국립외교원은 왜 10개월간 해킹을 발견하지 못했나: 제로데이보다 중요한 보안의 사각지대

국립외교원 온라인교육시스템 침해 사고에서 가장 불편한 숫자는 유출 규모가 아니라 시간이다. 외교부 보도자료에 따르면 미상의 공격자는 서버 소프트웨어의 제로데이 취약점과 보안설정 미비점을 함께 악용해 2025년 4월~5월 서버를 장악했고, 이후 2026년 2월까지 접속이 이어졌다. 외교부는 2026년 2월 초 관계 기관으로부터 비정상 접근 정황을 통보받은 뒤 시스템을 긴급 차단하고 공동 조사를 시작했다고 밝혔다. 교육 대상자의 ID, 성명, 이메일, 암호화된 비밀번호 등이 유출 정황 항목으로 공지됐지만, 고유식별정보·휴대전화번호·주소·사진은 포함되지 않았으며 당시 공개 자료만으로 유출 내역 전체를 특정하기는 어렵다고도 설명했다. 출처: 외교부, 전·현직 외교부 본부 및 재외공관 근무 직원과 그 밖의 인력의 개인정보 유출 정황 안내 공지, 외교부, 국립외교원 온라인교육시스템 사이버 공격 관련 보도자료

여기서 필요한 질문은 “제로데이였으니 막을 수 없었나”가 아니다. 알려지지 않은 취약점, 즉 제로데이는 공급사가 아직 수정 프로그램을 내놓지 않았거나 방어자가 해당 취약점을 알기 전에 악용되는 결함을 뜻한다. 따라서 예방 통제만으로 최초 침입을 완벽히 차단하기는 어렵다. 하지만 최초 침입과 장기 체류는 다른 문제다. 침입한 계정이나 서버가 평소와 다른 시간에 인증하고, 관리 기능을 호출하고, 대량의 정보를 읽고, 외부와 통신하고, 설정을 바꾼다면 그 흔적은 여러 계층에 남을 수 있다. 어떤 흔적이 실제로 있었고 외교부가 무엇을 수집·분석했는지는 공개되지 않았다. 그렇기에 특정 경보를 놓쳤다고 단정할 수는 없다. 다만 약 10개월의 공백은 모든 조직에 하나의 운영 질문을 남긴다. 우리는 침입을 막지 못했을 때, 침입자가 남기는 행동을 얼마나 빨리 알아차릴 수 있는가.

국립외교원 해킹 사건 타임라인

공식적으로 확인된 것은 2025년 4~5월 서버가 장악된 뒤 2026년 2월까지 접속이 이어졌다는 사실이다. 공격자가 약 10개월 동안 매일 활동했거나 서버에 계속 상주했다고 확인된 것은 아니다.

사건에서 확인된 사실과 확인되지 않은 것을 분리해야 한다

사건 분석은 빈칸을 공격 시나리오로 채우기 시작하는 순간 정확성을 잃는다. 현재 공식 발표로 확인되는 범위는 비교적 분명하다. 대상은 국립외교원 온라인교육시스템이고, 공격자는 미상이며, 제로데이 취약점과 보안 설정 미비점을 악용한 서버 장악이 2025년 4~5월에 이뤄진 뒤 2026년 2월까지 접속이 이어졌다. 외교부는 이 기간에 해당하는 개인정보 유출 정황을 확인했다고 공지했다. 외교부는 2월 초 비정상 접근을 통보받아 시스템을 차단했고 관계 기관과 조사를 진행했으며, 공동 조사 뒤 4월에 개인정보 유출 정황을 확인했다고 정례브리핑에서 밝혔다. 출처: 외교부, 7월 23일 대변인 정례브리핑

