세 사고는 한 가지를 말한다
최근 열흘 사이 드러난 보안 사고 세 건에서 뚫린 곳은 금고가 아니었다. 대통령 전용기 탑승자 명단은 악성코드 검사 사이트에 올라갔고, 바이낸스의 돈은 바이낸스 자체 시스템의 서명을 받아 나갔으며, 더존비즈온의 고객 데이터는 사고에 대비해 둔 백업 서버에서 빠져나간 정황이 확인됐다. 안전을 위해 둔 장치와 업무를 위해 믿고 열어 둔 경로가 사고 지점이 된 것이다.
성격은 분명히 다르다. FBI는 바이낸스 건을 북한 소행으로 지목했고, 외교부는 1호기 건을 해킹보다 유출로 본다. 더존비즈온 공격자는 밝혀지지 않았다. 그래도 세 사건을 함께 봐야 하는 이유는 대응이 같은 곳을 비켜 가기 때문이다. 이 글의 판단은 이렇다. '어디에 보관하느냐'를 묻는 보안으로는 이런 사고를 막을 수 없다. 이제 물어야 할 것은 '누가 어떤 경로로 내보낼 수 있느냐'이고, 사고가 나면 '누가 책임지느냐'다.
세 사고에서 지금까지 보도되거나 분석된 경로는 다음과 같다. 모두 조사 중이어서 확정된 원인은 아니다.
1호기 명단: "해킹이 아니다"는 더 나쁜 소식이다
이재명 대통령 부부와 장관, 경호관, 의료진, 기자 등 168명의 이름과 소속, 직책, 생년월일, 여권번호가 담긴 파일이 6월 2일부터 약 5개월간 악성코드 검사 사이트에 올라가 있었다. 파일은 6월 유럽 순방을 앞두고 악성코드 감염 여부를 확인하는 과정에서 올라간 것으로 추정되지만 경위는 확정되지 않았다. 정부 발표를 전한 코리아중앙데일리에 따르면 사이트는 VirusTotal이고, 유료 회원은 올라온 파일을 내려받을 수 있었던 것으로 전해졌다(아시아경제, 서울경제).
VirusTotal의 공식 문서는 숨기지 않는다. "제출된 파일의 내용은 프리미엄 고객에게도 공유될 수 있다"고 적혀 있다(VirusTotal). 2023년에는 이 회사 직원이 프리미엄 고객 5,600여 곳의 정보가 담긴 파일을 실수로 올린 일도 있었다(BleepingComputer). 검사기를 금고처럼 믿었다면 도구의 성격을 잘못 안 것이다.
외교부 대변인은 "해킹이라기보다는 유출로 파악하고 있다"고 했다(파이낸셜뉴스). 코리아중앙데일리는 외교부가 의전 부서 관리 문서가 고의로 유출됐는지도 내부 조사 중이라고 전했다. 어느 쪽이든 안심할 말이 아니다. 해킹이라면 뚫린 방어선을 고치면 되지만, 내부자가 절차대로 일하다 벌어진 일이라면 문제는 절차 자체일 수 있다. 그렇다면 이번 파일이 유일하다고 볼 근거도 없다. 정부가 할 일은 명단 한 건의 경위 조사로 끝나지 않는다. 다른 부처의 문서도 같은 경로로 나갔는지 함께 확인해야 한다.
대응의 초점도 어긋나 있다. 외교부는 168명의 여권을 재발급한다. 여권번호는 그렇게 바꿀 수 있지만 경호관과 의료진, 검식관이 누구인지는 바꿀 수 없다. 이 사건의 무게는 대통령의 여권번호보다 대통령 곁에 있는 사람들의 신원이 드러났다는 데 있다.
청와대와 외교부는 보도 전에 알았다고 말한다. 그러나 외교부는 언제 알았는지 명확히 답하지 않았고, 명단을 어느 부처들이 공유하는지도 답하지 않았다(파이낸셜뉴스). "사전 인지"는 인지 시점을 밝혀야 의미가 있다. 5개월의 노출 기간 가운데 정부가 알고도 조치하지 않은 시간이 있었는지가 책임의 핵심이기 때문이다. 임광현 비서실장이 "관계기관의 관리 책임" 규명을 주문한 만큼, 그 답부터 내놓아야 한다(파이낸셜뉴스).
국민의힘의 "적국이나 테러단체에 안방 문을 열어 줬다"는 비판은 책임을 묻는 말로는 정당하지만, 사실로 확인된 것은 아니다. 실제 악용은 아직 확인되지 않았고, 외교부는 지금까지 추가 확산 정황이 없다고 밝혔다(파이낸셜뉴스, 시사저널). 그렇다고 정부가 안도할 일도 아니다. 유료 회원이 내려받을 수 있었던 파일이 5개월간 있었다면, 누가 내려받았는지가 밝혀지기 전까지 '확산 정황 없음'은 잠정적인 말일 뿐이다. 경찰은 2일 저녁 외교부가 보낸 수사 의뢰 공문을 확인해 내사를 시작했다.
