국립외교원 10개월 침입과 5개월 침묵, 군 의료정보망까지 뚫렸다
글: 진 커밍스
The Korea Signal 공동편집장 겸 수석 칼럼니스트
2026년 7월 20일, 한국 외교부는 국립외교원 온라인 교육시스템이 해킹돼 외교·안보 인력의 정보가 대규모로 유출됐다고 공개했다. 공격자는 2025년 4월과 5월 사이 서버에 침입해 2026년 2월까지 약 10개월 동안 접속했으며, 외교부는 제로데이 취약점과 보안설정 미비가 함께 이용됐다고 밝혔다.
해당 시스템에는 외교부 본부 직원과 해외공관 외교관, 정부 부처 주재관, 재외공관 행정직원, 해외에 파견된 정보기관 요원의 이름과 아이디, 이메일, 암호화된 비밀번호, 근무지와 직책, 교육자료와 수강정보가 저장돼 있었다. 피해 대상은 최대 1만 명이며, 해외공관에서 공식 신분으로 근무하는 정보기관 요원 수백 명도 포함된 것으로 밝혀지면서 안보에 심각한 위기를 가져오고 있다.
외교부는 2026년 2월 초 관계기관으로부터 비정상적인 접근 정황을 통보받고 시스템을 차단했다고 밝혔다. 그러나 사건을 공개한 것은 약 5개월이 지난 7월 20일이었다. 피해 가능성이 있는 전·현직 외교관과 주재관들도 공개 전까지 자신의 정보가 노출됐다는 사실을 통보받지 못한 것으로 보도됐다.
같은 기간 한국군의 의료정보 시스템에서도 비인가자의 접속이 확인되면서, 한국의 주요 안보 정보를 더 이상 한국 정부의 설명과 자체 조사에만 맡겨둘 수 없는 상황이 됐다. 국군의무사령부는 2026년 5월 15일 공식 통지문을 통해 6개 군 병원이 사용하는 모바일 의료영상 저장전송 시스템에 외부인이 접속했다고 밝혔으며, 7월 23일 중앙일보는 비인가자가 약 8GB의 자료에 접근했고 보안상 닫혀 있어야 할 통신 포트가 수개월 동안 외부에 열려 있었다고 보도했다.
한국의 외교·정보 인력 명단과 군 장병의 의료정보가 서로 다른 시스템에서 외부에 노출된 것이다. 한국 정부는 이러한 국가안보 기밀에 대한 침입을 조기에 발견하지 못했고, 사건이 공개된 뒤에도 이를 심각하게 다루거나 적극적인 조치에 나서기보다 축소하는 태도를 보이고 있다. 공격 주체와 전체 피해범위조차 아직 밝히지 못한 상황에서, 국립외교원 사건의 경우 외교부가 침입 사실을 확인하고도 약 5개월 동안 공개하지 않았다는 점은 한국 정부가 무엇을 감추고 있는지 충분히 의심하게 만드는 사안이다.
미국은 이 사안에 대해 즉각 독립 조사에 착수해 미국의 국가안보 정보가 이 경로를 통해 유출됐는지 확인해야 한다. 또한 한국 정부가 외부 침입을 정확히 언제 발견했고, 외교부·국방부 장관과 대통령실은 언제 보고받았으며, 미국 정부와 군·정보기관에는 언제 무엇을 알렸는지 직접 조사해야 한다. 이 문제는 미국의 국가안보에 직접적인 위협을 초래할 수 있는 사안이므로, 한국 정부가 발표한 피해범위와 자체 조사결과만 믿고 맡겨둘 수 없다.
제로데이는 10개월의 침입을 설명하지 못한다
한국은 세계적인 IT 강국으로 알려져 있지만, 반복된 여러 사례를 통해 보안에는 심각할 정도로 취약한 국가라는 사실이 드러나고 있다. 국가 전반에서 IT 시스템을 광범위하게 사용하는 만큼, 보안이 뚫렸을 때 피해도 더 크고 빠르게 확산될 수 있다. 제로데이 취약점이 최초 침입에 이용됐다고 해도, 공격자가 약 10개월 동안 정상적인 소프트웨어 권한으로 시스템 안에서 활동했는데도 이를 발견하지 못했다는 것은 설명이 되지 않는다. 더욱이 한국 정부가 침입 사실을 알고도 이를 즉시 공개하지 않았다는 점을 고려하면, 왜 이 사실을 은폐했는지에 대해서도 분명한 책임을 물어야 한다.