반대로 공개되지 않은 정보도 많다. 취약점의 제품명과 식별번호, 침투에 쓰인 도구, 공격자의 권한 유지 방식, 실제 데이터 반출 여부와 범위, 횡적 이동 여부, 공격 주체는 공식 발표로 확정되지 않았다. 보도 과정에서 시스템에 최대 약 1만 건의 정보가 저장돼 있었다는 언급도 나왔지만, 외교부는 정확한 유출 규모와 내역은 정밀한 조사와 확인이 필요하다고 선을 그었다. 교육시스템 침해를 외교부 핵심 업무망 또는 외교 기밀 침해로 확장해 말할 근거도 없다. 이 구분은 기관을 감싸기 위한 형식이 아니라 재발 방지의 출발점이다. 확인된 사실은 대책의 우선순위를 정하게 하고, 확인되지 않은 사실은 포렌식과 감독을 통해 확인해야 할 질문으로 남겨야 한다. 출처: 외교부, 7월 21일 대변인 정례브리핑

외교부는 비정상 접근 시도가 매우 빈번해 개별 시도마다 장관 보고를 할 수는 없으며, 그것이 해킹인지와 종류를 분석해야 한다는 취지로 설명했다. 이 설명은 대규모 조직의 현실을 보여준다. 인터넷에 노출된 서비스는 매일 자동 스캔, 로그인 시도, 취약점 탐색을 받는다. 문제는 경보가 많다는 사실 자체가 아니라, 그중 조직의 자산·계정·데이터 맥락을 가진 신호를 골라 사건으로 승격할 수 있었는가다. 경보량을 이유로 경보의 질 문제를 덮으면 관제는 기록 보관 업무가 된다. 출처: 외교부, 7월 23일 대변인 정례브리핑

제로데이는 입구의 문제이고, 10개월은 관찰의 문제다

보안 통제는 크게 예방, 탐지, 대응과 복구로 나뉜다. 패치, 안전한 개발, 다중인증, 웹 방어, 권한 제한은 예방에 속한다. 로그 분석과 이상행위 탐지는 탐지에, 계정 차단·격리·조사·통지는 대응에 가깝다. 제로데이는 예방의 빈틈을 만들 수 있다. 그러나 침입 이후 탐지와 대응까지 동시에 무력화했다는 뜻은 아니다.

이를 건물 비유로 보면 이해하기 쉽다. 알려지지 않은 자물쇠 결함 때문에 누군가 문을 열고 들어왔을 수 있다. 그렇다고 출입 기록, 복도 카메라, 열쇠 사용 기록, 서류 보관함 열람 기록까지 모두 의미가 없어지는 것은 아니다. 다만 이 기록들이 서로 다른 부서에 흩어져 있고, 시간도 맞지 않으며, 누가 검토할지 정해지지 않았다면 침입자는 건물 안에 오래 머물 수 있다. 디지털 환경의 서버 로그, 인증 기록, 데이터베이스 감사 기록, 네트워크 흐름 기록도 같은 문제를 가진다.

장기 침투의 핵심 지표는 침입 차단률 하나가 아니다. 탐지까지 걸린 시간, 탐지 후 격리까지 걸린 시간, 영향 범위를 확정하는 데 걸린 시간, 그리고 같은 방식의 재침투를 막는 데 걸린 시간을 함께 본다. NIST의 최신 사고 대응 지침도 사고 대응을 사고 이후의 별도 절차가 아니라 조직의 위험관리 활동 전반에 통합해 탐지·대응·복구의 효율과 효과를 높이는 일로 다룬다. 출처: NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management

그래서 이 사건을 “제로데이였으므로 불가피했다”로 정리하면 실무적으로 남는 것이 없다. 더 정확한 문장은 이렇다. 제로데이는 알려진 패치와 시그니처만으로는 입구를 막기 어려웠을 가능성을 말한다. 반면 약 10개월 동안의 미탐지는 자산 분류, 텔레메트리 수집, 로그 연계, 경보 설계, 분석 인력과 보고 체계가 실제 공격 행위를 식별할 만큼 작동했는지 별도로 점검하게 한다. 공개 자료가 부족한 현시점에 그 실패 원인을 하나로 지목할 수는 없지만, 이 질문을 피할 이유도 없다.

