외교부의 5개월 침묵과 미국 방첩망에 남은 위험
글: 진 커밍스
The Korea Signal 공동편집장 겸 수석 칼럼니스트
“이 특별보고서는 한국 외교·안보 인력 최대 1만 명과 정보기관 요원 수백 명의 정보가 대규모로 유출되고, 한국 정부가 이를 약 5개월 동안 공개하지 않은 사건이 미국 안보에 미칠 영향을 추적한다. 이 사건이 한국 내부의 개인정보 유출을 넘어 미국 정부와 군·정보기관, 한미 정보협력망에 어떤 위험을 남겼는지 살펴보고, 워싱턴이 이를 중대한 방첩위기로 다뤄야 하는 이유를 제시한다.”
2026년 7월 20일, 한국 외교부는 산하 국립외교원 온라인 교육시스템이 장기간 해킹돼 외교·안보 인력의 정보가 유출됐다고 공개했다. 한국 당국은 북한을 포함한 국가 배후 공격 가능성을 조사하고 있지만, 현재까지 공격 주체는 공식적으로 확정되지 않았다. 해커는 2025년 4월과 5월 사이 서버를 장악한 뒤 2026년 2월까지 약 10개월 동안 시스템에 접속했다. 외교부는 공격자가 소프트웨어 제작사조차 당시 알지 못했던 제로데이 취약점과 시스템의 보안설정 미비점을 함께 이용해 서버를 장악했으며, 정상적인 소프트웨어 권한을 사용해 장기간 활동했다고 밝혔다.
이 시스템에는 외교부 본부 직원과 해외공관 외교관, 정부 부처 주재관, 재외공관 행정직원, 해외에 파견된 일부 정보기관 요원의 이름과 아이디, 이메일, 암호화된 비밀번호, 근무지와 직책, 온라인 교육자료와 수강 관련 정보가 저장돼 있었다. 피해 대상은 최대 1만 명에 이르며, 해외공관에 공식 신분으로 파견된 정보기관 요원 수백 명도 포함된 것으로 보도됐다.
이 사건은 한국 공무원들의 개인정보가 유출된 사고로만 다룰 수 없는 문제다. 이 문제는 미국 안보에 심각한 위협을 줄 수 있는 중대한 사안이다. 한국 외교관과 정보요원들은 미국 정부와 군, 정보기관, 연방의회, 방산업체와 싱크탱크 사이에서 한미동맹의 실무를 움직이는 사람들이다. 이들의 이름과 근무지, 직책과 연락처가 한꺼번에 노출됐다는 것은 미국과 한국 사이의 외교·안보 업무를 실제로 처리하는 인적 연결망을 외부에서 추적할 수 있게 됐다는 뜻이다.
워싱턴이 먼저 확인해야 할 것은 어떤 개인정보가 유출됐는지가 아니다. 공격자가 유출된 이름과 직책, 근무지와 이메일을 공개자료와 대조해 한국 외교관과 정보요원의 신원을 특정하고, 이들이 접촉해 온 미국 정부 관계자와 기관을 추적하며, 실제 인물을 사칭해 국무부와 국방부, 정보기관과 연방의회 관계자들에게 접근할 수 있는지부터 조사해야 한다.
공격자는 한국 정부의 해외 인력 지도를 만들 수 있다
공격자는 이름과 이메일만 확보해도 피싱 공격을 시작할 수 있지만, 직책과 근무지까지 손에 넣는 순간 그 자료의 성격은 달라진다. 단순한 연락처 명단이 한국 정부의 해외 인력 배치를 보여주는 자료로 바뀌기 때문이다. 이를 통해 워싱턴에서 정치·안보 현안을 다루는 외교관이 누구인지, 미국 국방부와 주한미군을 상대하는 담당자가 누구인지, 유엔과 나토에 파견된 인력이 누구인지 구분할 수 있으며, 각 부처의 공개자료까지 대조하면 반도체와 수출통제, 방산, 대북제재, 북한 인권 업무를 맡은 공무원들도 따로 골라낼 수 있다.
여기에 공관 홈페이지와 외교부 인사발령 자료, 의회와 싱크탱크 행사기록까지 더하면 각 인물의 실제 업무와 미국 측 접촉 범위가 한층 구체적으로 드러난다. 특정 외교관이 국무부의 어느 부서와 정기적으로 만나는지, 백악관 국가안보회의와 협의하는 사람이 누구인지, 확장억제와 연합훈련 문제를 국방부와 조율하는 담당자가 누구인지 확인할 수 있게 되는 것이다. 공식 외교관이나 주재관 신분으로 특정 국가에 파견된 정보요원 역시 공개된 인사자료와 행사 참석기록을 따라가면 분류가 가능하다.
유출된 명단은 그 안에 포함된 사람들의 신원만 보여주는 자료도 아니다. 공식 외교관 명단과 공관 조직도, 정부 인사발령 자료를 교육시스템 가입자 명단과 비교하면 일반 외교업무를 맡는 직책과 정보·보안 임무를 수행하기 위해 사용되는 공식 직책을 구분할 단서가 생긴다. 공개적으로 공관 근무가 확인된 사람 가운데 교육시스템에 등록되지 않은 인물이 누구인지도 중요한 정보가 되며, 포함된 사람과 빠진 사람의 차이를 여러 해의 인사기록과 대조할 경우 공식 직책과 실제 임무가 일치하지 않는 인물까지 찾아낼 수 있다.
이렇게 축적된 인사정보는 비밀번호나 이메일 주소보다 훨씬 오래 남는다. 한 사람이 어느 기관에서 근무했고 어떤 해외공관을 거쳐 대통령실이나 국방부, 정보기관의 고위직으로 이동했는지는 계정을 바꾼다고 사라지는 정보가 아니기 때문이다. 경력과 전문분야, 미국 측 인맥, 정부 내부의 이동 경로를 과거 근무지와 현재 직책에 연결하면 한국 정부 내부의 인맥과 승진 경로를 추적할 수 있고, 앞으로 미국과의 민감한 협상이나 정보업무를 맡게 될 사람도 미리 골라낼 수 있다.
그중에서도 공식 외교관이나 주재관 신분으로 해외에 파견된 정보기관 직원들의 명단은 특히 민감하다. 이들은 현지 공관에서 미국 정보기관과 군, 외교당국을 상대로 공식 협의와 정보교환을 수행하기 때문에, 신원과 근무지가 드러나는 순간 미국 측 접촉자들도 함께 추적될 수 있다. 공관 출입기록과 행사 참석, 출장과 회의 일정을 이어서 살펴보면 누가 이들과 정기적으로 만나는지 확인할 수 있으며, 해당 요원이 직접 기밀자료를 전달하지 않았더라도 어떤 사람을 만나고 어느 분야를 담당하는지만으로 한미 정보교환의 구조와 주요 연락선을 역으로 그리는 것이 가능해진다.
과거의 정보활동과 현지 협력자까지 역추적할 수 있다
이번 사건에서 더 깊이 들여다봐야 할 부분은 현재 근무 중인 외교관과 정보요원의 안전에만 머물지 않는다는 점이다. 공격자는 이번에 빼낸 이름과 직책, 과거 근무지를 출입국 기록과 여행자료, 휴대전화 위치정보, CCTV 영상, 공관 출입기록 등 외부에서 확보한 다른 자료와 대조할 수 있다. 현재 노출된 신원정보를 이용해 이들이 과거 어느 지역에서 활동했고, 누구를 만났으며, 어떤 사람들과 반복적으로 접촉했는지 다시 추적할 수 있게 되는 것이다.
특정 정보요원이 2022년이나 2023년 중국이나 러시아, 동남아시아 또는 중동의 어느 공관에서 근무했다는 사실이 확인되면, 공격자는 당시 그 사람이 어디를 방문했고 누구를 만났는지 과거 기록을 다시 조사할 수 있다. 그 과정에서 현지 정부 관계자와 기업인, 금융·해운업계 종사자, 언론인, 탈북민과 인권활동가 가운데 누가 해당 요원과 반복적으로 접촉했는지를 찾아내고, 결국 누가 한국 정부에 정보를 제공했는지까지 좁혀갈 수 있다.
한 사람의 신원이 드러나면 위험은 그와 직접 만난 사람들에게서 끝나지 않는다. 공격자는 그가 접촉한 사람들의 통화기록과 이동경로를 따라가고, 다시 그 사람들이 만난 인물들을 조사하면서 과거의 인적 네트워크를 여러 단계까지 넓혀갈 수 있다. 한 명의 신원 노출이 여러 명의 협력자와 정보 제공자를 찾아내는 통로가 되는 것이다.
그 대상에는 북한의 제재 회피와 무기 거래를 추적해 온 현지 은행 관계자, 러시아와 북한의 군사협력 자료를 전달한 공무원, 중국 기업의 기술 탈취와 불법 수출을 제보한 기업 내부자가 들어간다. 북한 인권 상황을 한국 외교관에게 전달한 탈북민과 현지 협력자 역시 같은 위험에 놓인다. 이들은 한국 정부의 정식 직원이 아니기 때문에 정부가 피해자 명단을 작성하는 과정에서는 빠질 가능성이 높지만, 외교관이나 정보요원의 과거 동선이 재구성되면 오히려 가장 먼저 신원이 드러날 수 있는 사람들이다.
미국 측 관계자도 같은 방식으로 역추적된다. 한국 외교관이 워싱턴에서 누구를 만났는지 과거 일정과 행사자료를 대조하면 국무부와 국방부 직원은 물론 미국 정보기관 관계자, 의회 보좌진, 군 관계자와 싱크탱크 연구자까지 확인할 수 있다. 공격자는 이어 이들 가운데 누가 보안 인가를 보유하고 있는지, 누가 대북제재나 중국·러시아 문제를 담당하는지, 누가 한국 정보기관과 정기적으로 접촉했는지를 분류할 수 있다.
따라서 이번 사건의 피해평가를 2025년 이후 발송된 피싱 이메일이나 최근의 이상 접속 기록에만 한정해서는 안 된다. 명단에 포함된 정보요원과 외교관들이 해외공관에 처음 부임한 시점까지 거슬러 올라가 과거 활동과 접촉기록을 다시 확인해야 하며, 그 과정에서 이들이 만났던 미국 측 인사와 현지 협력자, 정보 제공자의 안전까지 함께 점검해야 한다.
2024년 정보요원 명단 유출은 어떤 피해가 뒤따르는지 이미 보여줬다
한국은 정보요원의 신원이 유출됐을 때 실제 작전망이 어떻게 무너지는지 이미 경험했다. 2024년 한국 국군정보사령부 소속 군무원이 해외에서 활동하던 정보요원들의 신원자료를 외부로 유출했으며, 당시 자료에는 외교관 신분 없이 비밀리에 활동하던 이른바 블랙 요원 명단도 포함돼 있었다. 정보당국이 해외 인력을 긴급히 복귀시킨 것은 노출된 요원 개인의 안전뿐 아니라 그들이 현지에서 관리해 온 작전망 전체를 더 이상 유지하기 어려웠기 때문이다.