외교부는 제로데이 취약점뿐 아니라 보안설정 미비가 함께 이용됐다고 밝혔다. 그렇다면 공격자는 침입한 뒤 어떤 권한을 확보했으며, 관리자 계정은 어떻게 관리됐고, 외부 접속과 계정 변경은 왜 탐지되지 않았는가.
소프트웨어 제작사가 유지·보수를 위해 원격접속 권한을 가지고 있었다면 외교부는 접속시간과 사용 계정, 작업내용을 별도로 기록하고 감시했어야 한다. 관리자 권한과 기록을 같은 시스템 안에서만 관리했다면 공격자는 자신의 활동을 정상적인 유지·보수 작업으로 위장하고 접속흔적을 지울 수 있었다.
국립외교원 시스템이 외교부 이메일과 통합로그인, 인사시스템, 재외공관 행정망과 계정이나 인증체계를 공유했는지도 밝혀야 한다. 같은 관리자 계정과 비밀번호, 인증 토큰이 다른 시스템에서도 사용됐다면 피해는 교육시스템에 저장된 자료로 끝나지 않으며, 동일한 제품과 보안설정이 외교부의 다른 시스템이나 국방부·정보기관·대통령실에서도 사용됐는지도 조사해야 한다.
외교관과 정보요원 수백 명이 이용하는 시스템에서 공격자가 열 달 동안 활동했다는 것은 외교부의 권한관리와 감시, 외부업체 감독이 제대로 작동하지 않았다는 뜻이며, 한국 정부가 침입 사실을 알고도 이를 공개하지 않았다는 점에서 제로데이라는 말로 이 문제를 덮을 수 없다는 사실은 명확하다.
외교부는 침입을 확인하고도 5개월 동안 공개하지 않았다
외교부는 언제 정보유출 사실과 피해자 명단을 확인했으며 대통령실에는 언제 보고했는지 공개하지 않았다. 대통령실 역시 지금까지 이 문제에 대해 아무런 입장을 밝히지 않은 채 침묵하며 여론의 시선을 돌리고 있다.
피해자들에게도 즉시 알리지 않았기 때문에, 외교관과 정보요원들은 그동안 기존 이메일과 비밀번호, 휴대전화와 개인 메신저를 계속 사용했을 가능성이 있으며, 공격자가 이들의 이름과 계정정보를 이용해 후속공격을 시작했더라도 당사자들은 이를 알아차리지 못한 채 수상한 메시지와 접속기록을 삭제했을 수 있다.
외교부가 사건을 공개하지 않은 것도 문제지만, 그보다 더 중요한 것은 피해자들에게 언제 보안경고를 보냈는가다. 공격 주체와 전체 피해범위를 확정하지 못했더라도 계정을 교체하고 통신기록을 보존하며 의심스러운 연락을 신고하도록 알려야 했다. 그럼에도 외교부가 사건을 5개월 동안 은폐하면서 정보요원들에게조차 이 사실을 알리지 않았다면, 이는 단순한 공개 지연보다 훨씬 더 심각한 문제다.
누가 공개를 늦추기로 결정했는지도 밝혀야 한다. 외교부 실무진이 고위 관계자에게 늦게 보고했다면 보고체계가 작동하지 않은 것이고, 장관과 대통령실이 일찍 보고받고도 공개하지 않았다면 정부가 이를 은폐한 것으로 볼 수밖에 없다. 현재까지 공개된 것은 시스템 차단과 조사 착수뿐이다. 침입 발견부터 피해 확인과 피해자 통보, 더 나아가 미국 정부 통보까지 이어지는 전체 연표는 아직 공개되지 않았다.
미국에는 언제 무엇을 알렸는가
한국 정부는 이 사건을 한국 국민에게 공개하기 전에 미국 정부에 먼저 통보했는가. 한국에는 약 2만8000명의 주한미군이 주둔하고 있으며, 한국은 북한의 위협을 억제하고 중국을 견제하는 데 핵심적인 지정학적 역할을 맡고 있어 미국은 한미상호방위조약을 바탕으로 한국 정부와 민감한 안보정보를 공유하고 있다. 따라서 한국 외교관과 정보요원들의 신상이 대규모로 유출됐다는 것은 이들과 연결된 미국 정부와 군·정보기관의 인력 및 안보정보까지 노출됐을 가능성이 있다는 뜻이다.
