외교원 LMS 발판으로 10개월 간 잠입... 외주 틈새 노린 우회공격
“안보 사안”이라며 5개월 지체... 민간 사고 철퇴와 대조

[보안뉴스 조재호 기자] 최근 외교부 국립외교원 해킹 사태는 협력사 보안 소프트웨어 취약점을 노린 공급망 공격의 위험을 드러냈다는 평가다. 공공과 민간에서 벌어진 사고 사이 대응의 온도차 역시 논란이다.


[출처: 연합뉴스]

외교부는 20일 국립외교원 온라인 교육시스템(LMS) ‘외교배움e’ 서버가 신원 미상의 공격자에게 장악됐고, 외교부 임직원들의 신상 정보가 유출됐다고 밝혔다. 수사당국은 북한을 비롯한 외국 배후 해킹 조직의 소행일 가능성을 열어두고 공격 주체를 추적하고 있다.

해커는 정부망을 직접 조준하는 대신 산하 기관이 운영하는 교육 시스템을 초기 침투 거점으로 삼았다. 이어 시스템에 적용된 보안 솔루션의 미공개 취약점(제로데이)을 악용해 관리자 권한을 탈취하고 정보를 유출했다.

국립외교원 LMS에 해커가 최초 침투한 시점은 지난해 4월에서 5월 사이로 파악된다. 이후 시스템이 운영되던 약 10개월 동안 해커는 탐지망을 벗어나 채 수시로 접속해 외교관과 주재관, 파견 근무자 등 최대 1만여 건에 달하는 신상 정보를 탈취했다. 이는 외교부 본부 인원이 거의 다 포함됐을 것으로 추정되는 규모다. 유출 항목은 이름과 이메일, 아이디, 소속 부서 및 직책 등이다.

조달 시스템의 보안 부재... ‘공급망’의 구조적 한계
이번 사태의 원인 중 하나는 기능과 비용 효율성을 우선한 공공 IT 조달 체계 시스템이다. 국립외교원 LMS는 정부 공공 정보화 사업 발주를 통해 선정된 민간 기업 주도로 구축됐다. 문제는 시스템 구축 업체가 기능 구현에만 치중하고 전문적 보안 관리는 소홀할 수 밖에 없는 구조적 한계에 있다. 이러한 관리 사각지대 때문에 해커가 10개월이라는 긴 시간 잠복할 수 있었다는 지적이다.

이에 더해 시스템 최전선에서 보안을 지켜야 할 국내 보안 솔루션의 취약점이 내부망 침투 수단으로 악용됐다. 내부망에 도입된 소프트웨어라도 지속적 관리가 필요하다는 점을 재확인시켜 준다.

지난해 8월 글로벌 해킹 매거진 ‘프랙’(Phrack)에 공개된 보고서에서 우리나라 주요 정부 부처와 기업들에 대한 국가 배후 해커들의 공격 사실이 밝혀졌음에도, 비슷한 시기 벌어진 외교원 해킹 사태를 감지하지 못했다는 점도 아쉽다는 말이 나온다.

기업은 그렇게 잡더니... 공공과 민관 온도차
외교부는 2월 초 국가정보원 등 유관기관 통보로 해킹 정황을 인지한 후 시스템 접속을 긴급 차단했지만, 공식 발표는 지난 20일에야 나왔다. 사안이 국가 안보와 직결된 만큼 기술적 분석과 피해 확인을 위해 5개월간 신중한 시간을 거쳤다는 외교부 설명이다.

하지만 민간 기업은 침해 사고를 당한 경우 법적 절차에 따라 신속하고 투명하게 신고해야 한다. 형평성 논란이 나오는 이유다. 정부 차원의 분석이 길어지는 사이 동일한 취약점을 가진 다른 공공기관들이 대비할 수 있는 시간을 놓칠 수 있다. 한국인터넷진흥원(KISA)은 지난달 8일에야 문제의 취약점에 대한 긴급 패치를 실시하라고 보호나라에 공지했다.

문광석 한국정보공학기술사회 미래융합기술원장은 “최근 미토스 등 프론티어 AI의 발전으로 소프트웨어 취약점 골든 타임이 1일 이내로 줄어든 만큼 대비가 필요하다”며 “이제 AI를 통해 끊임없이 점검하고, 내·외부 공급망을 체계적으로 관리하는 보안 거버넌스가 중요해졌다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>