요원을 철수시키면 해당 국가에서 수년 동안 구축해 온 접촉망과 정보원 관리체계도 사실상 멈춘다. 후임 요원을 보낸다고 해도 기존 인맥과 신뢰관계를 그대로 넘겨받을 수 없으며, 자신의 신원이 이미 드러났다고 판단한 현지 협력자들은 한국과의 접촉을 중단하게 된다. 노출된 요원과 함께 일했던 사람들 역시 새로 파견된 요원이 접근하더라도 그를 믿고 다시 정보를 제공하기 어렵다.
공식 신분으로 근무하는 정보요원은 블랙 요원과 활동 방식은 다르지만, 신원 노출이 가져오는 작전 손실까지 가벼운 것은 아니다. 이들은 미국과 동맹국의 정보기관, 군과 외교당국을 상대로 공식 연락과 정보교환을 담당하면서 오랜 기간 개인적인 신뢰를 쌓아 왔다. 이들의 신원을 교체하거나 임무를 바꾸는 순간 한미 간 연락 경로와 협력관계도 다시 만들어야 하며, 해외공관에서 수년 동안 쌓은 신뢰를 행정명령 하나로 후임자에게 넘겨줄 수는 없다. 따라서 이번 사건으로 노출된 인력을 다른 지역으로 전환 배치하거나 본국으로 복귀시킬 경우 그 비용은 한국만 부담하는 것이 아니다. 이들과 장기간 정보를 교환해 온 미국 측 담당자도 새로운 상대와 관계를 처음부터 다시 구축해야 하고, 그 과정에서 진행 중이던 제재 조사와 군사협의, 첨단기술 보호와 방산 협상도 영향을 받는다. 정보요원 명단 유출은 단순히 노출된 사람의 이름을 바꾸는 문제가 아니라, 그 사람이 관리하던 정보원과 작전, 동맹국과 이어 온 협력관계까지 한꺼번에 흔드는 사건이다.
10개월의 장기 침입은 앞으로 파견될 사람까지 노출시킬 수 있다
공격자가 어느 날 데이터베이스를 한 번 내려받고 사라진 사건과 약 10개월 동안 서버를 장악한 사건은 전혀 다르게 봐야 한다. 이처럼 장기간 시스템에 접속했다면 공격자는 특정 시점의 인력 명단만 확보한 것이 아니라, 새로운 계정이 만들어지고 기존 계정이 삭제되는 과정과 함께 소속과 직책이 바뀌는 흐름까지 시간순으로 지켜봤을 가능성이 크다.
특히 해외파견 대상자는 공식 인사발령이 발표되기 전에 교육시스템에 계정을 만들거나 필요한 교육과정을 먼저 배정받는다. 공격자는 이 변화를 따라가면서 누가 새로운 공관에 부임할 준비를 하고 있는지, 어느 부처의 외교관과 주재관이 새로 해외파견 대상에 포함됐는지, 특정 지역을 담당할 인력이 언제부터 늘어나기 시작했는지를 정부 발표보다 먼저 파악할 수 있다.
장기 침입에서 중요한 것은 개별 교육과목의 내용만이 아니라 계정과 인사정보가 바뀌는 순서다. 계정이 만들어진 시점과 교육과정이 배정된 기록, 소속 변경과 접속지역의 변화를 연결해 보면 한 사람이 본부에서 출국 준비를 시작한 시점부터 어느 공관으로 이동했는지, 처음에는 임시 파견이었던 인사가 언제 정식 부임으로 바뀌었는지까지 추적할 수 있다. 한 번 내려받은 명단에서는 보이지 않는 인사 이동의 방향이 열 달 동안 쌓인 기록에서는 그대로 드러나는 것이다.
공격자가 새로운 파견 대상자를 출국 전에 알아내면 그 사람이 현지에 도착하기 전부터 가족관계와 개인 계정, 금융관계와 주변 인물을 조사할 시간이 생긴다. 이후 부임지에 도착하는 순간부터 이동경로와 현지 접촉자를 감시하고, 미국 측에서 그 사람을 상대하게 될 담당자를 먼저 찾아 접근하는 것도 가능해진다. 새로 부임한 외교관이 현지 환경에 적응하고 연락망을 만드는 초기 단계는 아직 접촉관계가 안정되지 않은 시기이기 때문에, 상대국 정보기관이 미행과 전자감시, 접근과 회유를 집중하기에 가장 취약한 시점이 된다.
이 과정에서 접속시간과 로그인 기록도 중요한 단서로 작용한다. 사용자의 IP 주소와 기기정보, 접속 국가와 시간대가 남아 있다면 누가 어느 공관과 도시에서 시스템을 이용했는지, 어느 계정이 본부와 해외에서 번갈아 접속했는지를 연결해서 볼 수 있다. 공식 인사발표나 출장기록에 나타나지 않은 임시 파견과 비공개 이동도 로그인 위치와 접속시간이 달라지는 과정에서 드러난다.
더욱이 장기간 축적된 접속기록은 평상시의 업무패턴을 보여주는 기준선이 된다. 북한의 미사일 발사나 군사적 충돌 직후 특정 담당자들의 로그인과 통신이 갑자기 늘어나고, 야간에 공관이나 관련 시설에서 접속이 집중되며, 평소 사용하지 않던 계정과 연락선이 활성화된다면 공격자는 그 변화를 통해 한미 양국이 무엇을 우려하고 어떤 대응수단을 검토하는지 추정하게 된다. 군사문서를 직접 확보하지 않더라도 사람의 움직임과 연락순서, 대응속도가 평시와 어떻게 달라졌는지를 비교하면 한미의 우선순위와 검토 중인 군사적 선택지까지 읽어낼 수 있기 때문이다.
따라서 피해자 명단은 사건이 발견된 시점에 시스템에 남아 있던 사람만을 기준으로 작성해서는 안 된다. 공격자가 서버를 장악한 10개월 동안 한 번이라도 등록됐던 사람은 물론, 그 기간 계정이 새로 만들어졌거나 직책과 근무지가 변경된 사람, 교육대상자로 배정됐다가 이후 명단에서 삭제된 사람까지 모두 조사범위에 포함해야 한다. 시스템에서 계정을 삭제했다고 해서 공격자가 이미 확보한 과거 기록까지 사라지는 것은 아니기 때문이다.
교육자료와 수강기록도 외교·정보 자산이다
국립외교원 시스템에는 개인정보뿐 아니라 온라인 교육 동영상과 교육 운영자료도 저장돼 있었다. 외교부 역시 해당 시스템에 교육 동영상과 함께 교육 대상자의 성명과 아이디 등 운영정보가 들어 있었다고 밝혔다. 문제는 외교관을 대상으로 하는 교육자료가 일반적인 대학 강의와는 성격이 다르다는 데 있다. 이 자료에는 한국 정부가 외교관들에게 어느 국가와 위협을 중점적으로 다루도록 하는지, 대북제재와 경제안보, 정상외교, 재외공관 운영과 위기대응 과정에서 어떤 절차를 따르도록 교육하는지가 반영돼 있기 때문이다.
따라서 교육과정의 제목과 수강대상만 확인해도 한국 정부가 각 지역에서 무엇을 우려하고 있는지가 드러난다. 특정 공관 직원들에게 중국의 경제적 강압이나 러시아와 북한의 군사협력에 관한 교육이 집중돼 있다면 그 지역에서 한국 정부가 경계하는 대상이 무엇인지 알 수 있으며, 반도체 수출통제와 방산계약 관련 교육은 해당 공관이 경제안보와 첨단기술 문제를 다루고 있다는 사실을 보여준다. 재외국민 대피나 테러·인질사건 대응교육이 배정된 경우에는 한국 정부가 어느 지역에서 비상상황에 대비하고 있는지도 파악할 수 있다.
교육내용뿐 아니라 누가 어떤 과정을 수강했는지도 중요한 정보가 된다. 정상외교와 의전, 군축, 대북제재, 경제안보와 첨단기술 관련 교육을 이수한 사람들을 분류하면 앞으로 이들이 어느 부서나 공관에 배치될지 추정할 근거가 생기며, 그 업무를 미국 측에서 담당하는 상대방이 누구인지 찾아내기도 쉬워진다. 결국 교육 이수기록은 단순히 과정을 마쳤다는 행정자료가 아니라, 해당 인물의 현재 업무와 향후 배치 방향을 보여주는 인사정보로 이용된다.
여기에 재외공관 보안과 기밀취급, 피싱 대응과 비상연락 절차에 관한 자료까지 포함돼 있었다면 위험은 더 커진다. 공격자는 한국 외교관들이 어떤 상황에서 어떤 방식으로 대응하도록 교육받았는지 확인한 뒤, 외교부가 직원들에게 어떤 유형의 이메일을 의심하라고 가르치는지, 상대방의 신원을 어떻게 확인하도록 하는지, 사고가 발생했을 때 어느 부서와 연락하도록 하는지를 파악한다. 그런 다음 기존 대응절차를 피하도록 이메일의 형식과 발신 경로를 바꾸고, 직원들이 정상적인 연락이라고 믿도록 새로운 공격방식을 설계한다.
이 때문에 이름과 이메일이 포함된 피해자 명단만으로는 이번 사건의 범위를 판단할 수 없다. 워싱턴은 한국 측에 피해자 명단만 요구할 것이 아니라, 공격자가 접근한 교육 동영상과 문서의 제목, 각 과정의 수강대상과 배정기록, 교육 이수현황과 시스템 공지내역까지 제출하도록 요구해야 한다. 누가 어떤 교육을 받았는지는 단순한 개인정보가 아니라 그 사람이 현재 맡고 있는 업무와 앞으로 배치될 가능성이 높은 부서와 공관을 보여주는 정보이기 때문이다.
장악된 교육시스템은 외교관들을 공격하는 내부 거점으로 사용될 수 있다
공격자가 10개월 동안 서버를 장악했다는 사실은 그 서버에 저장된 파일만의 문제가 아니다. 외교관과 공무원들이 정부가 운영하는 정상적인 사이트라고 믿고 접속하는 시스템 자체가 공격자에게 이용될 수 있었다는 뜻이기 때문이다.