한국 정부는 아직 공격 주체를 확정하지 못했다고 주장하지만, 세계적인 IT 강국을 자처하면서 미국 기업들의 투자를 유치해 AI 강국을 만들겠다는 정부가 국가 핵심 외교시스템을 10개월 동안 장악한 공격자의 실체조차 밝히지 못했다는 것은 비상식적이다. 더욱이 침입 사실을 확인하고도 약 5개월 동안 공개하지 않았다면, 한국 정부가 무엇을 알고 있었고 왜 이를 감췄는지 의심할 수밖에 없다.
아직까지 미국 국무부와 국방부, 정보기관, 주한미군 가운데 어느 기관이 가장 먼저 통보받았는지는 공개되지 않았다. 한국 정부가 2월 침입 정황을 미국에 알렸는지, 정보요원 수백 명의 신원 노출 사실을 전달했는지, 이후 피해범위가 확대될 때마다 추가 자료를 제공했는지도 알려지지 않았다.
만약 한국 정부가 미국에 비공식 통로로 통보했다면 그 내용도 확인해야 한다. 단순히 국립외교원 시스템에 해킹이 발생했다고 알린 것과 피해자의 이름·직책·근무지·계정정보·접속기록까지 제공한 것은 전혀 다른 문제이기 때문이다. 정보기관 요원 수백 명의 정보가 유출됐다면 해당 요원들이 접촉한 미국 기관과 정치권 인사, 공동업무와 사용한 연락수단까지 확인해야 하며, 그래야 미국은 국무부와 국방부, 정보기관, 의회와 방산업체 관계자 가운데 누가 후속공격에 노출됐는지 파악할 수 있다.
교육과정과 수강기록도 필요하다. 누가 어떤 교육을 받았는지는 그 사람의 담당 업무와 향후 파견지역을 보여주며, 공격자가 장기간 계정 생성과 소속 변경을 지켜봤다면 공식 인사발령 전에 새로운 해외파견 대상자를 알아냈을 수 있다는 뜻이다.
미국은 한국 정부가 통보했다고 주장하는 날짜를 한국 정부의 설명만으로 확인해서는 안 되며, 미국 기관이 실제로 받은 이메일과 보고서, 회의기록을 직접 대조해야 한다.
국군의무사령부는 군 의료정보 시스템의 비인가 접속을 공식 인정했다
국군의무사령부는 2026년 5월 15일 홈페이지에 「모바일 PACS 관련 개인정보 유출 추정에 관한 통지문」을 게시했다. 통지문에 따르면 양주·고양·포천·강릉·구리·대구병원이 사용하는 모바일 의료영상 저장전송 시스템에 2025년 11월부터 12월 사이 비인가자가 접속했으며, 노출이 추정된 항목에는 이름과 성별, 나이, 의료영상 촬영일시와 CT·MRI·X-RAY 영상정보가 포함됐다. 이는 군인들의 신원뿐 아니라 신체 상태와 치료 이력까지 외부에 노출됐을 가능성이 있다는 뜻이다.
국군의무사령부는 군 전문기관과 한국인터넷진흥원에 신고해 조사가 진행 중이라고 밝혔으며, 모바일 PACS 서비스를 중단하고 외부 비인가 통신을 차단했다고 밝혔다. 사이버작전사령부와 방첩사령부도 조사와 분석에 투입됐다.
공식 통지문에는 비인가자가 어떤 경로로 접속했고 얼마나 많은 자료에 접근했으며, 군이 침입 사실을 언제 발견했는지는 공개되지 않았다. 현재 한국에서는 국가안보의 핵심인 외교관과 정보요원의 신상정보에 이어 군인들의 의료·신체정보까지 잇따라 유출되고 있으며, 이는 한국의 외교·정보·군사체계를 동시에 겨냥한 조직적 침투가 진행되고 있다는 증거다.
