이재명 대통령 부부와 청와대 핵심 참모, 주요 장관 등의 개인정보가 전 세계에 누출됐습니다. 국가 기밀급에 속하는 168명의 생년월일과 여권 번호, 여권 발급일, 만료일 등 민감한 개인정보가 담긴 파일이 유료 악성코드 검사 사이트 바이러스토탈에 5개월 동안 버젓이 공개됐습니다.
이 대통령은 당시 6월 9일부터 10일 동안 CG 정상회의 참석 등의 일정으로 벨기에, 이탈리아, 프랑스를 방문했습니다. 이 대통령 부부를 비롯해 한성숙 국무총리(당시 중소벤처기업부 장관), 위성락 국가안보실장 등 고위 공직자와 대통령실 경호원, 여러 언론사 기자들이 동행했습니다. 이들의 개인정보가 통째로 유출된 것입니다.
청와대는 경찰에 수사를 의뢰했다고 밝혔습니다. 아울러 "앞으로 외교부 등에서 추가 조치를 할 예정"이라고 설명했습니다. 외교부는 정보 유출 해당자들에 대해 신속하게 여권을 교체할 것이라고 밝혔습니다. 경찰도 유출 경위와 책임자에 대해 발빠르게 내사에 착수했습니다. 하지만 이번 유출사고의 파장은 간단치 않습니다.
① 위험에 빠진 대통령 근접 경호망
경호관, 검식관 등 대통령 경호 관련 핵심 인력의 신원이 특정되기 때문입니다. 통상 대통령 경호처 요원이나 음식 독극물 검사를 담당하는 검식관 등의 이름, 얼굴은 기밀입니다. 이들의 영문명, 생년월일, 여권번호가 노출되면 적성국이나 테러 집단이 현지 공항이나 행사장에서 경호 인력을 역으로 감시, 식별할 수 있게 됩니다. 게다가 이들의 여권번호와 이름을 조합하면 글로벌 항공 예약망이나 출입국 전산망 등에서 예약 조회, 이동 경로 파악, 나아가 좌석 변경 시도까지 가능합니다. 현장 경호 프로토콜에 심각한 빈틈을 만들 가능성이 있습니다.
② 적성국 정보기관의 표적 공작, 정밀 스피어 피싱의 교두보 확보
고위, 핵심 공직자의 여권번호와 만료일, 직책 등은 외교부와 재외공관, 해외 호텔, 항공사 명의를 사칭한 초정밀 타깃 공격에 안성맞춤 재료입니다. "여권 재발급 관련 안내"나 "현지 의전 비자 확인 요청" 같은 맞춤형 악성 메일을 보내면 관련자가 의심 없이 열람할 수 있기 때문입니다. 이를 이용해 악성코드를 심을 경우 정부 내부망이 통째로 뚫릴 위험이 있습니다. 외교·안보 전략을 입안하는 핵심 참모들의 고유식별정보는 외국 첩보 기관의 데이터베이스에 등록돼 장기적인 신원 추적, 금융이나 출입국 이력과 결합한 약점 수집 등 공작 표적으로 활용되기도 합니다.
③ 외교적 신뢰 추락, 국제 안보 공조 위축
당시 순방은 G7 정상회의와 EU 정상회담 등 다자 외교 일정이었습니다. 방문국 정부는 최고위급에 대한 경호 인력 명단을 공유받아 합동 경호 작전을 펼칩니다. 따라서 방문국 입장에서 이번 사태는 한국 정부의 심각한 보안 수준 미달로 비칠 수밖에 없습니다, 향후 민감한 군사·외교 기밀을 공유하는 데 대한 불신을 초래합니다.
④ 사후 피해 수습의 한계
외교관 여권이나 관용 여권을 긴급 재발급해도 '이름과 생년월일, 특정 직책'이라는 영구적인 인적 데이터베이스는 영구히 공격자들의 손에 남습니다. 이미 전 세계로 퍼져 나간 원본 파일은 회수가 불가능합니다. 따라서 피해를 입은 168명은 앞으로 모든 해외 출장과 공무 수행에서 지속적인 2차 보안 위협을 안게 됩니다.
아직 이번 유출이 언제, 어떤 경로로 이뤄졌는지 명확하게 밝혀지지 않았습니다. 하지만 전후 사정을 봤을 때 합리적이고 가능성 이 큰 유추는 가능합니다.
① 어떻게 바이러스토탈에 올라갔을까?