공격자는 로그인 과정에서 입력되는 계정정보와 접속기기 정보를 수집할 수 있다. 또한 정상적인 교육 동영상이나 공지문, 내려받기 자료에 악성코드와 링크를 넣고, 교육 이수를 독촉하는 자동 이메일이나 비밀번호 변경 안내를 이용해 외교관을 가짜 로그인 페이지로 유도할 수도 있다. 외부에서 날아온 수상한 이메일이 아니라 국립외교원 시스템의 정상 공지처럼 보이기 때문에 성공 가능성은 훨씬 높아진다.
따라서 정부 본부와 해외공관 직원이 해당 시스템에 접속할 때 사용한 컴퓨터도 조사해야 한다. 감염된 파일이나 코드가 내려갔다면 공격은 국립외교원 서버에서 외교부 본부와 재외공관, 다른 정부 부처의 장비로 확장된다. 여기에 브라우저에 저장된 인증정보와 로그인 세션까지 탈취됐다면 공격자는 사용자가 접속하는 다른 정부 시스템을 따라갈 수 있다.
이와 함께 국립외교원 교육시스템이 외교부 이메일과 통합로그인, 인사시스템, 재외공관 행정망 등과 어떤 방식으로 연결돼 있었는지도 밝혀야 한다. 같은 계정이나 관리자 권한이 다른 서버에서도 사용됐는지, 비밀번호 재설정과 사용자 인증이 외교부의 중앙 인증체계를 거쳤는지에 따라 공격의 범위는 달라진다.
CISA는 국가 지원 공격자들이 장악한 계정과 장비, 기관 사이의 신뢰관계를 이용해 다른 네트워크로 이동한 뒤 새로운 계정을 만들고 장기간 접근권한을 유지한다고 경고해 왔다. 그렇기 때문에 하나의 시스템이 장악됐을 때는 그 시스템에 접속한 장비와 연결된 인증체계, 관리자 계정까지 피해범위에 포함해야 한다.
제로데이 취약점을 사용했다는 설명도 국립외교원 한 곳의 문제로 끝나서는 안 된다. 같은 제작사의 제품과 같은 버전이 외교부의 다른 시스템이나 국방부·정보기관·대통령실을 비롯한 정부기관에서 사용됐는지 확인해야 한다. 만일 동일한 취약점과 보안설정이 다른 기관에도 남아 있었다면 국립외교원은 한 개의 피해기관이 아니라 더 넓은 침입의 출발점이 된다.
기록의 진위를 잃으면 정부는 공격이 끝난 뒤에도 자기 명부를 믿지 못한다
국립외교원 시스템이 약 10개월 동안 외부의 통제를 받았다면 기밀성만이 아니라 기록의 정확성도 조사해야 한다. 누가 정보를 열람하고 가져갔는지에만 집중하다 보면, 공격자가 시스템 안의 정보를 변경하거나 새로운 계정을 만들고 기존 기록을 삭제했는지는 뒤로 밀릴 수 있기 때문이다.
관리자 권한을 확보한 공격자는 사용자의 이메일과 전화번호, 소속과 직책, 비밀번호 복구 주소를 바꿀 수 있다. 또한 퇴직자나 장기휴직자의 이름으로 새로운 계정을 만들거나 실제 직원의 계정에 외부 이메일을 복구수단으로 추가할 수도 있다. 해당 계정이 정상적인 인사명부와 연결돼 있다면 이후 보안점검에서도 정부 직원의 합법적인 계정으로 보일 수 있다.
이와 함께 실제로 존재하는 외교관의 이름 아래 두 번째 계정을 만들어 장기간 사용하거나, 계정이 삭제된 것처럼 표시하면서 인증 토큰과 접근권한을 남겨둘 수도 있다. 시스템 관리자가 화면에서 보는 사용자 명단과 실제 서버에서 작동하는 계정이 일치하지 않으면 외교부가 모든 비밀번호를 변경한 뒤에도 공격자가 사용할 통로는 그대로 남는다.
교육 이수기록을 조작하는 문제도 가볍지 않다. 재외공관 보안과 기밀취급, 사이버 대응교육을 받지 않은 사람이 이수한 것으로 표시되거나 특정 직원이 받아야 할 보안교육 대상에서 빠질 수 있다. 반대로 공격자는 관심 있는 사람에게 특정 교육과정을 배정한 뒤, 그 사람이 어떤 장비와 장소에서 접속하는지 관찰하고 가짜 자료를 내려받게 만들 수도 있다.
더 나아가 외교관과 주재관의 직책이나 근무지를 일부 변경하면, 이후 그 기록을 신뢰하는 다른 행정시스템과 담당자에게 잘못된 정보가 전달된다. 인사이동과 출장, 교육배정과 계정권한이 자동으로 연결돼 있다면 하나의 잘못된 기록이 다른 시스템의 접근권한과 문서배포 대상까지 바꿀 수 있다.
공격자가 서버 기록을 삭제하거나 일부 시간을 변경한 경우에는 어느 계정이 언제 접속했고 어떤 파일을 내려받았는지에 대한 조사결과도 왜곡된다. 그렇게 되면 공격자는 자신의 활동을 숨기는 동시에 무관한 직원의 계정이 자료를 가져간 것처럼 기록을 남겨 내부자를 의심하게 만들 수 있다.
이 때문에 CISA의 연방정부 사고대응 지침은 어떤 계정이 침해됐고 어느 수준의 권한이 사용됐는지뿐 아니라, 공격자가 만든 계정과 변경한 설정이 무엇인지도 별도로 확인하도록 요구한다. 사이버 공격자는 파일을 훔치는 데 그치지 않고 기록을 변경하거나 삭제하며, 복구에 필요한 자료까지 훼손해 자신의 활동을 감출 수 있기 때문이다.
따라서 워싱턴이 요구해야 할 것은 한국 외교부가 현재 보유한 사용자 명단의 사본만이 아니다. 현재 명단만으로는 기록의 진위를 확인할 수 없으므로 공격 이전의 백업자료와 인사기록, 소프트웨어 업체가 보유한 계정정보, 서버와 인증시스템의 원본 로그를 서로 대조해야 한다. 외교부 내부 기록뿐 아니라 클라우드·호스팅 업체와 네트워크 사업자, 해외공관 장비에 남은 기록도 함께 확인해야 하며, 공격 기간에 만들어진 계정과 변경된 복구주소, 새로 등록된 기기와 관리자 권한, 삭제됐다가 복원된 기록까지 모두 찾아야 한다.
또한 시스템을 폐쇄하거나 새 서버로 이전했다고 해서 문제가 끝나는 것은 아니다. 오염된 명단과 권한정보를 그대로 새 시스템에 옮기면 공격자가 만든 가짜 계정과 잘못된 기록도 함께 이전되기 때문이다. 따라서 피해복구는 서버를 교체하는 작업보다 먼저 어떤 기록을 신뢰할 수 있는지를 다시 확정하는 작업에서 시작해야 한다.
이 부분이 제대로 조사되지 않으면 한국 정부와 미국 기관은 앞으로도 실제 외교관과 정보요원, 공격자가 만들어 놓은 계정을 구분하지 못한 채 같은 연락망을 사용하게 된다. 공격자가 더 이상 서버에 들어오지 않더라도 그가 남겨 놓은 신원과 권한이 정부 내부에서 계속 작동하는 상황이 만들어지는 것이다.
미국 정부 직원은 한국 외교관의 이름으로 공격받을 수 있다
공격자는 미국 국무부 직원에게 주미 한국대사관의 실제 담당자 이름으로 “지난 회의의 후속자료”를 보내고, 연방의회 보좌관에게는 한국 정부의 비공개 브리핑 자료라고 속일 수 있다. 같은 방식으로 국방부 직원에게 새로운 보안 화상회의 주소를 보내거나, 싱크탱크 연구자에게 실제로 알고 지내는 외교관의 이름으로 원고 검토와 세미나 참석을 요청할 수도 있다.
북한 해킹조직은 실제 정부기관과 언론인, 연구자처럼 신뢰받는 인물을 사칭해 외교·안보 전문가에게 접근해 왔다. 미국과 한국 정부기관이 공동 발표한 경고문도 한 사람의 계정에서 확보한 정보를 이용해 더 중요한 표적을 겨냥하는 신뢰도 높은 스피어피싱 이메일을 제작한다고 설명했다. 실제 이름과 직책, 소속과 과거 대화내용이 많이 확보될수록 다음 이메일은 그만큼 더 정교해진다.
방산업체와 연방정부 계약업체 역시 이처럼 인적 신뢰를 이용하는 공격의 주요 표적이 된다. 공격자는 한국 방위사업청이나 국방부, 대사관의 실제 담당자를 사칭해 수출승인 문서와 기술협의 자료, 계약 일정과 담당자 연락처를 요구할 수 있으며, 한미 간 첨단기술 협의를 다루는 인사의 이름을 사용하면 기업의 법무·보안 담당자에게 정부 요청처럼 보이는 이메일을 보낼 수 있다.
이 과정에서 공격자가 처음부터 기밀자료를 요구할 필요는 없다. 실제 회의와 행사 내용을 언급하며 자연스럽게 대화를 시작한 뒤 개인 이메일이나 암호화 메신저로 연락을 옮기자고 할 수 있고, 이어 미국 정부 직원의 휴대전화번호와 개인 이메일을 확보하거나 다른 담당자를 소개해 달라고 요구하면서 내부 연락망을 알아낼 수 있다.
상대방이 한 번 답장을 보내는 것만으로도 현재 사용 중인 연락처와 담당 업무는 확인된다. 공격자는 그 답장에서 대화의 문체와 서명, 상대방이 평소 사용하는 호칭까지 확보한 뒤 다음 사람에게 더 정교한 메시지를 보내며, “지난 회의에서 만난 담당자를 연결해 달라”는 간단한 요청만으로도 새로운 표적의 이름과 연락처를 얻을 수 있다.
미국 정부의 공식 이메일이 뚫리지 않더라도 피해가 발생하는 이유도 여기에 있다. 외교관과 공무원들은 긴급한 일정 조정과 비공식 협의를 위해 문자메시지와 개인 휴대전화, 암호화 메신저를 사용하기 때문에 공격자는 보안이 강한 정부 시스템보다 상대적으로 방어가 약한 개인 계정과 연락처를 먼저 노릴 수 있다. 개인 이메일과 휴대전화에는 정부 시스템 밖에서 주고받은 업무 일정과 사적 연락망이 함께 남아 있어, 하나의 개인 계정만 확보해도 공식 연락망 바깥의 관계까지 따라갈 수 있다.
한국 외교관의 계정을 직접 장악하지 않고도 실제 이름과 직책을 복제한 가짜 계정을 만드는 것도 가능하다. 철자 하나를 바꾼 이메일 주소에 실제 행사에서 가져온 프로필 사진과 서명, 외교부와 대사관의 문서양식을 함께 사용하면 수신자가 차이를 알아차리기 어렵다. 여기에 공개된 세미나와 언론 인터뷰 영상이 충분한 인물이라면 인공지능을 이용해 짧은 음성메시지나 화상통화까지 만들 수 있다.
