네팔 정부, 유출 계정 조회 서비스 HIBP에 47번째로 합류...국가사이버보안센터, 정부 도메인 이메일 유출 상시 감시 나서

[한국정보기술신문] 네팔 정부가 데이터 유출 조회 서비스 '해브 아이 빈 폰드(Have I Been Pwned·HIBP)'의 정부 전용 서비스에 47번째로 합류했다. HIBP를 운영하는 보안 전문가 트로이 헌트는 지난 3일 자신의 블로그를 통해 네팔 국가사이버보안센터(NCSC)가 네팔 정부 도메인을 HIBP가 보유한 유출 데이터와 대조해 감시할 수 있는 권한을 얻었다고 밝혔다. 이에 따라 NCSC는 정부 이메일 주소가 새로운 유출 사고에 포함됐을 때 이를 빠르게 확인하고 대응할 수 있게 됐다.

HIBP는 해킹 등으로 유출돼 인터넷에 퍼진 계정 정보를 한데 모아, 이용자가 자신의 이메일 주소가 유출됐는지 확인할 수 있게 해 주는 무료 서비스다. 헌트가 2013년 개인 프로젝트로 시작했으며, 현재는 세계에서 가장 널리 쓰이는 유출 확인 서비스로 자리 잡았다.

정부 서비스는 여기에서 한 걸음 더 나아간 형태다. 각국 정부 기관이 자국 정부 도메인 전체를 대상으로 유출 여부를 조회할 수 있도록 응용프로그램인터페이스(API)를 무료로 개방한 것이다. API는 다른 프로그램이 자동으로 데이터를 주고받을 수 있게 해 주는 연결 통로를 뜻한다.

개인 이용자가 이메일 주소를 하나씩 입력해 확인하는 방식과 달리, 정부 서비스는 도메인 단위로 한 번에 조회할 수 있어 대응 속도가 빠르다. 새로 확보된 유출 자료가 HIBP에 등록되는 과정에서 해당 정부 도메인이 포함돼 있으면 알림도 받는다.

헌트는 블로그에서 이번 조치가 "HIBP 정부 서비스가 만들어진 바로 그 목적"이라고 설명했다. 국가 사이버 대응 조직이 자국 정부 도메인의 유출된 자격증명과 침해 계정을 파악해 위협 감시와 사고 대응 역량을 강화하도록 돕는 것이 서비스의 취지라는 것이다.

이번에 권한을 받은 NCSC는 네팔의 국가 사이버보안 정책과 사고 대응을 총괄하는 기관이다. 정부 부처와 공공기관에 걸친 위협 정보를 수집하고, 침해 사고가 발생했을 때 조사와 복구를 지원하는 역할을 맡고 있다.

각국 대응 조직이 유출 계정 정보에 주목하는 이유는 자격증명 도용이 실제 침해 사고로 이어지는 경우가 많기 때문이다. 자격증명은 아이디와 비밀번호처럼 신원을 확인하는 데 쓰이는 정보를 말한다.

이용자가 여러 서비스에서 같은 비밀번호를 쓰는 일이 흔한 탓에, 한 곳에서 새어 나간 비밀번호가 다른 계정을 여는 열쇠가 되기도 한다. 공격자는 유출된 조합을 여러 사이트에 자동으로 대입해 계정을 탈취하고, 이렇게 확보한 공무원 계정을 발판 삼아 내부망에 접근하거나 기관 명의로 위장 메일을 보낸다.

이 때문에 유출 사실을 얼마나 빨리 파악하느냐가 피해 규모를 좌우한다. 유출된 계정을 조기에 확인하면 비밀번호를 강제로 바꾸거나 추가 인증을 적용해 공격이 실제로 이뤄지기 전에 차단할 수 있다.

헌트는 2018년 영국과 호주 정부를 시작으로 각국 국가침해사고대응팀(CERT·CSIRT)에 무료 접근 권한을 제공해 왔다. 미국은 2020년 사이버보안·기반시설보안국(CISA)을 통해 합류했고, 이탈리아와 폴란드, 인도네시아 등도 차례로 이름을 올렸다.

올해 들어서는 코스타리카가 42번째, 방글라데시가 43번째, 바하마가 44번째, 부탄이 45번째, 필리핀이 46번째로 참여했다. 네팔은 그 뒤를 이어 47번째가 됐다.

참여 요청이 늘면서 헌트는 2022년 별도의 심사 기준을 공개하기도 했다. 국가별 민주주의 지수 분류를 참고해, '권위주의 체제'로 분류된 국가의 요청은 받지 않겠다는 내용이다. 유출 데이터가 자국민 감시 등에 악용될 수 있다는 우려를 반영한 조치다.

네팔의 합류는 남아시아 국가들이 국가 차원의 사이버 대응 체계를 정비하는 흐름과도 맞닿아 있다. 최근 몇 달 사이 방글라데시와 부탄이 잇따라 HIBP 정부 서비스에 참여했고, 네팔도 뒤를 따랐다.

다만 조회 권한 확보 자체가 보안 수준을 끌어올리는 것은 아니라는 지적도 나온다. 헌트도 과거 글에서 정부에 제공되는 정보는 이미 공개된 도메인 검색 기능으로도 확인할 수 있는 것이며, 다만 확인 절차를 훨씬 수월하게 만들어 줄 뿐이라고 밝힌 바 있다.

결국 유출된 계정을 확인한 뒤 비밀번호 재설정과 다중인증 적용, 기관 내 통보 체계 정비 같은 후속 조치가 따라야 실질적인 효과를 볼 수 있다는 의미다. 네팔 NCSC가 확보한 감시 권한을 어떤 대응 절차로 연결하느냐가 앞으로의 과제로 남게 됐다.