바이낸스: 키를 훔치지 않아도 돈은 나갔다
이미 전한 대로 10월 29일(UTC) 바이낸스에서 약 63억 달러가 빠져나갔다. Elliptic은 공격자가 개인 키를 훔친 것이 아니라 "바이낸스 자체 시스템이 거래에 서명하게 만들었다"고 분석했고, 바이낸스는 개발·운영 엔지니어의 노트북 침해 가능성을 초기 원인으로 들었다(Elliptic, CNBC).
이 분석이 맞다면 공격자는 금고를 부수지 않았다. 금고 문을 여는 정상 절차를 움직였다. 한국 규제의 대표 수단인 '이용자 자산 80% 이상 콜드월렛 보관'은 여전히 필요하지만, 온라인에 남은 자산이 그 절차로 빠져나가는 일까지 막아 주지는 않는다. 금융위가 2일 점검회의에서 콜드월렛 비중 상향과 함께 핫월렛 승인·서명 체계와 관리자 권한을 살핀 것은 맞는 방향이다(뉴시스). 다만 점검과 당부로 끝나면 안 된다. 서명 경로를 독립적으로 검증하도록 의무화해야 한다.
더존비즈온: 해지한 고객의 데이터가 왜 아직 거기 있었나
더존비즈온은 10월 16일과 21일 두 차례 침해 사고를 확인했다. 개발 서버에서는 직원의 VPN 계정을 이용한 무단 접근 정황이, 백업 서비스 'APO백업'에서는 공급사 솔루션 취약점을 통한 암호화 데이터 반출 정황이 나왔다. 과기정통부는 중대한 침해사고로 판단해 민관합동조사단을 꾸렸다. 회사는 암호화 키가 유출된 정황은 없다고 밝혔고, 실제 유출 피해는 아직 확인되지 않았다(디일렉, 한국경제).
보도에 나온 세부 내용 가운데 두 가지가 눈에 띈다. 케이옥션은 5월 1일 백업 서비스를 해지했는데, 약 6개월 뒤에도 데이터가 서버에 남아 있었다. 위드유는 통지를 받았지만 이용한 서비스는 회사가 공지한 APO백업이 아니라 'Argos 2.0 EDM'이었다(디일렉). 앞의 사례는 지워야 할 데이터를 지우지 않으면 그것이 위험이 된다는 뜻이다. 뒤의 사례는 영향 범위가 처음 공지보다 넓을 수 있다는 신호로 읽힌다. 조사단은 이 두 가지를 먼저 밝혀야 한다.
가장 곤란한 쪽은 정보 주체다. ERP에는 이름, 주민등록번호, 급여 계좌가 들어가고, 연말정산 모듈을 쓰는 회사라면 가족 정보도 있을 수 있다(보안뉴스). 그러나 직원은 회사가 어떤 ERP를 쓰는지, 내 정보가 해지된 백업에 남아 있는지 알 길이 없다. 보도 기준으로 1일까지 유출 가능성을 통보받은 고객사는 10곳이다. 2024년 누적 고객사가 15만 곳이 넘는다는 회사에서 나온 첫 숫자일 뿐이다(중기이코노미).
세 사건 모두 '누구 책임인가'가 비어 있다
통로가 뚫리면 책임도 흐려진다. 금고 관리자는 분명하지만 통로는 여러 조직에 걸쳐 있기 때문이다.
- 사고 · 뚫린 통로 · 아직 답이 없는 질문
- 1호기 명단 · 악성코드 검사 사이트 · 누가 올렸나, 어느 부처가 공유했나, 정부는 언제 알았나
- 바이낸스 · 내부 서명 시스템 · 한국에서 같은 일이 나면 누가 얼마나 배상하나
- 더존비즈온 · VPN 계정, 백업 솔루션 · 더존, 고객사, 솔루션 공급사의 책임은 어떻게 나뉘나
바이낸스는 약 63억 4,000만 달러를 손실 보전용으로 잡았다. 그러나 이는 바이낸스의 재무 여력과 선택에 따른 것이다. 한국에서는 전자금융거래법의 무과실 배상 원칙이 가상자산 거래소에 적용되지 않고, 거래소의 전액 배상 의무도 명확하지 않다(헤럴드경제). 금융위가 검토 중이라는 무과실 배상책임은 디지털자산기본법에 담아야 한다. 배상 책임이 분명해지면 거래소가 서명 경로에 돈을 쓸 이유도 분명해진다.