중앙일보는 7월 23일 후속 보도에서 비인가자가 접근한 데이터가 약 8GB였으며, 이를 X선·CT·MRI 영상으로 환산하면 약 1,000장 규모라고 전했다. 당시 시스템에는 약 115만 명분의 의료영상 자료가 저장돼 있었지만, 누구의 어떤 자료가 열람되거나 내려받아졌는지는 확인되지 않았다.
침입자는 보안상 닫혀 있어야 할 국군의무사령부 웹사이트의 특정 통신 포트를 통해 개인용 컴퓨터로 모바일 PACS에 우회 접속한 것으로 조사됐으며, 해당 포트는 2025년 11월부터 2026년 3월까지 외부에서 접근할 수 있었다.
국군의무사령부는 방첩사령부가 2026년 4월 중앙보안감사를 실시할 때까지 이를 발견하지 못했다. 방첩사령부와 사이버작전사령부가 개인정보 유출 가능성이 크다고 판단한 뒤 국방부는 6월 초 합동조사팀을 구성했다.
유출된 명단은 현재 인력뿐 아니라 과거의 정보망까지 드러낸다
한국 외교관과 정보요원의 이름·직책·근무지가 유출됐다는 것은 단순한 신상정보 노출이 아니라, 이들이 맡아온 대북제재와 확장억제, 수출통제와 방산협상, 한미 정보공유 업무와 과거 접촉망까지 함께 드러났을 가능성이 있다는 뜻이다.
특히 장기간 축적된 계정 생성과 교육과정 배정기록에는 현재 인력뿐 아니라 앞으로 해외공관과 핵심 부처에 배치될 인원까지 포함됐을 수 있으며, 노출된 인물들의 과거 근무지와 회의·협력기록을 따라가면 현지 협력자와 정보원, 미국 정부·군·정보기관의 접촉자까지 연결될 수 있다.
여기에 자료 작성자와 법률 검토자, 통역과 기록 담당자, 민간 전문가까지 이메일 배포선과 후속조치 기록에 남는 만큼, 공격자는 고위 관계자뿐 아니라 한미 정보협력을 실제로 움직이는 실무 연락망까지 파악할 수 있으므로, 미국은 현재 업무와 과거 접촉망, 향후 배치정보를 모두 피해범위에 포함해 조사해야 한다.
실제 외교관의 신원은 미국 기관을 공격하는 통로가 된다
노출된 한국 외교관과 정보요원의 신원은 미국 정부와 의회, 군과 방산업체를 상대로 한 사칭 공격에 이용될 수 있다.
공격자는 주미 한국대사관의 실제 담당자 이름으로 국무부 직원에게 회의 후속자료를 보내거나, 의회 보좌관에게 비공개 브리핑 자료라고 속이고, 국방부와 방산업체에는 보안 화상회의 주소나 수출승인 문서를 보내 기술자료와 담당자 연락처를 요구할 수 있다.
실제 이름과 직책, 과거 회의주제와 문서양식까지 사용하면 이러한 연락은 새로운 공격이 아니라 기존 업무의 연장처럼 보이기 때문에, 일정 확인이나 담당자 소개처럼 작은 요청만으로도 답장을 유도한 뒤 그 문체와 서명, 사용 중인 연락처를 확보해 더 중요한 표적으로 접근할 수 있다.
공식 정부망을 직접 뚫지 않더라도 개인 이메일과 휴대전화, 메신저를 이용하면 미국 기관의 보안망 밖에서 정부 관계자와 군·방산 인력에게 접근할 수 있는 것이다.
군사위기에서는 허위 메시지가 한미 대응을 흔들 수 있다
북한의 미사일 발사나 군사적 충돌처럼 한미 양국이 짧은 시간 안에 대응을 조율해야 하는 상황에서, 공격자가 실제 담당자의 이름과 기존 문서양식을 이용해 허위 메시지를 전달하면 양국의 판단과 대응은 동시에 흔들릴 수 있다.
미국 측에는 서울이 특정 군사조치에 반대한다는 문서를 보내고, 한국 측에는 워싱턴이 이미 결정을 내렸다는 메시지를 전달할 수 있으며, 과거 협의문구와 실제 문서양식에 핵심 내용만 바꾸면 실무자들이 진위를 확인하는 동안 정책협의와 군사적 대응이 지연될 수 있다.