교육 시스템이 왜 공격자에게 가치 있는 표적인가

조직은 종종 시스템을 업무 연속성 기준으로 줄 세운다. 결제·생산·민원·핵심 업무망은 중요, 교육·협업·복지·행사 사이트는 주변부라는 식이다. 이 분류는 복구 우선순위를 정하는 데 유용하지만 공격 가치를 판단하는 데는 불완전하다. 공격자는 서비스의 예산이나 조직도상 위상보다 그 안에 무엇이 있는지, 누구와 연결되는지, 다른 시스템으로 가는 발판이 되는지를 본다.

국립외교원 온라인교육시스템에는 교육 운영에 필요한 정보가 저장돼 있었고, 외교부 공지는 ID·성명·이메일·암호화된 비밀번호의 유출 정황을 언급했다. 이런 정보만으로 특정 인물의 업무를 단정하거나 계정을 즉시 탈취할 수 있다고 말할 수는 없다. 암호화 또는 해시된 비밀번호의 실제 위험은 적용 방식, 강도, 별도 보안 조치, 재사용 여부 등 공개되지 않은 조건에 따라 달라진다. 다만 정확한 이름·소속 맥락·이메일은 표적형 피싱의 신뢰도를 높이고, 다른 서비스의 계정 위생 문제를 점검하게 하는 근거가 된다. 즉 교육 플랫폼은 업무 자체보다 ‘고가치 인물 정보의 집합’이라는 점에서 공격표면이 된다. 해외 보안업계도 이번 사건을 신원정보 노출에 따른 표적형 공격 위험으로 조명했다. 출처: 외교부, 개인정보 유출 정황 안내 공지, 외교부, 사이버 공격 관련 보도자료, Bitdefender, South Korea Diplomatic Academy Breach

여기서 공격표면 관리는 외부 IP 주소 목록을 만드는 작업보다 넓다. 인터넷에서 접근 가능한 도메인, 가상 서버, 클라우드 저장소, 원격 관리 화면, API, 위탁 운영 서비스, 오래된 교육·설문·채용 사이트까지 실제 운영 상태를 찾아내는 일이다. 각 자산에는 소유 부서, 데이터 유형, 사용자 집단, 인증 방식, 관리자 계정, 외부 연동, 로그 수집 여부, 패치 책임자를 붙여야 한다. “우리 서비스가 아니다”라는 답이 가장 위험하다. 계약과 운영을 외주화해도 개인정보 처리와 보안 위험의 책임이 사라지는 것은 아니다.

자산의 중요도도 다시 계산해야 한다. 매출이나 업무 중단만 기준으로 하지 말고, 인물 정보의 민감도, 계정 탈취의 파급, 대외 노출, 신뢰 관계, 다른 시스템으로의 연결성, 사고 발생 시 조사 가능성을 함께 반영해야 한다. 이 평가를 하면 교육·인사·협업 시스템은 핵심 업무 시스템과 같은 통제를 전부 적용하지 않더라도, 외부 노출 점검과 인증·권한·로그 기준에서는 결코 ‘관리 밖’으로 둘 수 없다는 결론에 이른다.

보안 관찰가능성은 로그의 양이 아니라 사건을 설명하는 능력이다

관찰가능성은 원래 복잡한 시스템의 내부 상태를 외부에서 드러나는 신호로 이해할 수 있는 능력을 뜻한다. 보안에서 이를 단순히 “모든 로그를 중앙 저장소로 보낸다”로 축소하면 실패한다. 중앙 저장은 필요한 기반이지만, 그 위에서 사건을 연결할 공통 식별자, 시간 정확도, 정상 행위 기준, 조사 절차가 없으면 저장소는 대형 보관함에 그친다. CISA도 로그를 누가 무엇에 언제 어디서 접근했는지의 기록으로 설명하며, 모니터링은 이를 검토해 정상 기준선에서 벗어난 행위를 식별하는 과정이라고 안내한다. 출처: CISA, Use Logging on Business Systems

실무자가 설계해야 할 핵심은 다음 여섯 신호를 하나의 사건 흐름으로 묶는 것이다.

