외교부 해킹, 외교관 정보 1만건 10개월간 새나갔다

외교부 산하 국립외교원의 온라인교육시스템 서버가 무려 10개월간 정체불명의 해커에게 장악돼 있었다. 이 시스템에는 외교관과 재외공관 근무자 등의 개인정보 최대 1만건이 저장돼 있었고, 침투 원인은 국내에서 개발된 서버 보안솔루션 자체의 제로데이(공개되지 않은) 취약점으로 확인됐다. 공격은 2025년 4월 시작됐지만, 정부가 이를 공식적으로 확인하고 공개한 건 2026년 7월 20일이다.

외교부 해킹, 무슨 일이 있었나

국립외교원은 외교관과 재외공관 파견자 교육을 담당하는 외교부 산하 기관이다. 이곳의 온라인교육시스템이 해킹당해 외교부 본부 직원, 재외공관 근무자, 다른 부처에서 재외공관으로 파견된 주재관 등의 교육 관련 정보가 노출됐을 가능성이 제기됐다.

공격자는 서버에 설치된 국내산 보안솔루션의 미공개 취약점과 시스템 보안설정 미비점을 함께 악용해 서버를 장악했다. 이후 정상적인 소프트웨어 권한으로 위장해 활동했기 때문에, 일반적인 보안 점검이나 탐지 방식으로는 침해 사실을 확인하기 어려웠다는 것이 외교부의 설명이다.

외교부 해킹 타임라인, 10개월간의 기록

• 2025년 4~5월: 공격자가 제로데이 취약점을 악용해 서버 장악
• 2025년 5월~2026년 2월: 정상 권한으로 위장한 채 시스템 접속 지속
• 2026년 2월 초: 관계기관으로부터 비정상 접근 통보받고 시스템 긴급 차단
• 2026년 7월 20일: 외교부, 조사 결과 공식 공개
• 2026년 7월 22일: 침투 원인이 국내 서버 보안솔루션의 제로데이였다는 사실과 “동일 제품 사용 기관 조사 필요” 지적 추가 보도

탐지부터 공개까지 약 5개월이 걸렸다는 점에서 통지 지연 논란도 제기된다. 외교부는 국가안보와 관련된 시스템이라 기술적 분석에 시간이 필요했다고 해명했다.

유출 가능성 정보 vs 유출되지 않은 정보

구분	내용
노출 가능성 있음	이름, 아이디, 이메일 주소, 암호화된 비밀번호, 소속 부서·직책
노출되지 않은 것으로 확인	주민등록번호 등 고유식별정보, 휴대전화번호, 자택 주소, 사진
저장 데이터 규모	최대 약 1만건(중복 계정 포함 가능, 실제 유출 규모는 조사 중)

외교부는 시스템에 저장된 데이터가 “최대 1만건”일 뿐 실제로 1만명이 피해를 봤다는 의미는 아니라고 선을 그었다. 다만 외교부 본부 직원은 거의 전원 이 시스템에 정보가 저장돼 있었을 가능성이 있다고 밝혔다.

외교부 해킹이 국가안보 문제로 커진 이유

이번 사고가 단순 개인정보 유출을 넘어 주목받는 이유는 유출 대상의 특성 때문이다. 정부는 평소 전체 외교관과 재외공관 근무자의 소속·직책·이메일을 일괄 공개하지 않는다. 만약 공격자가 이 정보를 확보했다면 특정 국가·지역에 파견된 외교관과 정부 인력의 관계를 분석해 조직도를 재구성할 수 있다.

재외공관에는 외교관 외에도 국방·정보·산업 분야 파견자가 함께 근무하는 경우가 많아, 이들의 신상이 노출됐을 가능성도 배제할 수 없다. 이름·소속·직책·이메일은 스피어피싱과 사회공학 공격에 곧바로 활용될 수 있는 정보이기도 하다.

공격자가 실제 업무 관계를 파악한 뒤 동료나 정부기관을 사칭하면, 불특정 다수를 노린 일반 피싱보다 성공 확률이 훨씬 높아진다. 정부는 북한이나 중국 등 국가 배후 조직의 소행 가능성도 조사 중이지만, 현재까지 특정 배후를 단정할 만한 기술적 근거는 공개되지 않았다.