그래서 무엇을 해야 하나
세 가지를 제안한다.
- 정부는 외부 검사 서비스 업로드를 전수 점검해야 한다. 공공 문서를 외부 검사기에 올리지 못하게 막고, 내부 검사 환경을 갖춰야 한다. 이번 파일 한 건의 담당자를 찾는 데서 끝나면 같은 일이 되풀이된다.
- 보관뿐 아니라 '삭제'를 감사해야 한다. 해지 고객 데이터가 언제 지워지는지 확인하는 것만으로도 다음 사고의 피해 규모를 줄일 수 있다.
- 거래소 규제의 무게 중심을 서명 경로와 배상 책임으로 옮겨야 한다. 콜드월렛 비율은 유지하되 그것만으로 안전하다고 평가해서는 안 된다.
이 글은 1호기 사건이 한 담당자의 실수로 정리될 가능성이 크다고 본다. 그렇게 끝나면 잘못된 결론이다. 실수 한 번에 대통령 경호 인력의 신원이 5개월이나 공개돼 있었고, 그동안 누구도 막지 못했다. 바로 그것이 고쳐야 할 문제다. 경찰 수사와 정부의 재발 방지 대책이 이 지점을 다루는지 계속 확인하겠다.
확인할 점
- 세 사고 모두 조사 중이며 원인이 확정되지 않았다. 바이낸스 공격 경로는 초기 설명과 Elliptic 분석에, 1호기 업로드 경위는 추정 보도에 기댄다. 외교부의 고의 유출 여부 내부 조사는 코리아중앙데일리 보도로 확인했고 원 발표문은 보지 못했다.
- 국내 보도 다수는 사이트 이름을 밝히지 않았다. VirusTotal이라는 이름은 정부 발표를 전한 코리아중앙데일리와 뉴스1 요약문에서 확인했다. 파일 이름은 보도마다 다르다('1호기 탑승자 명단', '탑승객 명단(대한민국-벨기에)').
- 더존비즈온의 급여·가족 정보는 제품에 담길 수 있는 항목이지 유출이 확인된 항목이 아니다. '고객사 15만 곳'도 피해 규모가 아니다.
- '다른 문서도 나갔을 수 있다', '위드유 사례는 범위가 더 넓다는 신호다', '한 담당자의 실수로 정리될 것이다'는 이 글의 판단이며 확인된 사실이 아니다.
갱신 기록
- 2026-11-03: 세 사고의 경로를 보여 주는 도표 추가
출처
- Presidential data breach may have been internal leak, Foreign Ministry says — 코리아중앙데일리
- 경찰, 공군 1호기 탑승자 정보 유출 내사 착수 — 아시아경제
- 경찰, 168명 개인정보 유출 내사 착수…외교부 수사의뢰 — 서울경제
- 1호기 탑승자 168명 여권 재발급…외교부 "해킹 아닌 유출" — 파이낸셜뉴스
- 靑, 대통령 순방단 개인정보 유출 긴급회의 — 파이낸셜뉴스
- "청와대, 北에 안방 열어줘"…1호기 탑승자 유출로 테러 우려 — 파이낸셜뉴스
- 대통령 전용기 탑승자 정보 노출 — 시사저널
- 대통령 부부 여권번호까지…168명 개인정보 수개월간 웹사이트 노출 — 경향신문
- How it works — VirusTotal
- VirusTotal apologizes for data leak affecting 5,600 customers — BleepingComputer
- The largest theft in history: North Korea likely behind the $6.4 billion Binance hack — Elliptic
- Binance resumes withdrawals following $6.3 billion hack — CNBC
- FBI blames North Korea for stolen billions from Binance — AP(ABC News)
- 금융위, '바이낸스 해킹' 관련 코인거래소 소집해 긴급 회의 — 뉴시스
- 바이낸스, 손실 다 책임진다는데…한국은 배상책임 '공백' — 헤럴드경제
- 더존비즈온 해킹, 고객사로 확산…10곳 유출 우려 긴급 공지 — 디일렉
- 정부, 더존비즈온 해킹 사고 조사 — 한국경제
- 급여 계좌부터 가족 주민번호까지…더존비즈온 해킹이 '중대 사고'인 이유 — 보안뉴스
- 더존비즈온 해킹 일파만파…中企 ERP 시장 공급망 보안 시험대 — 중기이코노미
이 글은 공개 출처를 바탕으로 AI가 자동 생성한 초안을 검토해 발행했으며, 중요한 판단 전에는 연결된 원문을 확인해야 합니다.