예를 들어 한 계정의 심야 로그인만으로는 사고라고 할 수 없다. 하지만 새 국가 또는 평소 쓰지 않던 네트워크에서 인증했고, 직후 관리 화면에 접근했으며, 서비스 계정 권한이 바뀌고, 평소보다 많은 교육 대상자 정보를 조회한 뒤 외부 통신이 이어졌다면 각각은 작아도 합치면 조사할 가치가 높다. 반대로 이 신호가 인증 서버, 웹 애플리케이션, 데이터베이스, 방화벽에 따로 남아 있고 공통 계정·요청·시간 정보가 없다면 분석가는 공격 흐름을 만들 수 없다. 관찰가능성의 단위는 로그 한 줄이 아니라 이 연결이다.

이를 위해 시간도 데이터 품질의 일부로 다뤄야 한다. 시스템마다 시간이 어긋나면 ‘로그인 뒤 데이터 조회’인지 ‘조회 뒤 로그인’인지 판단할 수 없다. 표준 시간 동기화, 공통 사용자·세션·요청 식별자, 자산 태그, 변경 이력은 화려하지 않지만 상관 분석의 전제다. 개인정보를 과도하게 모으지 않도록 접근 통제와 마스킹을 설계하면서도, 사고 조사에 필요한 행위 기록은 보존해야 한다.

기록이 있는데도 발견하지 못하는 네 가지 이유

첫째는 보이지 않는 자산이다. 자산 목록에 없는 서비스는 취약점 점검 대상도, 로그 수집 대상도, 담당자 연락망도 되기 어렵다. 운영 종료를 선언했지만 도메인이나 관리자 페이지가 남은 서비스, 협력사가 운영하는 포털, 임시 프로젝트용 클라우드 계정이 대표적이다. 공격표면을 분기별 문서가 아니라 변경 시점마다 갱신되는 운영 데이터로 다뤄야 하는 이유다.

둘째는 ID 맥락의 단절이다. 많은 조직이 로그인 성공·실패만 남기고, 로그인 후 무엇을 했는지는 애플리케이션 로그에, 관리자 행위는 별도 콘솔에, 데이터 조회는 데이터베이스에 남긴다. 서비스 계정은 더 취약하다. 사람이 쓰지 않는다는 이유로 다중인증, 만료, 소유자 지정, 정상 사용 시간대 관리에서 빠지기 쉽다. 그러나 서비스 계정은 넓은 권한과 긴 수명을 갖는 경우가 많다. 계정 자체보다 ‘누가 어떤 권한으로 어떤 자산과 데이터에 연결했는가’를 추적하는 구조가 필요하다.

셋째는 기준선 없는 경보다. 실패한 로그인 수만 세는 경보는 인터넷에 노출된 서비스에서 금세 소음이 된다. 위험도는 행위의 희귀성뿐 아니라 자산의 중요도, 계정의 권한, 접근한 데이터의 민감도, 외부 노출 여부, 다른 신호와의 연쇄를 함께 반영해야 한다. 같은 비정상 로그인이라도 일반 계정의 한 번의 실패와, 휴면 관리자 계정이 외부에서 성공한 뒤 권한을 바꾸는 일은 대응 순서가 다르다. 경보를 줄인다는 말은 경보를 끈다는 뜻이 아니라, 조사할 수 있는 우선순위로 바꾼다는 뜻이다.

넷째는 너무 짧거나 믿을 수 없는 기록이다. 수개월 뒤 발견된 침해사고의 범위를 재구성하려면 침입 시점 이전·이후의 기록이 필요하다. 보존 기간이 짧거나, 저장 용량이 차면 덮어쓰거나, 공격받은 서버에만 로그가 있고 중앙으로 보내지지 않았다면 조사 시작 전부터 증거가 사라진다. 로그를 변경·삭제할 권한을 최소화하고, 운영 서버와 분리된 저장소에 보내며, 접근 자체를 감사하는 이유가 여기에 있다. NIST는 사고 대응을 탐지·분석·봉쇄·제거·복구를 포함한 역량으로 보고, 사고 관련 정보가 여러 감시 원천에서 나올 수 있음을 강조한다. 출처: NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management