바이러스토탈은 파일의 악성코드 존재 여부를 수십 개의 글로벌 백신 엔진으로 검사해 주는 서비스입니다. 일반적 백신 프로그램처럼 '내 컴퓨터 안에서만' 검사하고 끝나는 게 아닙니다. 검사를 위해 파일 원본 전체를 글로벌 서버로 전송합니다. 대통령의 유럽 순방을 앞두고 정부의 실무 담당자는 외부 또는 각 기관에서 취합한 탑승자 명단 파일을 전달 받았을 것입니다. 이때 이메일 첨부 파일의 바이러스 감염 여부를 확인하려 했을 가능성이 큽니다. 그런데 내부 백신으로 검사하거나 보안 부서에 문의하는 대신, 브라우저를 켜고 바이러스토탈에 해당 파일을 '드래그 앤 드롭', 즉 파일 전체를 끌어가서 사이트 서버에 올려놓은 방법으로 검사했을 것으로 추정됩니다.
② 왜 아무나 다운로드할 수 있는 상태로 노출됐을까?
바이러스토탈의 핵심 비즈니스 모델은 샘플 공유입니다. 바이러스토탈은 업로드된 모든 파일을 자산화해 전 세계 보안 연구원, 기업, 정보기관 등 유료 구독 회원에게 전체 샘플 다운로드 권한을 제공합니다. 따라서 사용자가 악성코드 점검을 위해 올린 파일은 전 세계 수많은 보안 전문가와 유료 가입자 데이터베이스에 '새로운 샘플'로 자동 등록됩니다. 따라서 누군가 불순한 의도로 자료를 해킹해 빼돌렸을 가능성은 낮습니다. 굳이 흔적이 남는 글로벌 보안 사이트에 보관할 이유는 없기 때문입니다. 즉 의도적인 유출 폭로가 아니라면 업로더가 해당 사이트의 작동 메커니즘을 몰라 일으킨 사고일 가능성이 큽니다.
설사 기밀 유출이 이뤄졌더라도 정부의 보안 시스템이 이를 알아채지 못한 채 5개월이나 방치해 둔 상황 역시 어이없습니다. 얼마든지 일어날 수 있는 일인데 아무 대책이 없다는 얘기입니다.
① 내부 유출 탐지 시스템(DLP)의 사각지대
정부 기관 내부망은 상시적으로 외부 유출을 감시합니다. 하지만 업무용 PC가 인터넷망과 분리되지 않았거나 실무자가 반출 승인 절차를 거치지 않고 웹 브라우저를 통해 업로드했을 때 이를 실시간으로 잡아내지 못하는 한계가 있다는 점이 드러났습니다.
② 업로더 본인의 망각과 은폐
자료를 올린 당사자는 사이트에서 "검사 결과 악성코드 없음"이라는 녹색 화면만 확인했을 가능성이 큽니다. 이후 이뤄지는 과정은 무시한 채 브라우저를 닫았을 것으로 보입니다. 파일이 계속 서버에 남아 유료 회원들에게 다운로드 된다는 사실 자체를 인지하지 못했기 때문에 삭제나 신고 조치를 취하지 않았을 것으로 추정됩니다.
③ 외부 인텔리전스 모니터링 부재
국가 수반 등 주요 인사 정보가 포함된 키워드나 문서 양식이 바이러스토탈 같은 주요 오픈소스 인텔리전스 플랫폼에 등록되는지 상시 모니터링하는 전문 체계가 사전에 작동하지 않았습니다. 국내외 보안 연구원이나 모니터링 주체가 이를 뒤늦게 식별하고 제보하기 전까지 내부에서는 인지하기 어려운 구조였습니다.
청와대는 뒤늦게 부산합니다. 오늘 오전 임광현 대통령 비서실장 주재로 관련 긴급회의를 열었습니다. 임 실장은 "대통령 순방단의 개인정보 유출은 결코 가볍게 볼 수 없는 중대한 사안"이라고 목소리를 높였습니다. "유출 경위와 정보 노출의 범위, 실제 피해 여부를 철저히 조사하고 관계 기관의 관리 책임을 명확히 규명할 것"을 강조했다고 강유정 청와대 수석대변인이 전했습니다. 아울러 재발 방지를 위해 대통령 순방 보안 관리 체계를 전면적으로 점검하고 실효성 있는 대책을 마련하라고 관계 기관에 주문했다고 합니다.
다만 의미 없는 사후약방문에 그치지 않으려면 우리 국가 주요 기관의 보안 시스템을 새로 점검하고 뜯어고쳐야 합니다. 세계 어느 곳이든 자국 국가 원수 이름만 나오면 바로 도∙감청에 들어간다고 알려진 모 국가 정도는 아니더라도 적어도 대통령의 개인정보가 5개월 동안 시장통에 굴러다니는 상황은 말이 되지 않습니다.