대통령 개인정보, 해외서 샜나…유출 파일 작성자명 ‘Bruno’
3일 중앙일보 취재를 종합하면, 지난 6월 이 대통령 부부와 정부 주요 인사, 청와대·외교부 직원, 대통령경호처 경호원, 청와대 출입기자 등 168명의 국문·영문 이름과 소속·직책, 생년월일, 여권번호, 여권 발급·만료일 등이 공개된 곳은 구글의 유료 악성코드 검사 플랫폼 ‘바이러스토털’이다. 사용자가 의심스러운 파일이나 인터넷 주소(URL) 등을 올리면 악성코드 등에 의한 감염 여부를 검사하는데, 가격은 연간 7만5000~110만 달러(약 1억~15억원)에 달한다. 별도의 보안 프로그램을 설치하지 않고도 감염 여부를 확인할 수 있어 기업과 기관의 보안 담당자 사이에 널리 쓰이는 것으로 알려졌다.
유출 문서는 외교부 양식으로 밝혀졌다. 외교부 관계자는 이날 “외교부 엑셀 문서 형식은 맞다”고 말했다. 다만 순방 대상국 재외공관 등에도 명단이 공유된 만큼 해외 유출 가능성도 배제할 수 없다. 특히 유출된 일부 파일 작성자명에 벨기에 이름인 ‘Bruno’가 표시돼 현지 유출 가능성도 제기된다. 문제는 해당 플랫폼에서 검사한 자료가 전 세계의 백신 업체와 유료 회원 등에게 실시간으로 공유된다는 점이다. 바이러스토털은 모든 정보를 투명하게 공개하면서 보안 위협에 공동 대응하는 ‘집단지성 방식’으로 운영된다. 이렇게 공개된 정보는 전 세계 보안 전문가들의 변종 악성코드 연구나 보안 업체의 백신 개발 등에 쓰인다.
이 같은 플랫폼 특성상 담당자가 바이러스토털의 작동 방식을 제대로 모른 채 악성코드 검사를 진행했을 것이라는 추측이 나온다. 황석진 동국대 국제정보보호대학원 교수는 “악의를 가지고 내부 정보를 탈취한 해커가 이를 전 세계 공유 플랫폼에 올렸을 가능성은 크지 않다”며 “해킹보다는 내부 관계자의 보안 인식 부족이나 업무상 실수로 발생했을 가능성이 있다”고 말했다.
보안 담당자가 인지하지 못하는 상황에서 내부 보안 시스템이 파일을 자동으로 올렸을 가능성도 제기된다. 외교부 측은 “사이버보안팀 이메일 시스템 긴급 점검에서 특별한 비정상 접근 이력을 확인하지 못했다”고 했다. 외부 해킹보다는 보안 프로그램이 외부 수신 메일이나 첨부파일 등을 의심스럽다고 판단해 자동으로 검사를 맡겼을 수 있단 분석이다. 염흥열 순천향대 정보보호학과 명예교수는 “내부자의 실수일 경우 보안 인식 교육을, 보안 솔루션 문제일 경우 제품을 즉각 개선해야 한다”고 말했다. 장항배 중앙대 산업보안학과 교수는 “해당 문서가 암호화되지 않은 평문이었다는 것도 이해하기 어렵다”며 “보안 관리의 통제권 자체에 문제가 있는 상황”이라고 지적했다.
오삼권.윤지원([email protected])