일본 디지털청은 11일 정부 공통 네트워크에 대한 불법 접속이 확인됐다고 밝혔습니다.
이 과정에서 정부 부처 직원과 관련 업무 종사자의 개인정보 약 24만 건이 유출됐을 가능성이 제기됐습니다.
확인된 범위와 아직 드러나지 않은 범위를 구분해 볼 필요가 있습니다.
3줄 요약
1. 정부망에서 개인정보 유출 가능성이 나왔습니다
2. 대상은 직원 등 약 24만 건입니다
3. 악용 여부는 아직 확인되지 않았습니다
이름·연락처·주소가 유출 가능 대상입니다
아사히신문 보도에 따르면, 일본 디지털청은 각 부처에 제공하는 핵심 네트워크 시스템인 가먼트 솔루션 서비스에 불법 접속이 있었다고 11일 밝혔습니다. 유출됐을 가능성이 있는 정보는 정부 직원 등의 이름, 이메일 주소, 전화번호, 주소입니다.
디지털청이 밝힌 대상 규모는 약 24만 건입니다. 네트워크를 이용하는 부처 직원과 독립행정법인 관계자 등의 정보가 18만9천 건, 이들 기관의 업무에 관여한 사업자 등의 정보가 5만7천 건으로 집계됐습니다. NHK도 디지털청 장관 회견을 통해 부처 직원 등의 개인정보가 24만 건 넘게 유출됐다는 내용을 보도했습니다.
다만 디지털청은 마이넘버, 금융기관 계좌정보, 연금번호는 포함되지 않았다고 설명했습니다. 개인정보 유출 가능성이 확인됐다는 사실과, 어떤 정보가 포함됐는지는 같은 문제 안에서도 구분해서 봐야 합니다. 이번 발표에서 확인된 항목은 신원과 연락처, 주소에 관한 정보이며, 정부가 밝힌 제외 항목까지 다른 개인정보가 함께 유출됐다고 단정할 근거는 없습니다.
5월 말 침입, 6월 대량 파일 접근 감지
디지털청 설명에 따르면 문제의 침입은 5월 하순께 시작된 것으로 파악됐습니다. 제3자가 조직 내부 네트워크에 접속하기 위한 VPN 장비의 취약점을 악용해 시스템 안으로 들어온 것으로 조사됐습니다. VPN은 외부에서도 조직의 내부망에 안전하게 연결하기 위해 쓰는 장비 또는 접속 방식입니다.
디지털청은 6월 네트워크 유지·운영 담당자 계정에서 서버의 많은 파일에 접근한 흔적을 감지한 뒤 조사를 시작했다고 밝혔습니다. 이후 해당 담당자 계정을 정지하는 조치를 취했다고 합니다. 이것은 침입 경로와 대응 조치에 대한 디지털청의 발표이며, 유출 정보가 실제로 어떻게 이용됐는지까지 뜻하지는 않습니다.
현재까지 정보 악용은 확인되지 않았다고 디지털청은 밝혔습니다. 그러나 이는 악용 사례가 발견되지 않았다는 발표이지, 유출 가능성이 제기된 정보가 전혀 외부로 나가지 않았다는 결론은 아닙니다. 유출 가능 대상 부처의 이름도 공개되지 않았습니다.
23개 기관이 쓰는 공통 업무 환경의 문제
이 네트워크는 2021년부터 도입됐으며, 농림수산성·내각부 등을 포함한 23개 기관과 15만4천 명이 이용해 왔습니다. 정부 공통의 네트워크 환경을 마련해 원격근무를 쉽게 하고 생산성과 보안 기능을 높이려는 목적이었습니다.
그래서 이번 사안은 한 기관의 개별 서비스 장애보다 넓은 범위를 가집니다. 여러 부처와 관련 기관이 함께 쓰는 업무 기반에서 발생한 접근 문제이기 때문입니다. 유출 가능 건수와 이용자 수가 서로 다른 것은 집계 대상이 다르기 때문으로 보도됐습니다. 전자는 유출 가능성이 있는 개인정보 건수이고, 후자는 네트워크 이용 기관 및 이용자 규모입니다.
마쓰모토 나오 디지털상은 11일 각의 뒤 기자회견에서 사안을 매우 무겁게 받아들이며 보안 대책을 더 강화하고 재발 방지에 힘쓰겠다고 사과했습니다. 현재 확인된 핵심은 대규모 개인정보의 유출 가능성과 침입 경로입니다. 악용 여부와 유출 대상 부처의 구체적 범위는 발표된 내용만으로 확정할 수 없습니다.