따라서 미국 정부는 한국 측 인사와 주고받는 민감한 연락에 대해 기존 연락수단과 분리된 확인절차를 마련해야 한다. 새로운 전화번호나 메신저 계정, 문서 요청과 개인정보 요구가 들어올 경우에는 이미 확인된 다른 통로를 통해 실제 담당자에게 다시 확인해야 한다.
백악관과 대통령실은 주변 인력을 통해 노출될 수 있다
한미 정상회담과 대통령 통화, 공동성명과 외교 일정은 대통령실과 백악관의 최고위 관계자들만 준비하는 것이 아니다. 외교부 본부와 주미대사관, 대통령실 외교·안보 참모를 비롯해 의전·통역·일정·수행·행정 인력이 수많은 실무 연락을 주고받으며 준비 과정에 참여한다.
따라서 공격자가 이 과정에 참여하는 실제 외교관의 이름과 직책, 이메일을 알고 있다면 대통령실 직원에게 접근할 충분한 명분을 갖게 된다. “백악관이 참석자 명단을 다시 요청했다”, “공동성명 문안의 최신 수정본이다”, “정상 면담 시간이 변경됐다”, “미국 측 경호팀이 여권정보를 요구한다”는 식의 메시지를 보내는 것이다.
이때 대통령실 직원이 첨부파일을 열지 않더라도 답장을 보내는 순간 실제 담당자가 누구인지, 어느 이메일과 전화번호를 쓰는지, 누가 문서 배포와 일정 승인을 담당하는지가 드러난다. 공격자는 이렇게 확인한 정보를 이용해 더 높은 직급의 참모에게 접근하거나 정상회담 직전에 가짜 일정과 자료를 전달할 수 있다.
이와 반대 방향의 공격도 가능하다. 한국 외교관과 대통령실 직원에게 백악관이나 미국 정부 고위 인사를 사칭한 연락을 보내 정상회담 준비자료와 통화 의제, 공동성명 문안, 배석자 명단과 협상 쟁점을 요구할 수 있다. 대통령과의 면담을 주선하겠다거나 미국 측 고위 당국자가 직접 요청한 사안이라고 설명하면 상대방을 서두르게 만들 수 있다.
실제로 FBI는 미국의 고위 정부 관계자와 백악관·내각 당국자, 연방의회 의원을 사칭한 메시지가 가족과 지인에게까지 확대됐다고 경고해 왔다. 공격자는 대통령이나 고위 당국자와의 면담을 주선하겠다고 접근한 뒤, 연락처 동기화에 필요하다며 인증번호를 요구하거나 여권정보와 다른 관계자의 소개를 요구했다.
이 때문에 최고 보안등급을 가진 참모만 보호해서는 충분하지 않다. 일정 담당자와 통역관, 의전관, 수행비서, 행정직원은 정책 결정을 내리지는 않지만 대통령이 언제 어디서 누구를 만나는지는 알고 있다. 따라서 이들의 연락처와 일정표가 확보되면 비공개 회의의 장소와 참석자, 이동 시간과 경호 준비 상황까지 추적할 수 있다.
더 나아가 정상외교 주변 인력의 개인 계정이 뚫리면 공격자는 회의 문서 자체보다 먼저 누가 초안을 작성하고, 누가 검토하며, 누가 최종 승인을 내리는지를 알게 된다. 이 정보는 실제 문서를 훔치는 것 못지않게 중요하다. 협상안을 수정하거나 새로운 요구를 전달해야 할 때 누구를 속여야 하는지가 보이기 때문이다.
군사위기 때 가짜 지시와 외교 메시지를 유통시킬 수 있다
외교관과 고위 공무원의 실제 이름, 직책과 이메일 형식을 확보하면 공격자는 정보를 훔치는 데서 그치지 않고 가짜 정책지시와 외교 메시지를 유통시킬 수 있다.
특히 북한의 미사일 발사나 군사적 충돌, 대만해협 위기처럼 양국 정부가 짧은 시간 안에 입장을 맞춰야 하는 순간이 가장 위험하다. 공격자는 미국 관계자에게 서울이 특정 군사조치에 반대한다는 문서를 보내는 한편, 한국 측에는 워싱턴이 이미 결정을 내렸다는 메시지를 전달할 수 있다.
이런 공격은 대통령실이나 백악관의 전산망에 직접 들어가지 않아도 효과를 낸다. 군사위기에서는 실무자들이 평소 알고 있는 사람의 이름으로 도착한 메시지에 즉시 대응하기 때문이다. 이때 양측에 서로 다른 지시와 정부 입장이 전달되면 실제 협의가 지연되고, 상대방이 정보를 숨기거나 약속을 바꿨다는 불신까지 생길 수 있다.
같은 방식으로 한미 연합훈련과 미사일 대응, 주한미군과 한국군의 경계태세에 관한 가짜 지시가 실제 담당자의 이름으로 전달되면 작전상 혼선이 발생한다. 군의 공식 지휘체계가 별도로 존재하더라도 외교·정책 당국의 설명과 언론대응, 동맹국 통보 과정에서는 혼란이 이어질 수 있다.
또한 공격자는 실제 문서와 조작된 내용을 섞어 유통시킬 수 있다. 정상적인 이메일에서 가져온 서명과 문서양식, 과거 협의에서 사용된 문구에 한두 개의 핵심 문장만 바꾸면 전체 문서는 진짜처럼 보이기 때문이다. 정부가 이를 부인하더라도 문서 대부분이 실제 자료와 일치한다면 언론과 동맹국, 금융시장은 어느 부분이 조작됐는지 즉시 판단하기 어렵다.
따라서 대북제재 완화나 연합훈련 중단, 미군 배치와 수출규제에 관한 가짜 문서가 실제 외교관의 이름으로 언론이나 시장에 유통되면 정부가 해명하기 전까지 외교적 혼란과 시장 변동을 일으킬 수 있다.
이 때문에 미국과 한국은 2025년 봄 이후 양국 정부 관계자의 이름으로 전달된 비공식 지시와 정책문서 가운데 비정상적인 사례를 다시 찾아야 한다. 정부기관뿐 아니라 주요 언론사와 방산업체에 전달된 한국 정부 명의의 메시지도 같은 공격 흐름의 일부로 조사해야 한다.
진짜 명단에 가짜 기록을 섞으면 동맹 내부에 가짜 방첩 사건을 만들 수 있다
유출된 자료는 정보를 훔치거나 사람을 사칭하는 데만 사용되지 않는다. 실제 외교관과 정보요원의 이름, 직책과 근무지가 확보되면 공격자는 진짜 자료에 조작된 기록을 섞어 특정 인물이 적대국과 내통하거나 동맹국의 정보를 유출한 것처럼 꾸밀 수 있다.
그 과정에서 실제 명단에 존재하는 외교관의 이름으로 가짜 이메일과 메신저 대화를 만들고, 여기에 조작된 여행·송금·회의 기록을 붙일 수 있다. 해당 인물이 실제로 근무했던 도시와 담당 업무, 미국 측 접촉자의 이름까지 포함되면 문서 전체는 상당한 신뢰성을 갖게 된다. 특히 공개되지 않은 정보가 일부 들어 있을 경우 언론과 정치권, 내부 조사기관은 나머지 내용까지 사실로 받아들일 수 있다.
공격자는 이 같은 방식으로 한미동맹의 민감한 업무를 담당하는 특정 외교관이나 정보요원을 골라 미국에 허가받지 않은 자료를 넘겼다는 의혹을 만들 수 있다. 반대로 미국 정보기관과 지나치게 가까운 관계를 맺고 한국 정부의 정보를 제공했다는 자료를 한국 언론과 정치권에 흘릴 수도 있다. 조작된 기록이 완전히 반박되기 전까지 해당 인물은 업무에서 배제되고 보안인가와 정보 접근권한을 잃게 되며, 그동안 관리해 온 미국 측 연락망도 끊길 수 있다.
이런 방식은 친미 성향이거나 한미동맹 업무를 담당하는 한국 관료들을 집중적으로 제거하는 데 이용될 수 있다. 확장억제와 연합훈련, 대북제재, 중국의 기술 탈취와 경제적 압박 문제를 강하게 제기해 온 사람에게 부패와 정보유출, 부적절한 해외 접촉 의혹을 씌우면 한국 정부 내부에서 그 사람의 영향력을 약화시킬 수 있기 때문이다.
미국 측 인사도 같은 방식으로 공격받을 수 있다. 한국 외교관과 나눈 실제 회의 일정에 조작된 문장을 추가하고, 미국 관리가 한국 측에 비공개 정책을 약속하거나 국내 정치에 개입한 것처럼 꾸밀 수 있다. 미국 정부가 문서의 일부를 부인하더라도 실제 이름과 날짜, 회의 장소와 참석자가 일치하면 양국 언론과 정치권에서는 논란이 장기간 이어질 수 있다.
더 위험한 방식은 서울과 워싱턴에 서로 다른 조작자료를 전달하는 것이다. 서울에는 미국 관리가 한국 정부를 신뢰하지 않는다는 대화를 흘리고, 워싱턴에는 한국 외교관이 미국이 제공한 자료를 다른 국가에 전달했다는 기록을 보낼 수 있다. 이렇게 양측이 상대방이 자신에게 자료를 숨기고 있다고 의심하기 시작하면, 공격자는 실제 기밀을 추가로 훔치지 않고도 정보공유의 범위를 좁히고 동맹 내부의 의심을 키울 수 있다.
이러한 방식은 외국 정보기관이 허위 인물과 조작된 사진·영상, 거짓 정보를 이용해 정치적 갈등을 확대하고 정부와 제도에 대한 신뢰를 무너뜨리는 작전과도 맞닿아 있다. FBI를 비롯한 미국 정보기관도 실제 인물의 영상과 음성을 변형한 자료, 가짜 온라인 인물과 조작된 메시지가 외국의 영향력 작전에 사용된다고 경고해 왔다.
따라서 워싱턴은 유출된 정보가 이용된 피싱 공격만 조사해서는 안 된다. 2025년 봄 이후 한국 외교관과 정보요원의 이름으로 언론과 정치권, 정부 조사기관에 전달된 폭로자료와 내부문서, 익명의 이메일과 메신저 화면도 다시 살펴봐야 한다. 이때 실제 유출자료와 조작된 내용이 섞여 있을 가능성을 염두에 두고 문서의 생성 시점과 메타데이터, 전송경로를 확인해야 한다. 문서 일부가 진짜라는 사실만으로 전체 자료의 진위가 보장되는 것은 아니기 때문이다.