더 나아가 연합훈련과 대북제재, 미군 배치에 관한 허위문서가 언론과 시장에 유통되면 외교적 혼란과 시장 변동까지 이어질 수 있다.
유출된 자료는 장기적인 포섭과 협박에 이용된다
유출된 인력자료는 공개된 경력과 가족관계, 재산과 소송기록에 결합돼 외국 정보기관이 접근할 대상을 선별하는 데 이용될 수 있으며, 연구기관과 컨설팅회사, 대학과 국제회의를 내세운 자문·강연·연구용역·취업 제안은 처음에는 정상적인 업무처럼 보이지만 관계가 형성된 뒤에는 정부 내부 담당자와 미국 측 관계자의 입장, 비공개 회의내용과 내부 정보를 요구하는 통로로 바뀔 수 있다.
또한 이름과 근무지만으로도 배우자의 직장과 자녀의 학교, 거주지와 생활반경을 파악할 수 있기 때문에 대사관이나 학교, 병원과 항공사를 사칭해 여권정보와 여행일정을 빼내거나 가족을 압박하는 데 이용될 수 있다.
이미 빠져나간 명단은 서버를 복구하고 비밀번호를 바꿔도 사라지지 않으며, 현재는 중요하지 않은 인물이 대통령실과 정보기관, 주요 해외공관으로 이동하면 과거에 유출된 자료의 가치도 다시 커진다.
미국은 한국 정부의 조사결과만 기다려서는 안 된다
관리자 권한을 확보한 공격자는 사용자 정보와 복구주소를 변경하고 새로운 계정을 만들거나 접속기록을 삭제할 수 있기 때문에, 한국 정부가 현재 보유한 기록과 피해자 명단만으로는 전체 피해범위를 확인할 수 없다.
미국은 한국 정부가 정리한 조사결과 요약본이 아니라 국립외교원과 군 의료정보 시스템의 원본 로그와 공격 이전 백업자료, 생성·변경·삭제된 계정기록, 관리자 권한과 인증 토큰, 소프트웨어 제작사와 호스팅업체의 접속자료를 직접 확보해야 한다. 또한 한국 정부가 주장하는 침입 발견일과 대미 통보일을 미국 기관의 이메일과 보고서, 회의기록에 대조하고, 2025년 봄 이후 한국 외교관과 정보요원의 이름으로 전달된 의심스러운 이메일과 문서요청, 비정상적인 계정접속도 다시 조사해야 한다.
국립외교원 피해자 명단도 미국 정부와 군·정보기관의 접촉기록에 대조해 한국 정부가 피해자로 분류하지 않은 인물 가운데 미국의 민감한 정보와 업무에 접근한 사람이 없는지 확인해야 하며, 군 의료정보 사건에서 드러난 외부 통신 포트와 8GB 접근기록, 4월 방첩사령부 감사자료와 6월 합동조사팀 기록도 함께 확보해야 한다.
결론
한국의 외교·정보 인력 명단과 군 장병의 의료정보가 연이어 외부에 노출됐지만, 한국 정부는 침입 발견과 내부 보고, 피해자 통보와 대미 통보의 전체 과정을 공개하지 않고 있다.
특히 외교관과 정보요원 수백 명의 신원과 계정정보가 유출됐다면 이들과 접촉한 미국 정부와 군·정보기관, 의회와 방산업체 관계자들도 이미 후속공격에 노출됐을 수 있다.
미국은 서울의 자체 조사결과를 기다릴 것이 아니라 원본 로그와 통보 기록을 직접 확보해, 미국의 국가안보 정보와 인적 네트워크가 이 경로를 통해 유출됐는지 즉각 조사해야 한다.
이 특별보고서의 1편은 여기에서 확인할 수 있습니다:
주요 출처
대한민국 외교부, 「국립외교원 온라인 교육시스템 사이버 공격 관련 발표」, 2026년 7월 20일.
국군의무사령부, 「모바일 PACS 관련 개인정보 유출 추정에 관한 통지문」, 2026년 5월 15일.
중앙일보 이유정 기자, 「[단독] 외교관 이어 군인도 털렸다…이름·병명 등 8GB 유출 정황」, 2026년 7월 23일.