‘주변부’를 다시 등급화하는 실무 점검

보안 예산을 늘리지 못하는 조직도 우선순위는 바꿀 수 있다. 첫 단계는 외부 노출 서비스의 현실을 확인하는 것이다. 자산관리 문서와 실제 인터넷 노출 목록을 대조하고, 등록 도메인·인증서·클라우드 계정·위탁 운영 계약·방화벽 규칙에서 빠진 대상을 찾는다. 서비스마다 책임자를 한 명의 실명 역할로 지정하고, 장애 연락처뿐 아니라 취약점 조치와 사고 판단의 책임도 명확히 한다.

다음 단계는 데이터 중심으로 등급을 매기는 일이다. ‘교육’이라는 업무 명칭이 아니라 사용자 집단, 보유 정보, 계정 재사용 위험, 외부 연동, 관리자 권한, 다운로드 가능 범위를 본다. 예컨대 재외공관 인력과 같이 표적 가치가 높은 사용자가 모이고, 개인 식별 정보와 인증 정보가 있으며, 외부 로그인과 관리자 기능이 결합된 서비스라면 단순 사내 게시판보다 높은 감시 수준이 필요하다. 이 원칙은 공공기관뿐 아니라 고객센터, 채용, 파트너 포털, 임직원 복지 플랫폼에도 그대로 적용된다.

세 번째는 권한을 일회성 설정이 아니라 지속적으로 검토하는 대상에 두는 것이다. 관리자 계정은 개인별로 분리하고, 공용 계정 사용을 줄이며, 임시 권한에는 종료 시점을 둔다. 퇴직·휴직·부서 이동 계정은 인사 변화와 자동으로 대조한다. 서비스 계정에는 소유자, 용도, 허용된 호출 위치와 시간, 권한 범위를 기록한다. 최소 권한은 “필요한 권한만 준다”는 선언이 아니라, 필요가 끝나면 회수되고 예외가 드러나는 운영 과정이다.

네 번째는 중요 데이터 접근을 ‘로그인 성공’과 분리해 기록하는 것이다. 적어도 민감한 테이블·파일·내보내기 기능에 대해 누가, 어떤 권한으로, 얼마나 많은 대상을, 어떤 방식으로 읽거나 변경했는지 확인할 수 있어야 한다. 모든 사용자의 모든 화면 이동을 수집하라는 뜻은 아니다. 개인정보와 권한이 만나는 고위험 작업부터 시작해 비용과 프라이버시 부담을 통제해야 한다.

탐지 체계는 제품 묶음이 아니라 조사 흐름으로 설계한다

많은 조직이 “통합관제 도입”을 해결책처럼 말한다. 그러나 도입 전 답해야 할 질문은 더 단순하다. 야간에 외부에서 관리자 계정 로그인이 성공했을 때 누가 무엇을 확인하는가. 그 사람이 자산 소유자, 최근 권한 변경, 해당 계정의 통상 접속 위치, 데이터 접근량, 외부 통신을 일정 시간 안에 볼 수 있는가. 확인 결과가 의심스러우면 계정을 중지할 권한은 누구에게 있으며, 서비스 중단 판단과 법무·개인정보·대외 커뮤니케이션은 어떻게 이어지는가.

이 질문에 답하지 못하면 도구는 경보만 더 만든다. 반대로 아래 흐름이 정의돼 있으면, 조직 규모에 맞는 도구 조합으로 시작할 수 있다.

외부 노출 자산 변경 또는 고위험 인증
        ↓
자산 소유자·데이터 등급·계정 권한을 자동으로 함께 조회
        ↓
서버·애플리케이션·데이터 접근·네트워크 기록을 같은 시간축으로 묶음
        ↓
정상 기준선과 비교해 조사 우선순위 결정
        ↓
계정 중지·세션 종료·접근 차단·증거 보존을 병행
        ↓
영향 범위 확정, 신고·통지 판단, 재발 방지 통제 반영

이 과정에서 정상 기준선은 고정된 숫자가 아니다. 월말 대량 교육 등록, 해외 근무자의 시간대, 정기 배치 작업처럼 합법적이지만 평소와 다른 업무가 있다. 운영팀·업무 부서·보안팀이 예외를 문서화하고 주기적으로 갱신해야 한다. 기준선은 자동화의 입력값이지 사람의 판단을 없애는 장치가 아니다.

