해킹당한 외교원, 보안 패치하면 끝?…"악성코드 남아 있을 수 있어"

외교부 산하 국립외교원의 해킹 통로로 지목된 보안 소프트웨어의 취약점에 대한 패치가 완료됐지만 실질적인 후속 대책으로 보기 어렵다는 지적이 나온다. 보안 패치는 뚫린 통로를 차단하는 조치에 그치는데, 지난해 4월부터 올해 2월까지 약 10개월간 미상의 공격자가 국립외교원 서버에 접근했다는 점에서 그동안 악성코드 등을 심어놨을 가능성까지 확인해야 한다는 것이다.

20일 [시대] 취재를 종합하면 국정원 등 관계기관은 국립외교원 해킹의 침투 통로로 특정 보안 소프트웨어를 지목했지만 해당 소프트웨어 제조사는 연관성을 부인하고 있다. 외교부 관계자는 "(보안) 패치도 나오고 CVE(취약점 식별 코드)값도 나왔는데 (해당) 업체가 부인하는 상황"이라고 했다. 국정원은 국립외교원 해킹 관련 조사 결과를 외교부에 넘긴 상태다.

관계기관이 침투 통로로 지목한 보안 소프트웨어는 지난 6월 패치가 이뤄졌다. 하지만 패치만으로 이번 사태가 일단락됐다고 보기는 어렵다는 분석이 나온다. 사이버 보안 회사 78리서치랩의 박문범 CPO(최고 개인정보 보호책임자)는 "이미 취약점으로 미상의 공격자가 들어왔다면 악성코드를 심어놨을 가능성이 크다"며 "심어 놓은 코드는 공격을 실행하기 전에는 파악하는 것이 사실상 불가능하다"고 말했다.

곽진 아주대 정보보안학과 교수는 "(보안) 패치는 똑같은 해킹 사고의 취약점 통로가 다시 뚫리지 않게 해주는 것"이라며 "추가적인 조사를 통해 통로로 들어온 것이 무엇이 있는지는 살펴봐야 한다"고 했다. 윤인수 KAIST 전기및전자공학부 교수는 "10개월 정도 (외교부가) 몰랐으면 코드를 심는 것은 가능하다"며 "하지만 가능성이 무한해 단정하기는 어렵다"고 말했다.

패치가 완료됐지만 해당 소프트웨어를 사용하는 다른 기관이나 기업도 같은 취약점을 통해 공격받을 가능성이 제기된다. 외교부 관계자는 CVE 미공개 이유에 대해 "해커들이 사용할 수 있기 때문"이라고 설명했다. 보안업계에서는 외교부가 이 소프트웨어 이용자들이 아직 패치를 완료하지 못한 상황을 고려한 것으로 보고 있다. 윤인수 교수는 "CVE 값을 공개하는 것이 일반적"이라고 했다.

해당 소프트웨어는 국립외교원뿐만 아니라 다수의 공공기관과 기업에서도 사용하고 있는 것으로 파악됐다. 보안 패치를 적용하지 않은 기관은 국립외교원 해킹과 같은 취약점을 통한 공격에 노출될 수 있다. 다만 해당 소프트웨어 제조사는 "우리 소프트웨어가 (외교부에) 한두 개 들어간 것이 아니다"라며 "확인해줄 수 없다"고 답했다.

소프트웨어 제조사가 국립외교원 해킹과의 연관성을 부인하고 반발하는 것이 외교부의 CVE 값 공개를 막고 있다는 분석도 나온다. 외교부 관계자는 "보안 회사에서 부인하고 있는데 (국립외교원 해킹이) 해당 회사 때문이라고 말해 매출 피해를 보면 책임을 (외교부에) 돌릴 수 있다"며 "자기들의 제품에 대한 신뢰도가 낮아질 수 있어 보안 회사에서 민감해 하고 있다"고 말했다.

한편 개인정보보호위원회는 국립외교원 해킹과 관련해 조사에 나설 방침이다. 이번 해킹으로 외교관 등을 포함해 약 1만건의 개인정보가 유출된 것으로 알려졌다. 외교부는 해킹 사실을 인지한 지 2개월 뒤인 4월 개인정보 유출 정황을 파악했지만 개보위 신고는 7월19일에야 이뤄졌다. 개인정보 보호법은 개인정보 유출 사실을 알게 된 경우 일정 요건에 해당하면 72시간 이내에 개보위 등에 신고하도록 규정하고 있다.