지금 점검해야 할 것들

이번 사고로 직접 영향을 받을 수 있는 대상은 외교부 본부·재외공관 근무 이력이 있는 공무원과 파견 인력이다. 일반 국민의 개인정보가 저장된 시스템은 아니어서, 이 사건 자체로 일반 국민이 별도로 조회할 방법은 없다. 다만 관련이 있을 수 있는 사람이나 유사한 시스템을 운영하는 기관·기업이라면 아래를 점검할 필요가 있다.

• 외교부·재외공관 관련 계정 비밀번호를 다른 서비스에서도 재사용했다면 즉시 변경
• 출처가 불분명한 이메일의 첨부파일이나 링크는 열지 않기(스피어피싱 대비)
• 다중인증(2단계 인증)을 아직 켜지 않았다면 지금 적용
• 취약점이 발견된 것으로 알려진 국내 서버 보안솔루션(5.0.16~5.0.18 계열 일부 버전)을 사용 중인 기관·기업은 제조사·유지보수업체를 통해 패치 여부 확인
• 서버 관리 계정의 이상 로그인 기록, 권한 변경 이력, 장기 미사용 세션 여부 점검

자주 묻는 질문

Q. 국립외교원은 정확히 어떤 기관인가?
외교부 산하 기관으로, 외교관과 재외공관 파견 인력의 교육·연수를 담당한다. 이번에 해킹당한 것은 그 교육을 위한 온라인교육시스템이다.

Q. 왜 2월에 알고도 7월에야 발표했나?
외교부는 국가안보와 관련된 시스템이라 기술적 분석과 사실 확인에 시간이 필요했다고 설명한다. 다만 비밀번호 등이 노출됐을 가능성이 있었던 만큼 더 빨리 알렸어야 한다는 지적도 나온다.

Q. 제로데이 취약점이 정확히 뭔가?
제조사조차 아직 발견하지 못해 보안 업데이트가 나오지 않은 상태의 취약점을 말한다. 공격자가 이를 먼저 찾아내 악용하면 일반적인 백신·보안 점검으로는 탐지가 매우 어렵다.

Q. 일반 국민도 이번 유출 대상에 포함되나?
아니다. 유출 가능성이 제기된 정보는 외교부 본부·재외공관 근무자와 파견 공무원 등으로 한정된다. 일반 국민의 개인정보가 이 시스템에 저장돼 있던 것은 아니다.

Q. 북한이나 중국의 소행으로 결론 났나?
아직 아니다. 정부는 국가 배후 가능성을 포함해 모든 가능성을 열어두고 조사 중이며, 현재까지 공격 주체를 특정할 만한 기술적 근거는 공개되지 않았다.

시사점

이번 사고에서 눈여겨볼 지점은 뚫린 것이 해외 유명 솔루션이 아니라 국내에서 개발·공급된 서버 보안솔루션이라는 사실이다. 보안을 지켜야 할 제품 자체에서 제로데이가 나왔다는 것은, 같은 제품을 쓰는 다른 공공기관과 기업도 동일한 위험에 노출돼 있었을 수 있다는 뜻이다. 제로데이는 사전에 완벽히 막기 어렵지만, 공격자가 침투 이후 내부에서 얼마나 오래 조용히 활동할 수 있었는지는 결국 접근권한 관리와 이상행위 탐지 체계의 문제이기도 하다. 국가기관조차 10개월간 알아채지 못했다는 점은, 일반 기업의 보안 점검 주기와 로그 모니터링 수준을 다시 돌아보게 만드는 사례다.

Jett Insight는 매일 국내외 최신 보안 이슈를 빠르게 정리해 전해드립니다.

출처

• 국립외교원 서버 10개월간 해킹…외교관·재외공관 인력 정보 최대 1만건 노출 가능
• [단독] 외교부 해킹, 국내 서버 보안솔루션 제로데이 취약점 악용이 원인…다른 기관도 조사 필요
• 국립외교원 서버 해킹, 최대 1만명 정보 유출 파장