이 문제를 놓치면 공격자는 한국 외교·정보 인력을 공격하는 데서 그치지 않고, 미국이 신뢰하는 한국 측 인물을 골라 제거한 뒤 그 자리를 더 취약하거나 미국과의 협력을 꺼리는 사람으로 바꾸는 결과까지 만들어낼 수 있다.
정보요원과 가족의 신체적 안전도 위협받을 수 있다
정보기관 요원의 이름과 직책, 해외 근무지가 노출되면 위험은 계정 보안에만 머물지 않는다. 공격자는 소셜미디어와 공개된 부동산 기록, 학교 행사, 배우자의 직장, 지역사회 활동과 가족사진을 결합해 가족 구성과 생활반경까지 추적할 수 있다.
이처럼 공관이 있는 도시와 자녀가 다니는 학교, 배우자의 출퇴근 장소, 자주 방문하는 식당과 종교시설을 파악하는 데 주민등록번호나 휴대전화번호가 반드시 필요한 것은 아니다. 이름과 직책, 근무지만 있어도 공개정보와 상업적으로 거래되는 개인정보를 결합해 상당한 수준의 프로필을 만들 수 있기 때문이다.
이렇게 확보한 정보를 바탕으로 공격자는 해외 근무자의 배우자에게 대사관 직원이나 학교·병원·항공사를 사칭한 연락을 보낼 수 있다. 자녀의 이름과 학교를 언급하며 긴급 상황이 발생했다고 속이거나 여권 사본과 여행 일정을 요구하는 방식이다. 가족 계정까지 침해하면 사진과 연락처, 생활패턴을 확보해 정보요원 본인에게 접근하거나 동료와 미국 측 접촉자를 찾아낼 수 있다.
특히 권위주의 국가나 적대적 정보기관이 활발히 활동하는 지역에서는 온라인 공격이 미행과 감시, 협박과 회유로 이어질 수 있다. 정보요원의 가족이 언제 집을 비우는지, 자녀가 어떤 길로 통학하는지, 배우자가 누구를 만나는지를 관찰한 뒤 그 정보를 이용해 요원 본인에게 압박을 가하는 것이다.
정보기관 요원을 직접 회유하기 어려운 경우에는 가족의 취약점이 이용될 수 있다. 가족의 채무와 사업, 취업문제, 자녀의 학교생활, 혼외관계와 개인적 갈등을 수집해 협박자료로 사용하고, 상대국에서 법 위반으로 해석될 수 있는 사소한 행동을 포착한 뒤 체포와 추방, 가족에 대한 불이익을 위협하며 협조를 요구할 수도 있다.
위험은 여기서 끝나지 않는다. 적대국의 영토나 영향권 안에서는 정보요원이나 현지 협력자를 구금하거나 납치해 강압적인 심문을 가할 수도 있다. 신체적 폭력과 장기구금, 가족에 대한 위해를 위협하면서 다른 정보원의 이름과 회의장소, 연락방식, 미국 측 접촉자를 요구하는 방식이다. 이 과정에서 한 사람이 무너지면 그가 알고 있는 다른 요원과 정보원, 연락책과 안전한 회의장소, 비상연락 방식과 자료 전달경로까지 연쇄적으로 노출돼 해당 지역의 작전망 전체가 무너질 수 있다.
미국 측 접촉자의 가족도 같은 위험에 들어간다. 공격자가 한국 정보요원과 외교관의 미국 내 접촉자를 찾아내면 배우자와 개인 지인을 새로운 사칭 경로로 사용할 수 있기 때문이다. 고위 공직자의 가족이나 지인에게 접근해 전화번호와 이메일, 다른 정부 관계자의 소개를 요구하고, 대통령이나 고위 당국자와의 면담을 미끼로 인증번호와 개인정보를 빼낼 수 있다.
따라서 이번 사건의 피해평가는 계정 비밀번호를 변경하는 선에서 끝낼 수 없다. 정보요원과 고위 외교관, 이들과 접촉해 온 미국 측 관계자에 대해서는 가족의 소셜미디어와 개인 이메일, 수상한 전화와 메시지, 미행과 오프라인 접촉까지 함께 확인해야 한다. 위험도가 높은 지역의 근무자는 연락수단과 이동 경로, 주거지와 임무도 조정해야 한다.
암호화된 비밀번호도 다른 계정으로 들어가는 열쇠가 될 수 있다
비밀번호가 암호화된 형태로 저장돼 있었다고 해서 공격자가 이를 이용할 수 없는 것은 아니다. 비밀번호 파일을 확보하면 로그인 화면의 횟수 제한을 받지 않은 채 별도의 장비에서 수많은 조합을 반복적으로 대입할 수 있기 때문이다. 여기에 다른 해킹 사건에서 이미 유출된 비밀번호를 적용하거나 사람들이 흔히 사용하는 단어와 숫자 조합을 자동으로 시험하면 원래 비밀번호를 찾아낼 수도 있다.
이렇게 확보한 비밀번호는 다른 계정으로 공격을 넓히는 데 이용된다. 외교관이 국립외교원 교육계정과 개인 이메일, 항공사와 호텔, 클라우드 저장공간, 전문경력 사이트와 메신저에서 같은 비밀번호나 비슷한 조합을 사용했다면 한 시스템의 유출이 여러 계정으로 번질 수 있다. 특히 개인 이메일에는 출장 일정과 가족 연락처, 여권 사본, 비공개 회의 초청장과 과거 대화가 남아 있을 수 있다.
비밀번호를 교체했다고 해서 계정 접근이 완전히 차단되는 것도 아니다. 공격자가 로그인 세션과 인증 토큰, 자동전달 규칙, 등록 기기와 외부 애플리케이션 권한을 확보했다면 비밀번호 변경 뒤에도 접근이 이어질 수 있다. 이메일 자동전달이 설정돼 있으면 사용자가 비밀번호를 바꾼 뒤에도 새로 들어오는 메일을 외부에서 받아볼 수 있고, 연락처와 일정표를 이미 내려받았다면 계정에서 쫓겨난 뒤에도 후속 공격을 계속할 수 있다.
또한 공격자는 실제 이름과 직책, 근무지와 교육과정 정보를 이용해 외교부와 공관의 전산 지원부서에 연락할 수 있다. 휴대전화를 잃어버렸다거나 해외에서 다중인증 장치가 작동하지 않는다고 설명하면서 비밀번호 재설정과 새로운 인증기기 등록을 요구하는 방식이다. 직원번호와 부서, 상급자의 이름까지 알고 있다면 전산 담당자가 이를 정상적인 요청으로 받아들일 가능성은 더 높아진다.
한국 외교관의 개인 이메일에서 미국 정부 직원과 나눈 과거 대화를 읽으면 실제 문체와 인사말, 회의 주제와 내부 관계도 그대로 복제할 수 있다. 이후 기존 대화에 답장하는 형태로 악성파일이나 링크를 보내면 수신자에게는 새로운 발신자가 아니라 이미 진행 중이던 업무의 연장으로 보인다. 이 때문에 미국 CISA는 국가 지원 공격자가 이메일을 탈취한 사건에서 관련 기관들에 유출된 이메일의 내용 자체를 분석하고, 침해된 자격증명을 재설정하며, 특권계정에 추가 보안조치를 취하도록 요구했다. 단순히 비밀번호만 변경할 것이 아니라 공격자가 이미 읽은 내용과 그 정보를 이용해 접근할 수 있는 다음 표적까지 조사해야 한다는 의미다.
유출된 명단은 외국 정보기관의 표적 선발표가 될 수 있다
외교관과 정보요원의 이름, 직책과 근무지가 한꺼번에 노출됐을 때 외국 정보기관이 찾는 대상은 반드시 가장 높은 직급의 사람만은 아니다. 오히려 어느 사람이 접근하기 쉽고, 누구를 통해 다른 사람의 연락처와 일정, 내부 사정을 얻을 수 있는지를 먼저 분류한다.
이를 위해 유출된 명단을 소셜미디어와 전문경력 사이트, 기업·부동산·소송 기록, 과거 개인정보 유출자료와 가족의 공개 게시물에 결합하면 각 인물의 경력과 재정상태, 가족관계, 해외 연고, 취미와 인간관계를 상당 부분 정리할 수 있다. 그 과정에서 승진에서 반복적으로 탈락한 사람이나 퇴직을 앞둔 사람, 경제적 부담을 안고 있는 사람, 배우자나 자녀가 해외에 거주하는 사람, 현직을 떠난 뒤 취업을 준비하는 사람을 따로 골라낼 수 있다.
그러나 외국 정보기관은 처음부터 기밀정보를 요구하지 않는다. 해외 대학이나 연구기관, 컨설팅회사와 채용업체, 국제회의 주최기관을 사칭해 자문과 강연, 연구용역과 취업을 제안할 수 있으며, 처음에는 공개자료를 바탕으로 짧은 보고서를 요청하고 정상적인 보수를 지급한다. 이후 관계가 이어지면 한국 정부 내부의 분위기와 담당자의 이름, 특정 정책을 실제로 결정하는 사람이 누구인지 묻기 시작하고, 현직 동료를 소개해 달라거나 비공개 회의에서 나온 설명과 미국 측 관계자의 입장까지 요구할 수 있다.
미국 국가방첩안보센터와 FBI도 외국 정보기관이 가짜 컨설팅회사와 채용업체, 연구기관을 내세워 전·현직 정부 직원과 군 관계자, 보안인가 보유자를 대규모로 찾아내고 있다고 경고한다. 이들은 처음부터 정보기관의 신분을 드러내지 않고 전문적인 업무 제안과 금전적 보상, 장기간의 관계 형성을 이용해 표적의 경계심을 낮추며, 개인의 공개된 경력과 연락처가 많을수록 접근은 더 정교해진다.
이러한 접근은 정보요원 본인보다 배우자와 행정직원, 수행인력, 전산 담당자에게 먼저 시작될 수도 있다. 이들은 기밀정보에 직접 접근하지 않더라도 요원이 언제 출장을 가는지, 누구와 회의하는지, 어느 전화번호와 이메일을 사용하는지 알고 있기 때문이다. 외국 정보기관은 핵심 인물에게 곧바로 접근하기보다 주변 사람을 통해 성격과 습관, 불만과 취약점을 파악한 뒤 적절한 시점에 본인에게 접근할 수 있다.
결국 유출된 명단은 이런 작업을 무작위 탐색에서 체계적인 선별 작업으로 바꿔놓는다. 외국 정보기관은 수천 명 가운데 누가 미국의 민감한 정보에 가장 가까이 있는지, 누가 가장 쉽게 접근할 수 있는지, 누구의 가족이나 지인을 먼저 공략해야 하는지를 우선순위별로 정리할 수 있다.