중앙 로그 저장도 설계가 필요하다. 인증, 운영체제, 애플리케이션, 데이터베이스, 네트워크, 클라우드 관리 기록을 모두 한 저장소에 모으는 것이 목적이 아니라 공통 식별자와 사건 질문에 맞춰 검색 가능하게 만드는 것이 목적이다. 고위험 이벤트부터 보존 품질을 검증하고, 실제 모의 조사에서 ‘6개월 전 관리자 계정이 무엇을 했나’를 재구성해 본다. CISA는 서버·방화벽·단말·클라우드 서비스에서 적절한 상세 로그를 수집하고, 고위험 이벤트에 경보를 두며, 로그 접근·삭제를 제한하고 보존 정책을 마련하라고 권고한다. 출처: CISA, Use Logging on Business Systems

eBPF는 만능 열쇠가 아니라 독립 관측의 한 사례다

최근 보안 논의에서 eBPF 같은 커널 수준 관측 기술이 자주 언급된다. 이를 간단히 말하면, 애플리케이션이 스스로 남기는 로그만 보지 않고 운영체제 가까운 층에서 프로세스 실행, 파일 접근, 네트워크 연결 같은 행위를 관찰할 수 있게 하는 방법의 하나다. 애플리케이션 로그가 빈약하거나 공격자가 로그를 조작할 가능성이 있는 경우, 이런 독립적인 관측 층은 보완 수단이 될 수 있다.

하지만 이 사건의 해답을 eBPF로 단정하는 것은 부정확하다. 외교부 시스템에 어떤 제품과 기록 체계가 있었는지, 커널 수준 관측이 있었다면 어떤 행위를 볼 수 있었는지 공개되지 않았다. 커널 관측은 성능·운영 복잡도·개인정보·대상 운영체제·분석 역량을 함께 고려해야 하는 기술 선택이다. 더 중요한 원칙은 관측 지점이 하나뿐이지 않게 하는 것이다. 웹 애플리케이션의 자체 기록만 믿지 말고, 인증·네트워크·데이터·운영체제 등 서로 다른 층의 증거를 교차 확인할 수 있어야 한다.

실무자가 이번 분기에 해야 할 일

대책을 거대한 전환 프로젝트로 시작할 필요는 없다. 대신 확인 가능한 결과물을 남겨야 한다. 첫 30일에는 외부 노출 자산의 실제 목록을 만들고, 각 항목에 시스템 소유자·데이터 등급·인증 방식·로그 수집 상태·사고 연락처를 붙인다. 목록에 없는 자산을 찾는 과정이 목록을 채우는 일보다 중요하다.

그다음 30일에는 고위험 계정과 데이터를 연결한다. 관리자, 서비스, 휴면, 퇴직·이동 예정 계정을 우선 대상으로 삼고, 각 계정이 접근 가능한 서비스와 데이터, 최근 권한 변경, 정상 접속 위치·시간을 확인한다. 개인정보를 담은 시스템에서는 조회·내보내기·권한 변경에 대한 감사 기록이 실제로 남고 검색되는지 시험한다. 정책 문서가 아니라 한 계정의 과거 행위를 추적하는 연습이 필요하다.

