가 보관돼 있다. 이들의 이름과 아이디, 암호화된 비밀번호, 이메일 주소 등이 탈탈 털리는 초유의 사고가 발생한 것이다.

해킹된 사이트는 지난 2022년 코로나 팬데믹 때 외교관 등을 비대면으로 교육하기 위해 개설됐는데 해커가 사이트 서버에 침입한 시기는 지난해 4~5월로 파악됐다. 그런데 올해 초까지 10개월 동안 해커가 수시로 접속해 들락날락했는데도 그런 사실을 전혀 몰랐다.

외교부는 지난 2월 국가정보원으로부터 해킹 관련 사실을 통보받고 해당 사이트의 접속을 차단했다고 한다. 하지만 해커가 탈취한 개인정보를 이용해 국가 안보에 위해가 될 행위를 할 가능성을 배제할 수 없다.

재외공관에는 외교부 직원 뿐만 아니라 정보기관과 경찰, 군인 등이 파견 근무를 하고 있다. 이들의 명단은 공개되지 않을 뿐만 아니라 근무 자체가 대외비인 경우도 있다.

해커가 암호화된 비밀번호를 풀었을 가능성도 있다. 이름이나 비밀번호, 이메일 주소 등을 이용해 또 다른 정보를 캐냈을 수도 있기에 엄중한 사안이다.

외교부는 해킹된 1만건 가운데 상당한 규모의 유출이 있었다고 추정할 뿐 정확한 유출 규모는 확인하지 못했다고 한다. 보안 의식과 보안 체계가 얼마나 허술한 지 가늠할 수 있다.

외교부는 5개월 만에 해킹 사실을 뒤늦게 홈페이지에 공지했다. 지난 2월부터 조사하고 있지만 지금까지 해킹의 주체를 단정할 기술적인 분석은 부족한 상태라고 한다. 국가 안보와 직결되는 사태가 발생한 만큼 빠른 시간 안에 사건의 실체를 규명되길 기대한다.

이번 사건에서 해커는 소프트웨어 제조업체도 인지하지 못한 '미공개 보안 취약점'을 악용한 것으로 추정되고 있다. 사이버 보안 전문가들은 이런 점으로 미루어 볼 때 해킹의 주체가 북한 등 국가일 가능성이 있다고 진단한다. 외교부도 국가 등이 배후에 있는 해킹 조직의 가능성을 거론하고 있다.

2년 전에도 우리나라 법원 전산망이 북한 정찰총국 소속의 해커 조직 '라자루스'에게 해킹된 적이 있다. 해킹으로 인해 2021년 6월 29일부터 2023년 2월 9일까지 총 1014기가바이트(GB)규모의 법원 자료가 유출된 것으로 경찰청과 검찰청, 국가정보원의 합동 조사 결과 드러났다.

당시 법원행정처는 악성 코드를 탐지해 삭제한 뒤 민간 보안 업체에 조사를 의뢰했지만 경찰청이나 국정원에는 이 같은 사실을 알리지 않았다. 더군다나 법원은 국정원이 북한의 해킹 정황을 통보했는데도 불구하고 민감한 개인정보가 많다는 이유로 내부 조사로만 시간을 보내다 뒤늦게 수사를 의뢰하는 등 늑장 대응을 했다는 지적을 받았다.

공공기관을 노리는 사이버 공격은 해마다 크게 늘고 있다. 중앙선거괸리위원회의 직원 한 명의 PC가 악성 코드에 감염돼 선거 정보가 다크웹에 유출되는 사건도 있었다.

개인정보보호위원회에 따르면 2025년 공공기관의 개인정보 유출 신고는 전년보다 23% 늘어난 128건이었다.

사이버 공격은 나날이 지능화되고 전방위로 확대되고 있다. 인공지능(AI)이 해킹을 하는 시대다.

21일(현지시간) 오픈AI는 ‘GPT-5.6 솔’과 일부 미공개 AI 모델이 내부 평가 도중 통제를 벗어나 개방형 AI 공유 플랫폼 ‘허깅페이스’를 해킹한 사실을 확인했다고 밝혀 충격을 주고 있다.

AI를 활용해 정보 보안의 취약점을 찾아내고 공격 경로를 파악할 정도다.

우리나라는 사이버 보안 사고가 반복적으로 발생하고 있지만 개인정보보호법 상 처벌 강화에 치우쳐 있다는 지적을 받고 있다.

사이버 안보의 책임 기관이 공공, 민간, 군(軍)으로 분산돼 있는데 사이버 안보 대응 체계를 일원화할 상위법 재정이 시급하다는 전문가들의 조언을 귀담아 들었으면 한다. 가칭 국가사버안보기본법을 제정하는 등 제도 개선이 뒷받침되어야 한다.