따라서 워싱턴은 피해자들의 계정에 이상 접속이 있었는지만 확인해서는 부족하다. 유출 대상자와 가족이 2025년 봄 이후 받은 해외 취업 제안과 자문·강연 요청, 연구비와 여행경비 제공, 전문경력 사이트를 통한 낯선 연락까지 다시 조사해야 한다. 미국 측 접촉자에게도 같은 기간 한국이나 제3국의 연구기관·기업을 내세운 비정상적인 자문 요청이 있었는지 확인해야 하며, 이러한 접촉이 장기적인 표적 선발과 포섭 과정의 일부였는지도 살펴봐야 한다.
이 사건으로 만들어질 수 있는 가장 위험한 결과 가운데 하나는 외부 해커가 서버에서 문서를 훔치는 데 그치지 않고, 유출된 자료가 몇 년 뒤 한국 정부와 미국 기관 내부에서 정보를 제공할 사람을 골라내고 장기간 육성하는 데 이용되는 것이다. 미국 국가방첩안보센터가 개인정보 유출의 위험을 설명하면서 협박과 강요, 정보원 포섭에 이용될 수 있는 개인적 약점을 경계하라고 요구하는 이유도 여기에 있다.
퇴직 외교관과 전직 정보요원은 더 쉬운 장기 표적이 된다
국립외교원 시스템에는 현직뿐 아니라 전직 외교부 관계자의 정보도 포함된 것으로 보도됐다. 퇴직자는 더 이상 정부 보안조직의 일상적인 보호와 교육을 받지 않지만, 과거에 다룬 정보와 당시 형성한 인맥은 그대로 가지고 있다.
전직 외교관과 정보요원은 퇴직 후 대학과 싱크탱크, 기업 자문과 언론 활동으로 이동하면서도 현직 공무원과 계속 연락하고, 미국 정부와 의회, 방산업체와 연구기관에 과거 인맥을 유지한다. 따라서 현직에서 물러났다는 이유로 정보가치가 사라지는 것이 아니라, 오히려 정부 보안망 밖에서 접촉할 수 있는 통로가 더 많아진다.
이와 함께 전직자는 현직자보다 개인 이메일과 휴대전화를 더 많이 사용하고, 정부기관의 보안경고와 침해사고 대응체계에서도 멀리 떨어져 있다. 오래된 이메일 주소와 연락처가 그대로 남아 있다면 공격자는 과거 직책과 인맥을 근거로 접근한 뒤, 이를 현직 고위 당국자에게 연결되는 신뢰도 높은 통로로 사용할 수 있다.
미국 국가방첩안보센터와 FBI가 경고해 온 가짜 취업과 자문 제안은 퇴직자에게 특히 효과적이다. 그러나 이 부분에서 더 중요한 것은 포섭 방식 자체보다 보호 공백이다. 현직자는 기관 보안팀에 의심스러운 연락을 신고할 수 있지만, 퇴직자는 어느 기관에 알려야 하는지조차 분명하지 않은 경우가 많기 때문이다.
따라서 퇴직자의 이메일과 전화번호가 오래됐다는 이유로 피해평가에서 제외해서는 안 된다. 어떤 전직 외교관과 정보요원이 미국 정부와 의회, 싱크탱크에 계속 접촉하고 있는지, 최근 해외기관의 자문이나 취업 제안을 받았는지를 별도로 확인해야 하며, 의심스러운 접근을 지속적으로 신고할 수 있는 장기 신고창구도 제공해야 한다.
미국과 연결된 제3국의 인적 네트워크까지 따라갈 수 있다
한국 외교관들은 미국 관계자만 만나는 것이 아니다. 한미 협의를 담당하는 외교관은 일본과 유럽의 동맹국, 유엔과 나토, 대만과 동남아시아 정부, 현지 군과 정보기관, 국제기구와 민간업체의 담당자들과도 실무 연락을 주고받는다. 한국은 브뤼셀에 주나토대표부를 두고 나토 본부와 정치·군사 협의를 진행하고 있으며, 워싱턴의 한국 외교관이 미국 측과 협의한 내용을 브뤼셀과 도쿄의 담당자에게 전달하는 경우도 있다. 따라서 한 사람의 계정을 통해 서울과 워싱턴뿐 아니라 여러 동맹국의 연락망이 함께 연결될 수 있다.
이러한 구조에서 공격자는 한국 외교관의 이름으로 일본이나 유럽의 담당자에게 한미 협의내용을 전달한다며 접근할 수 있다. 반대로 미국 당국자를 사칭해 한국 외교관에게 나토나 유엔, 제3국 정부와 주고받은 자료를 요구할 수도 있다. 다자 협의가 열리기 전에는 참석자와 실무 연락선, 의제별 담당자와 회의자료가 공유되고, 회의가 끝난 뒤에는 합의사항과 후속조치를 정리한 문서가 다시 배포된다. 공격자가 이 과정에 끼어들면 문서 전체를 훔치지 않더라도 누가 자료를 작성하고, 어느 기관이 사실관계를 확인하며, 누가 다음 조치를 집행하는지 파악할 수 있다.
북한의 미사일 활동과 제재 회피, 러시아와 북한의 군사협력, 중국의 기술 탈취 문제 역시 한국과 미국 두 나라만 다루는 사안이 아니다. 일본과 호주, 유럽연합과 나토, 국제 금융기관과 민간기업이 각자 확보한 자료를 나누며 움직이기 때문이다. 따라서 관련 한국 담당자의 신원이 노출되면 공격자는 이 다국적 연결망에서 보안이 가장 약한 개인이나 기관을 골라 먼저 접근할 수 있다.
유엔 대북제재 조사와 집행에서도 한국 외교관은 유엔 안보리 1718위원회와 회원국 정부, 해외 금융기관과 해운·보험업계 관계자 사이에서 자료를 주고받는다. 이 과정에서는 제재 회피에 이용된 기업과 선박, 금융거래에 관한 자료가 공유되고, 어느 기관이 추가 확인을 맡을지도 정해진다. 이 때문에 한국 측 담당자의 연락망이 드러나면 공격자는 어느 사안을 조사하고 있는지뿐 아니라 누가 원자료를 제공했고, 어느 해외 기관과 민간 관계자가 한국과 협조하고 있는지도 추적할 수 있다.
특히 1718위원회나 회원국 정부에 자료를 제공한 사람들은 공식 발표에 이름이 나오지 않는다. 해외 은행의 준법감시 담당자나 해운·보험업계 직원은 정부의 정식 정보요원이 아니지만, 제재 회피 거래를 확인하는 데 필요한 자료를 제공할 수 있다. 따라서 이들의 신원이 드러나면 북한과 연계된 조직이 압력을 가하거나, 한국 정부나 유엔의 추가 요청처럼 꾸민 메시지를 보내 더 많은 자료를 빼낼 수 있다.
이러한 실무 연락망에는 공식 회의에 참석한 고위 관계자만 들어가는 것이 아니다. 회의자료를 작성한 담당관과 법률 검토자, 통역과 기록 담당자, 사실관계를 확인한 분석관과 민간 전문가도 이메일 배포선과 후속조치 명단에 남는다. 공격자가 수신자와 참조자 명단을 확보하면 최종 결정권자보다 먼저 누가 자료를 만들고, 누가 내용을 검증하며, 어느 기관이 실제 조치를 집행하는지 알 수 있다.
따라서 워싱턴은 피해자 명단을 미국 기관의 직접 접촉기록과만 대조해서는 부족하다. 한미일 안보협의와 주나토대표부를 통한 협력, 유엔 안보리 1718위원회 관련 업무, 다국적 방산·수출통제 회의의 참석자뿐 아니라 회의자료의 배포선과 후속조치 담당자까지 확인해야 한다. 미국과 직접 접촉한 한국인만이 아니라, 그 한국인을 통해 미국과 연결된 제3국 외교관과 군 관계자, 국제기구 직원과 민간 협력자도 보호범위에 들어간다.
미국이 한국에 전달한 정보의 수신 경로도 점검해야 한다
국립외교원 교육시스템 안에 어떤 문서가 있었는지만 조사해서는 미국의 피해를 판단할 수 없다. 공격자가 한국 측 담당자의 신원과 계정정보를 확보한 뒤 다른 시스템과 사람을 공격했다면 피해는 교육시스템 밖에서 발생하기 때문이다.
미국이 한국 측에 전달한 정보의 최초 수신자와 내부 전달자를 알아낸 뒤 그 사람을 사칭하거나 계정을 공격하면 미국 자료에 접근할 수 있다. 문서를 직접 확보하지 못하더라도 미국 자료가 한국의 어느 기관에 먼저 들어가고, 어떤 실무자를 거쳐 최종 결정권자에게 전달되는지 파악하면 한미 협의의 내부 흐름을 읽을 수 있다.
이 과정에서 공격자는 문서의 내용뿐 아니라 전달 순서와 시간도 분석할 수 있다. 긴급한 군사정보가 어느 부처에 먼저 도착하고, 누가 이를 대통령실이나 국방부·정보기관으로 넘기는지 알게 되면 가장 취약한 중간 지점을 집중적으로 공격할 수 있다. 경우에 따라서는 최종 수신자의 계정보다 자료를 재배포하는 실무자의 계정이 더 쉬운 표적이 된다.
한미 간 정책 이견도 같은 방식으로 공격의 대상이 된다. 어느 한국 관료가 미국의 요구에 반대하는지, 누가 타협을 추진하는지, 어느 기관이 협상 문안을 작성하는지를 찾아낸 뒤 협상 직전에 한쪽 당사자를 사칭해 가짜 수정안을 보내거나 내부 입장처럼 보이는 문서를 흘려 양국 사이에 불신을 만들 수 있다.
특히 공격자는 완전히 새로운 거짓말을 만드는 대신 실제로 존재하는 이견을 확대하는 방식으로 움직일 수 있다. 한국 정부 내부의 한 부처가 반대한 문장을 미국 정부 전체의 최종 입장인 것처럼 다른 부처에 전달하거나, 미국의 실무 검토안을 백악관의 결정으로 포장해 서울에 보내는 것이다. 어느 쪽도 처음부터 완전한 거짓말이라고 판단하기 어렵기 때문에 내부 확인에 시간이 걸린다.
이런 위험을 느낀 미국 정부는 정보공유를 공개적으로 중단하지 않더라도 민감한 자료의 수신자를 줄이고 전달 시점을 늦추며, 기존 이메일 대신 별도의 통로를 사용할 수 있다. 또한 특정 한국 담당자의 접근권한을 제한하고 필요한 정보만 제공하는 방식으로 대응할 수도 있다. 그 결과는 공동성명보다 한미 협의의 속도와 깊이에서 먼저 나타난다.