마지막 30일에는 탐지와 대응을 합동 훈련한다. ‘외부에서 관리자 계정이 로그인한 뒤 대량 조회가 발생했다’처럼 확인 가능한 가상 상황을 정해 보안, 인프라, 서비스 운영, 개인정보, 법무·홍보 담당자가 함께 움직여 본다. 누가 로그를 열람하는지, 누가 서비스 차단을 승인하는지, 증거를 어디에 보존하는지, 이용자 통지와 관계기관 신고 판단을 누가 시작하는지를 시간순으로 적는다. NIST는 대응 역량에 준비뿐 아니라 탐지·분석, 봉쇄, 제거, 복구를 포함시키며 조직 내 여러 기능의 조정을 강조한다. 출처: NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management

경영진과 공공기관 사업 담당자가 볼 지표도 바꿔야 한다. ‘로그 수집률’은 시작점일 뿐이고, 다음과 같은 질문이 더 유용하다.

• 외부에 노출된 자산 중 소유자·데이터 등급·패치 책임자·로그 상태가 모두 확인된 비율은 얼마인가.
• 고위험 관리자·서비스 계정의 최근 권한 사용을 한 화면 또는 한 조사 흐름에서 확인할 수 있는가.
• 중요 데이터 조회와 내보내기에 대해 사용자·시간·권한·대상·결과를 재구성할 수 있는가.
• 수개월 전 가상 침해의 흔적을 실제 로그로 추적할 수 있는가.
• 고위험 경보가 발생했을 때 조사 착수, 격리, 영향 평가, 의사결정까지의 책임자가 사전에 정해져 있는가.

이 지표는 특정 제품의 대시보드 수치가 아니라 조직이 보안 사각지대를 줄였는지를 묻는다. 결과가 나쁘다고 해서 곧바로 실패는 아니다. 모른다는 사실을 수치로 드러내는 것이야말로 보안 개선의 첫 단계다.

예방 중심 보안에서 ‘발견 가능한 조직’으로

국립외교원 사건은 한 기관의 기술적 과실을 확정하는 자료가 아니다. 공개된 정보만으로는 공격의 세부 경로와 내부 대응의 모든 판단을 알 수 없다. 그러나 이 사건은 비핵심으로 보이는 교육 시스템도 고가치 인물·계정 정보가 모이면 중요한 공격 표적이 된다는 사실, 그리고 외부의 이상 징후 통보가 장기 잠복 공격의 첫 인지가 될 수 있다는 사실을 분명히 보여준다. 외교부는 이번 사건을 계기로 신규 시스템에 표준화된 인프라·보안 통제를 적용하고, 보안점검과 실시간 모니터링을 강화해 선제적으로 대응하겠다는 계획을 밝혔다. 이는 예방만이 아니라 발견 역량을 함께 키우겠다는 방향과 맞닿아 있다. 출처: 외교부, 국립외교원 온라인교육시스템 사이버 공격 관련 보도자료, 외교부, 7월 28일 대변인 정례브리핑

모든 제로데이를 미리 막겠다는 목표는 현실적이지 않다. 패치와 안전한 설계, 인증 강화, 권한 최소화는 계속해야 한다. 하지만 그 목표만으로 보안 성숙도를 판단하면 침입 이후의 시간을 놓친다. 이제 조직은 “침입이 성공했는가”와 함께 “침입 이후의 행동을 설명할 수 있는가”를 물어야 한다. 서버, 계정, 권한, 데이터, 네트워크의 신호가 연결되지 않는 곳이 진짜 사각지대다.

마지막으로 기억할 문장은 간단하다. 제로데이는 공격자가 어떻게 들어왔는지를 설명하지만, 약 10개월 동안 왜 발견되지 않았는지까지 설명해주지는 않는다.

참고 출처

• [공식자료·2026-07-20] 외교부, 국립외교원 온라인교육시스템 사이버 공격 관련 보도자료
• [공식자료·2026-07-20] 외교부, 전·현직 외교부 본부 및 재외공관 근무 직원과 그 밖의 인력의 개인정보 유출 정황 안내 공지
• [공식자료·2026-07-21] 외교부, 대변인 정례브리핑
• [공식자료·2026-07-23] 외교부, 대변인 정례브리핑
• [공식자료·2026-07-28] 외교부, 대변인 정례브리핑
• [공식자료·2025-04-03] NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management
• [공식자료] CISA, Use Logging on Business Systems
• [2차 보도] Bitdefender, South Korea Diplomatic Academy Breach