윤호중 행안부 장관 "정부 시스템, AI 해킹 시도 아직 없었다"

행안위 국감서 정부24 해킹 경위 추궁…산하 지역정보개발원 6GB 데이터 탈취도 도마에

6일 국회에서 열린 행정안전위원회 국정감사에서 윤호중 행정안전부 장관이 의원들의 질의에 답변하고 있다. 연합뉴스

윤호중 행정안전부 장관이 6일 국회 행정안전위원회 국정감사에서 "모든 정부 시스템에는 아직까지 AI(인공지능)를 이용한 해킹 시도는 없었다"고 밝혔다.

윤 장관은 이날 행안부 국정감사에서 조국혁신당 정춘생 의원이 올해 8월 발생한 '정부24' 해킹이 AI에 의한 것인지, 사람에 의한 것인지 묻자 보충 답변을 통해 이같이 말했다.

윤 장관은 "정부망은 일반 인터넷망과 망 분리 정책에 의해 완전히 분리돼 있고 일반에 공유되고 있는 부분이 약간 있을 뿐"이라며 "그 부분에 대해 주로 해킹 시도가 있는데 AI를 통한 해킹 시도는 지금까지 없었다는 점을 분명히 말씀드린다"고 밝혔다.

금융권에서 AI를 이용한 것으로 추정되는 정보유출 사고가 잇따르면서 공공 부문의 AI 해킹 가능성에도 관심이 커진 가운데 정부 시스템에서는 관련 시도가 확인되지 않았다는 설명이다.

앞서 정 의원은 정부24 해킹과 관련해 행안부의 해킹 사실 공지가 충분하지 않았고 개별 통지도 이뤄지지 않았다고 지적했다. AI를 이용한 해킹이 확산할 가능성에 대비해 정부 차원의 대응책을 마련해야 한다는 주문도 내놨다.

정 의원은 정부24가 개인정보 유출 사실을 알리는 팝업창을 30일간 게시한 뒤 삭제했다고 짚었다. 그는 "현재는 공지사항을 뒤져봐도 해킹 피해 사실에 대한 어떤 공식 기록도 남아 있지 않다"고 말했다. 행안부 측은 유출된 정보의 주체가 특정되지 않아 개별 통지가 어려웠다는 취지로 설명했다.

이날 국감에서는 행안부 산하 한국지역정보개발원(KLID)의 보안 부실도 집중 추궁을 받았다. 행안부 산하 한국지역정보개발원의 웹메일이 해킹돼 약 6GB 규모의 데이터가 탈취된 일이다.

이광희 더불어민주당 의원은 개발원이 2018년 이메일 시스템을 구축하면서 제거했어야 할 취약 프로그램을 그대로 뒀고, 이 프로그램이 8년 뒤 해커에게 악용됐다고 지적했다. 해당 프로그램은 OTP(일회용 비밀번호) 없이 아이디와 비밀번호만으로 접근할 수 있었다.

개발원은 자체 점검이 아닌 보안당국의 통보를 받고서야 조사에 나선 것으로 확인됐다. 유출 규모는 현재까지 6020명의 이메일 주소 또는 성명과 653개 파일(약 7GB)로 추정되며, 최종 규모는 확정되지 않았다.

우정민 한국지역정보개발원장은 "최초 구축 시 제거돼야 할 취약 프로그램이 존재했고, 이번 사고의 경로로 악용됐다"고 인정했다. 우 원장은 "임원 직속으로 정보기획단을 창설했다"며 "취약점 점검 행위를 상시적으로 할 예정"이라고 했다.

웹메일이 상용 패키지 소프트웨어인 만큼 같은 제품을 쓰는 다른 기관도 위험에 노출됐을 가능성이 있다. 웹메일 시스템은 사업비 1억원 미만의 소규모 사업이라 감리 대상은 아니었지만, 관련 지침에서는 안전성 확보를 위해 법정 대상이 아니어도 감리를 할 수 있도록 하고 있다.

한국지역정보개발원은 사고 직후 공격자의 IP를 차단하고 취약 프로그램을 제거했으며, 이상 징후 탐지를 위한 24시간 모니터링을 진행 중이라고 밝혔다.