인사정보 유출의 장기적 가치를 미국은 이미 경험했다
워싱턴은 정부 인사자료가 외국 정보기관에 어떤 가치를 갖는지 이미 경험했다. 2015년 미국 연방 공무원의 인사와 보안인가 심사자료를 관리하는 연방인사관리처(Office of Personnel Management·OPM)가 해킹당하면서 2,200만 명이 넘는 연방 공무원과 계약업체 직원의 민감한 정보가 노출됐고, 그 안에는 국가안보 직위 지원자들의 배경조사와 보안인가 심사자료도 포함돼 있었다. 미국 정부가 이후 인사검증 시스템의 보안과 관리조직을 대대적으로 개편한 것도 이 사건이 단순한 개인정보 유출이 아니었기 때문이다.
OPM 사건에서 중요한 것은 유출된 인원수만이 아니었다. 외국 정보기관은 정부 직원의 경력과 가족, 재정상태, 해외 접촉과 개인적 약점을 장기간 분석할 수 있는 자료를 확보했고, 이를 통해 어떤 사람이 정보기관이나 국방부에서 일했는지, 어느 분야의 보안인가를 받았는지, 누구와 가족관계에 있는지를 하나의 인물자료로 만들 수 있었다.
국립외교원 사건은 OPM 사건보다 인원 규모는 작지만 대상이 한국의 외교·안보 인력에 집중돼 있으며, 이들 가운데 상당수는 미국 정부와 군, 정보기관, 의회와 직접 접촉한다. 따라서 미국이 자국의 연방 공무원과 보안인가 자료 유출을 장기적인 방첩위험으로 취급했다면, 동맹국의 외교관과 정보요원 명단을 단순한 외국 정부의 개인정보 사고로 취급할 수 없다.
이 때문에 이번 피해자 명단은 미국의 보안인가 보유자 명단과 정부 접촉기록에 대조해야 한다. 한국 외교관과 정보요원을 만났던 미국인 가운데 누가 기밀정보와 민감한 정책자료에 접근할 수 있었는지 확인하고, 개인별 위험도에 따라 계정과 사용 장비, 최근 접촉과 해외출장 기록까지 조사해야 한다. 한국 측 인사정보의 유출이 미국 측 보안인가 보유자와 연결되는 순간 이 사건은 한국 정부 내부의 피해를 넘어 미국의 방첩 문제로 확대된다.
한 번 빠져나간 명단은 최초 공격자의 손에서 끝나지 않는다
서버를 복구하고 비밀번호를 교체하면 공격자의 현재 접속은 끊을 수 있다. 그러나 이미 복사된 인력 명단과 경력, 근무지와 연락처는 회수할 수 없다. 디지털 자료는 원본을 보유한 채 그대로 복제할 수 있기 때문에, 처음 자료를 가져간 조직이 다른 정보기관이나 협력조직, 해커와 범죄집단에 넘기더라도 최초 공격자의 손에는 같은 자료가 그대로 남는다.
미국은 국가 정보기관과 범죄 해커가 같은 유출자료를 서로 다른 목적으로 사용하는 사례도 이미 확인했다. 미국 법무부는 2017년 야후 해킹 사건과 관련해 러시아 연방보안국(FSB) 요원 2명과 이들에게 협력한 범죄 해커 2명을 기소했다. 이들은 2014년부터 야후 네트워크에 침입해 최소 5억 개 계정의 정보를 훔쳤으며, 러시아와 미국 정부 관계자, 언론인과 기업인의 이메일은 정보수집에 이용됐다. 동시에 같은 접근권한은 금융정보 절취와 스팸 발송 같은 개인적 범죄에도 사용됐다. 하나의 데이터가 국가 정보활동과 범죄자의 금전 목적에 동시에 이용된 실제 사례다.
국립외교원에서 빠져나간 같은 명단도 사용하는 조직에 따라 목적이 달라진다. 외국 정보기관은 외교관과 정보요원의 접촉망과 임무를 추적하고, 사이버 조직은 정부기관과 방산업체를 공격할 표적을 찾을 수 있다. 범죄조직은 가족과 개인계정을 상대로 사기와 금전갈취를 시도하며, 정치공작 조직은 실제 이름과 경력을 이용해 조작자료와 가짜 계정을 만들 수 있다. 최초 공격자가 직접 이 모든 작업을 수행할 필요도 없이, 필요한 부분만 다른 조직에 넘기면 된다.
이런 거래는 가정이 아니다. 미국 법무부가 2023년 폐쇄한 제네시스 마켓(Genesis Market)은 전 세계 150만 대가 넘는 감염된 컴퓨터에서 훔친 8천만 개 이상의 계정정보를 판매했다. 그 안에는 백악관과 국무부, 국방부를 비롯한 미국 정부기관 관련 계정도 포함돼 있었다. 구매자는 지역과 계정 종류를 기준으로 원하는 표적만 골라 살 수 있었고, 브라우저 쿠키와 기기정보까지 넘겨받아 피해자의 정상적인 접속처럼 위장할 수 있었다. 이는 공격자가 전체 명단을 넘기지 않고 특정 국가나 업무 분야의 인원만 추려 별도로 제공할 수 있다는 뜻이다.
국립외교원 자료도 미국 근무 경험이나 특정 지역·업무를 기준으로 다시 분류될 수 있다. 미국 정부와 정보기관에 가까운 사람들의 명단은 외국 정보기관으로, 개인 연락처가 포함된 자료는 피싱이나 사기에 특화된 조직으로 이동할 수 있다. 그 결과 피해자들은 서로 다른 조직이 같은 원자료를 사용하고 있다는 사실을 모른 채 여러 해에 걸쳐 전혀 다른 방식의 접근을 받을 수 있다.
탈취된 자료가 몇 년 동안 나타나지 않았다고 해서 폐기된 것도 아니다. 링크드인은 2016년 5월, 2012년에 탈취됐던 회원 이메일과 암호화된 비밀번호 자료가 4년 뒤 온라인에 다시 등장했다고 밝혔다. 침입이 끝난 지 수년이 지난 뒤에도 당시 비밀번호를 바꾸지 않은 계정은 다시 위험에 놓였다. 마찬가지로 국립외교원 명단도 당장 사용되지 않다가 특정 인물이 승진하거나 새로운 공관에 부임하는 순간 다시 꺼내질 수 있다.
외국 정부가 대규모 개인정보 자체를 정보자산으로 보고 수집한다는 사실도 실제 사건에서 드러났다. 미국 법무부는 2020년 중국 인민해방군 소속자 4명을 신용정보회사 에퀴팩스(Equifax) 해킹 혐의로 기소했다. 이들은 약 1억 4,500만 명의 이름과 생년월일, 사회보장번호 등 개인정보를 훔친 혐의를 받았다. 당시 미국 법무부는 이 사건을 중국이 대규모 개인정보를 지속적으로 노려온 국가 지원 해킹의 일부로 규정했다. 한 사람의 비밀번호보다 여러 해 동안 갱신해 사용할 수 있는 인물자료가 외국 정보기관에 더 큰 가치를 가질 수 있다는 것을 보여준 사건이다.
따라서 이번 사건의 대응기간을 서버 복구와 비밀번호 교체가 끝나는 시점까지로 잡아서는 안 된다. 유출 대상자의 인사이동과 해외파견, 퇴직과 민간 이직에 따라 자료의 가치가 달라지므로 장기간 위험도를 다시 평가해야 한다. 미국 측 접촉자도 한국 측 상대가 새로운 직책으로 이동하거나 다른 공관에 부임했을 때 과거 계정과 연락처를 이용한 접근이 다시 나타나는지 확인해야 한다. 한 번 유출된 명단은 사건이 종료된 뒤에도 사람들의 경력과 함께 이동하며, 최초 침입보다 훨씬 긴 기간 동안 미국과 동맹국의 방첩 부담으로 남는다.
5개월의 침묵은 미국의 대응 시간을 빼앗았을 수 있다
외교부는 2026년 2월 초 관계기관으로부터 국립외교원 온라인교육시스템의 비정상적 접근 정황을 통보받아 시스템을 차단하고 조사에 들어갔다. 그러나 사건을 공개한 것은 7월 20일이었고, 공격자는 이미 2025년 4월과 5월 사이 서버를 장악한 뒤 2026년 2월까지 접속한 상태였다. 피해 가능성이 있는 전·현직 외교관과 주재관들도 공개 전까지 자신의 정보가 노출됐다는 사실을 통보받지 못한 것으로 보도됐다.
따라서 미국 측 인물을 겨냥한 후속 공격의 조사범위는 외교부가 침입을 발견한 2026년 2월이 아니라, 공격자가 서버를 장악한 2025년 봄부터 시작해야 한다. 공격자는 서버에서 자료를 가져간 직후부터 실제 담당자를 사칭하거나 그 담당자의 미국 측 연락망을 추적할 수 있었기 때문이다.
이 경우는 두 가지로 나뉜다. 서울이 2월에 워싱턴에 알리지 않았다면 미국 측 관계자들은 거의 5개월 동안 한국 측 접촉자의 신원과 연락처가 노출됐다는 사실을 모른 채 기존 통신수단을 계속 사용했다. 그 결과 의심스러운 메시지를 따로 보존하고 계정기록을 점검하며, 노출 가능성이 있는 연락처와 인증수단을 바꿀 기회를 잃었다. 반대로 서울이 2월에 비공개로 통보했다면 워싱턴은 그 이후 어떤 기록을 보존하고 누구에게 경고했는지 설명해야 한다.
미국은 대규모 침입이 확인됐을 때 시간을 잃지 않는 것이 왜 중요한지를 2020년 솔라윈즈 사건에서 이미 보여줬다. 사이버보안·인프라보안국(CISA)은 2020년 12월 13일 연방 민간기관에 긴급지침 21-01을 내려 감염 가능성이 있는 솔라윈즈 오리온 제품을 즉시 분리하거나 전원을 끄고, 각 기관의 네트워크에서 후속 침입 흔적을 확인하도록 명령했다. 미국 정부는 피해 규모를 모두 확정할 때까지 기다리지 않고, 침입 가능성이 확인된 단계에서 통신을 차단하고 조사범위를 넓혔다.
이처럼 신속한 대응이 필요한 이유는 접속기록과 통신자료를 조사할 수 있는 시간이 정해져 있기 때문이다. 백악관 예산관리국이 2026년 5월 발표한 현행 지침 M-26-14는 연방 민간기관의 주요 보안기록을 최소 6개월 동안 즉시 검색할 수 있게 유지하고, 1년 동안은 다시 꺼내 조사할 수 있도록 요구한다. 이 기준으로 보더라도 2월부터 7월까지의 지연은 즉시 검색할 수 있는 최소 보존기간의 대부분을 소진한 것이며, 2025년 봄에 발생한 후속 공격 기록 가운데 일부는 2026년 7월이 되면 1년의 복구 가능 기간마저 이미 지났을 수 있다.
