외교부 산하 국립외교원의 온라인 교육 시스템이 해킹당해 대규모 개인정보가 외부로 유출된 사실이 확인됐다. 이번 사고로 우리나라 외교관 전원인 이천오백여 명을 포함해 최대 만 건에 이르는 정보가 밖으로 새어 나간 것으로 파악됐다. 국가 외교를 담당하는 인력의 신상 정보가 통째로 노출된, 유례를 찾기 어려운 대규모 보안 사고다.
유출 규모는 최대 만 건으로, 단순히 일부 자료가 새어 나간 수준을 넘어선다. 특히 현직 외교관 전원의 정보가 포함됐다는 점에서 심각성이 크다. 외교관은 여러 나라에 파견돼 민감한 업무를 수행하는 만큼, 이들의 신상 정보가 한꺼번에 노출된 것은 개인의 문제를 넘어 국가 차원의 보안 문제로 번질 수 있다는 우려가 나온다.
유출된 정보에는 성명과 아이디, 이메일 주소, 그리고 암호화된 비밀번호 등 개인 신상 정보가 두루 담겼다. 비밀번호가 암호화된 형태로 저장돼 있었다고는 하지만, 이름과 연락처를 비롯한 기본적인 신상 자료가 함께 빠져나가면서 이를 악용한 추가 피해 가능성도 쉽게 배제하기 어렵다는 지적이 뒤따른다.
이번 해킹은 짧은 시간에 스치듯 이뤄진 것이 아니라 상당 기간에 걸쳐 진행된 것으로 드러났다. 미상의 공격자는 지난해 사월에서 오월 무렵부터 국립외교원의 온라인 교육 시스템 서버를 장악했고, 올해 이월 초까지 수개월 동안 서버에 접속해 온 것으로 확인됐다. 공격자가 오랜 기간 시스템 안에 머물며 정보를 빼낸 셈이다.
더 큰 문제는 이 기간 내내 외교부가 사고 자체를 제대로 파악하지 못했다는 점이다. 공격자가 서버를 드나드는 동안, 정작 외교부는 열 달가량 실태조차 파악하지 못한 것으로 확인됐다. 결국 이번 사고는 외교 당국의 사이버 대응 역량에 뚜렷한 허점이 있다는 사실을 그대로 드러낸 셈이 됐다.
핵심 업무 시스템이 아닌 온라인 교육 시스템이라는, 상대적으로 관리의 사각지대에 놓이기 쉬운 경로가 뚫렸다는 점도 주목된다. 겉으로 드러나는 주요 시스템뿐 아니라 부속 시스템까지 촘촘하게 관리하지 않으면 언제든 이런 사고가 되풀이될 수 있다는 과제를 남겼다. 관리의 빈틈이 곧 대규모 유출로 이어질 수 있음을 보여준 사례다.
이번 사고를 계기로 외교 당국의 정보 보안 체계 전반을 다시 점검해야 한다는 목소리가 커지고 있다. 이미 유출된 정보를 되돌릴 수는 없는 만큼, 새어 나간 신상 정보가 사칭이나 추가 범죄에 악용되지 않도록 대비책을 마련하는 일이 시급하다는 것이다. 오랜 기간 방치된 침입이 다시 반복되지 않도록 감시 체계를 강화하는 것도 남은 과제로 꼽힌다.