더욱이 모든 정부기관과 통신업체가 미국 연방정부와 같은 기준으로 기록을 보관하는 것도 아니다. 외부 이메일 서비스와 개인 메신저, 해외 통신업체의 접속기록은 더 짧은 기간 뒤 삭제되거나 덮어쓰일 수 있다. 2월이었다면 확보할 수 있었던 로그인 기록과 기기정보, 메시지의 전송경로가 7월에는 이미 사라졌을 가능성이 있으며, CISA가 사고대응 과정에서 삭제되기 쉽거나 보존기간이 짧은 기록을 먼저 확보하도록 요구하는 이유도 여기에 있다.
그런데 현재 외교부가 공개한 설명에는 미국과 다른 동맹국에 언제 통보했는지, 한미 공동 피해평가가 시작됐는지, 위험에 노출된 미국 측 접촉자에게 기록보존 경고가 전달됐는지가 빠져 있다. 국민에게 사건을 공개하는 시점과 동맹국에 비공개로 경고하는 시점은 전혀 다른 문제다. 공격 주체와 전체 피해를 확정하지 못했더라도 노출 가능성이 있는 기관에 제한된 경고를 보내 증거를 보존하게 할 수는 있었다.
따라서 워싱턴이 요구해야 할 것은 단순한 해킹 개요가 아니라 사건 전체의 연표다. 공격자가 처음 침입한 시점과 관리자 권한을 확보한 시점, 국가정보원이 이상 징후를 발견한 날짜, 외교부 장관과 대통령실에 보고된 날짜, 미국 측 기관에 통보된 날짜가 하나로 연결돼야 한다. 여기에 피해 계정의 인증수단을 교체하고 관련 장비를 조사한 시점, 재외공관과 소프트웨어 제작사에 경고한 시점까지 대조해야 한다.
이 연표가 있어야 미국은 실제로 몇 개월 동안 경고 없이 노출됐는지, 어느 시점부터 한국 측 연락처를 이용한 후속 공격을 다시 조사해야 하는지 판단할 수 있다. 또한 5개월의 침묵이 단순히 발표가 늦어진 문제였는지, 아니면 미국이 보존할 수 있었던 증거와 방어할 수 있었던 시간을 잃은 문제였는지도 그때 비로소 드러난다.
미국이 지금 해야 할 조치
미국이 가장 먼저 받아야 할 것은 한국 정부가 정리한 피해자 숫자나 조사결과 요약본이 아니다. 필요한 것은 공격자가 약 10개월 동안 접속한 서버의 원본 기록과 그 기간 시스템에 등록됐던 전체 인원의 자료다. 따라서 미국은 2026년 2월 당시의 재직자 명단만 받을 것이 아니라, 2025년 봄부터 2026년 2월까지 생성·변경·삭제된 계정 전체를 복원하도록 요구해야 한다.
또한 이 사건을 한국 정부가 조사한 자료를 미국 기관들이 전달받아 검토하는 방식으로 처리해서는 안 된다. 대통령정책지침 41호(PPD-41)에 따라 백악관 국가안보회의를 중심으로 사이버 통합조정그룹을 가동하고, FBI와 CISA, 국가정보국장실, 국무부와 국방부가 참여하는 미국 주도의 독립적인 피해조사에 즉시 착수해야 한다.
이 과정에서 한국 국가정보원과 외교부·국방부는 조사범위와 결론을 정하는 주체가 아니라, 미국이 요구하는 원본자료를 제출하고 검증에 응해야 할 대상이다. 이재명 정부가 작성한 피해자 명단과 사고 연표, 미국 통보 시점과 자체 조사결과를 그대로 받아들여서는 안 되며, 한국 정부가 제공하는 모든 자료와 설명도 미국의 독립적인 검증을 거쳐야 한다.
미국은 2024년 마이크로소프트 기업 이메일 침해사건 당시 CISA 긴급지침 24-02를 통해 단순히 비밀번호만 변경하지 않았다. 공격자가 탈취한 이메일의 내용을 분석해 노출된 정부 자격정보와 다음 공격대상을 찾아내고, 관련 계정과 고위험 클라우드 권한을 재설정하도록 했다. 국립외교원 사건에서도 어떤 계정이 유출됐는지만 확인할 것이 아니라, 그 정보를 이용해 누구를 사칭했고 어떤 미국인을 다음 표적으로 삼았는지 조사해야 한다.
이와 함께 CISA가 2024년 아이반티 장비 침해사건에서 관련 계정과 인증수단이 이미 장악됐을 가능성을 전제로 커버로스 인증표와 클라우드 토큰, 등록 기기까지 폐기하도록 요구한 대응도 적용해야 한다. 약 10개월 동안 장악된 시스템이라면 비밀번호 몇 개를 교체하는 수준이 아니라, 연결된 인증체계와 신원관리 시스템 전체가 오염됐을 가능성을 전제로 대응해야 한다.
이를 확인하기 위해 미국 기관은 한국 정부가 제출한 기록을 소프트웨어 제작사와 클라우드·호스팅 업체, 통신사업자, 해외공관 장비와 미국 측 시스템에 남은 기록에 직접 대조해야 한다. 한국 정부의 서버에 남아 있는 로그만으로 피해범위를 판단해서는 안 된다.
그리고 피해범위가 확인될 때까지 한국에 전달하는 민감한 정보의 범위와 전달경로, 한국 측 접근권한도 재검토해야 한다. 기존 계정과 이메일을 통한 정보전달을 제한하고 안전성이 확인된 별도의 통로를 사용해야 하며, 미국의 정보원과 정부 관계자, 군과 정보기관의 인적 네트워크를 한국 정부의 자체 조사와 설명에 맡겨서는 안 된다.
결론
국립외교원 해킹은 한국 내부에서 발생한 일반적인 사이버 사고가 아니다. 미국의 국가안보와 한반도 안보에 직접 영향을 미치는 중대한 방첩위기다.
한국 정부는 침입 사실을 파악하고도 약 5개월 동안 이를 공개하지 않았다. 이런 상황에서 미국이 이재명 정부의 설명과 자체 조사결과를 신뢰한 채 기다리는 것은 자국의 안보를 한국 정부의 판단에 맡기는 일이다.
더욱이 이번 사건을 국립외교원 시스템 하나에서 발생한 고립된 사고로만 봐서는 안 된다. 이재명 정부 출범 이후 불과 1년여 동안 한국의 국가 핵심 정보와 행정 전산체계를 둘러싸고 국민이 납득하기 어려운 사건들이 잇따랐다. 대규모 정부 전산망을 마비시킨 국가정보자원관리원 화재가 발생했고, 정부는 이를 단순한 시설 화재와 복구 문제로 설명했지만 화재의 원인과 피해범위, 핵심 자료의 보존 여부를 둘러싼 의문은 충분히 해소되지 않았다. 그리고 이번에는 외교관과 정보요원 수백 명을 포함한 외교·안보 인력의 정보가 담긴 국립외교원 시스템이 약 10개월 동안 공격자에게 장악됐다는 사실이 드러났다.
국가 핵심 전산시설의 화재와 외교·정보 인력 명단의 대규모 노출을 각각 별개의 사고로 떼어놓고 설명해서는 전체 위험을 볼 수 없다. 미국은 현 정부 출범 이후 한국의 외교·안보·행정 정보체계에서 발생한 침입과 장애, 자료 유실과 늦은 공개, 관계기관의 대응이 서로 연결돼 있는지 하나의 연속된 패턴으로 들여다봐야 한다. 각 사건에서 어떤 시스템이 영향을 받았고 어떤 기록이 사라졌으며, 정부가 언제 사실을 파악했고 미국과 동맹국에는 무엇을 알렸는지를 하나의 연표로 맞춰야 한다.
특히 반복해서 나타나는 것은 국가 핵심 시스템이 장기간 위험에 노출된 뒤에야 사건이 알려지고, 정부가 전체 피해범위와 책임소재를 명확히 공개하지 않는다는 점이다. 이것이 단순한 관리 부실의 반복인지, 서로 연결된 침투와 은폐의 결과인지, 또는 특정 세력이 한국의 국가안보 체계와 한미 정보협력망을 지속적으로 약화시키고 있는지는 독립적인 조사를 통해 반드시 밝혀야 한다.
따라서 미국은 이 사건의 안보 수준을 즉시 중대한 방첩위기로 격상하고 독립적인 조사에 착수해야 한다. 한국 정부가 무엇을 알고 있었고, 무엇을 미국에 알렸으며, 어떤 자료를 제출하지 않았는지 직접 확인하는 동시에, 현 정부 출범 이후 국가 핵심 정보·전산 체계에서 발생한 사건들 사이에 반복되는 패턴이 있는지도 조사해야 한다.
지금은 서울의 해명을 기다릴 때가 아니다. 미국은 이번 해킹을 단일 시스템의 개인정보 유출이 아니라 자국의 안보와 정보망, 한미동맹의 신뢰 기반을 직접 위협하는 일련의 위험 가운데 하나로 보고 즉시 움직여야 한다.
주요 출처
- 대한민국 외교부, 「국립외교원 온라인 교육시스템 사이버 공격 관련 발표」, 2026년 7월 20일.
- 미국 백악관 예산관리국, M-26-14: 진화하는 사이버 위협에 대응하기 위한 연방기관 로그 관리 및 네트워크 가시성 강화, 2026년 5월 22일.
- 미국 사이버보안·인프라보안국, 긴급지침 21-01: SolarWinds Orion 코드 침해 완화 조치, 2020년 12월.
- 미국 사이버보안·인프라보안국, 긴급지침 24-02: 국가 지원 세력의 Microsoft 기업 이메일 시스템 침해로 인한 중대한 위험 완화, 2024년 4월.
- 미국 사이버보안·인프라보안국, 긴급지침 24-01 및 추가지침 V1: Ivanti Connect Secure 및 Ivanti Policy Secure 취약점 완화, 2024년 1월~2월.
- 미국 연방수사국, 악성 메시지 작전에서 미국 고위 정부 관계자 사칭, 2025년 5월 15일.
- 미국 정부책임처, 인사검증: 시스템 개발의 우선순위 설정과 개혁 완수를 위한 지도부의 관심 필요, 2026년.
- 미국 법무부, Yahoo 해킹 사건, Equifax 침해 사건, Genesis Market 폐쇄와 관련된 공식 사건 자료, 2017~2023년.
