Hacking of the diplomats' personal data could have serious consequences (KOR)

Jang Seok-kwang

The author is the general secretary of the Academy of National Intelligence.

Last month, reports emerged that the online training system of the Korea National Diplomatic Academy (KNDA) had been hacked, exposing the names, departmental affiliations, job titles and email addresses of up to 10,000 current and former diplomats, as well as government officials stationed at various ministries. The Ministry of Foreign Affairs stated that sensitive personal information, including resident registration numbers, mobile phone numbers and home addresses, was not stored in the system and was not compromised. At first glance, this may appear to be a limited incident. But the more important question is not what information was leaked, but what can be done with it.

During the 1980s and 1990s, while investigating espionage cases, I encountered numerous directives issued by North Korean intelligence agencies. Many contained assessments of future leaders, government policy directions, and influential figures within civic organizations. What mattered to them was not an individual’s basic profile, but the network of relationships: how power moved, who influenced whom and how future centers of power might form.

Following the Sept. 11 terrorist attacks in 2001, the United States adopted a similar approach in its decade-long search for Osama bin Laden. For years, U.S. intelligence failed to locate him because he avoided digital communication. Eventually, the Central Intelligence Agency (CIA) reframed the question. Instead of asking “Where is bin Laden?” it asked, “Who is connected to bin Laden?” The agency focused on his trusted courier. By tracing the courier’s connections and mapping the relationships among people, the CIA ultimately identified bin Laden's hideout.

The nature of intelligence warfare is undergoing a fundamental transformation. In the past, intelligence operations centered on acquiring military secrets or classified diplomatic documents. Today, cognitive warfare and influence operations have emerged as major battlefields.

This shift is also evident in real-world military and intelligence operations. The United States has employed AI for intelligence analysis and social network analysis in operations related to Venezuela and Iran. In Venezuela, AI integrated massive volumes of data to analyze relationships among individuals and organizations. In Iran, AI modeled the country’s integrated air defense system as a single network, supporting target prioritization and operational decision-making.

The names, affiliations, job titles and email addresses of the 10,000 individuals exposed in the KNDA breach may not appear to constitute highly sensitive personal information when viewed individually. From an intelligence perspective, however, each represents a potential point of departure. AI can combine leaked data with public information and previous breaches to reconstruct professional connections, institutional links and patterns of influence.

The real problem begins here. When datasets leaked at different times and from different sources are combined within a single analytical environment through the integration of multiple data sources, or “data fusion,” entirely new relationships emerge — relationships that were invisible when each dataset was viewed separately. In the AI era, the value of information is determined less by its volume than by its connectivity. South Korea has already experienced repeated large-scale data breaches involving telecommunications companies, credit card firms and logistics providers. Analysts also note that vast quantities of personal information concerning South Korean citizens are circulating on the dark web. If the KNDA data were combined with these existing leaked datasets, the implications could escalate to an entirely new level.

The critical issue is therefore not that several thousand records of personal information were leaked. Rather, it is that once scattered fragments of data are connected into a comprehensive relational network, they can generate entirely new intelligence capable of revealing the structure of the nation's diplomatic and security networks, its patterns of influence and even the future flow of decision-making.

This trend is already visible much closer to home. In my own case, during the past month alone, five phishing emails impersonating me were sent to national security research institutes and experts. These emails were disguised as legitimate materials on current security issues, bearing subject lines such as one seeking survey participation and another that read “The Impact of the Deepening North Korea-Russia Relationship on the Korean Peninsula.” Conversely, I myself have received multiple phishing emails impersonating research institutes and colleagues with whom I regularly communicate.

No single incident is sufficient to conclude that a particular country or organization was responsible. Nevertheless, Microsoft’s assessment that state-sponsored cyber operations are increasingly targeting not only government agencies but also research institutions, academic organizations, and expert communities suggests that these incidents should not be dismissed lightly. If such attacks are intended to complement intelligence collection against government institutions, hackers are likely to be less interested in individual researchers than in the people and institutions they connect — and in the network itself.

Just before I finished writing this article, I received another message from a senior colleague, K. He told me he had once again received a phishing email impersonating me. For a brief moment, I could only laugh in disbelief before regaining my composure. As the old Korean saying goes, “When flowers fall, one should not blame the wind.”

In cybersecurity, the attacker almost always enjoys the advantage. Attackers can use AI to launch tens of thousands of attacks at minimal cost, while defenders must invest enormous resources to prevent even a single successful intrusion. Most organizations therefore cannot pursue maximum security; they can only afford acceptable security. New technologies are almost always adopted first by attackers, which is why it remains virtually impossible to prevent hacking completely.

The essential question raised by the KNDA cyberattack is not what information was leaked, but what can be done with that information. In the age of AI, the essence of hacking is no longer stealing files — it is reading and reconstructing networks of relationships. What we must ultimately protect is not merely our computers, but our nation’s trust and the networks upon which it depends.

무서운 결과로 이어질 수 있는 국립외교원 교육시스템 해킹

장석광 국가정보연구회 사무총장

지난달 중순 국립외교원 온라인 교육시스템이 해킹돼 전·현직 외교관과 정부 부처 주재관 등 최대 1만여 명의 성명, 소속 부서, 직책, 이메일 등이 유출되었다는 보도가 나왔다. 외교부는 주민등록번호와 휴대전화번호, 주소 등 민감한 개인정보는 저장되지 않았으며 유출되지도 않았다고 설명했다. 설명만 들으면 그나마 다행으로 보인다. 그러나 정보적 관점에서는 조금 다른 질문을 던질 수 있다. 필자는 ‘무엇이 유출되었는가’보다 ‘그 정보로 무엇을 할 수 있는가’를 먼저 생각한다. 정말 불행 중 다행일까?

1980~90년대 필자가 간첩 사건을 수사하는 과정에서 접했던 북한 공작기관의 지령에는 ‘OOO의 차기 대통령 당선 가능성’ ‘차기 정부의 대북정책’ ‘학생운동의 전망’ ‘재야단체에서 가장 영향력 있는 인물’ 등에 관한 내용이 적지 않았다. 북한이 관심을 가진 것은 개인의 신상정보나 일상적인 개인정보가 아니었다. 그들이 알고 싶었던 것은 권력이 어떻게 움직이고, 누가 누구에게 영향을 미치며, 미래의 권력이 어떤 방향으로 형성될 것인가 하는 관계망(Network)이었다.

2001년 9·11 테러 이후 미국 역시 같은 방식으로 오사마 빈 라덴을 추적했다. 미국은 10년 가까이 빈 라덴을 찾지 못했다. 그는 휴대전화를 사용하지 않았고 인터넷에도 접속하지 않았다. CIA는 질문을 바꾸었다. ‘빈 라덴은 어디 있는가’가 아니라 ‘빈 라덴과 연결된 사람은 누구인가’였다. CIA가 주목한 것은 빈 라덴의 전령(Courier)이었다. CIA는 전령을 중심으로 사람과 사람의 연결 관계를 추적했고, 그 관계망을 따라가면서 마침내 그의 은신처를 찾아낼 수 있었다.

정보전의 성격이 근본적으로 바뀌고 있다. 과거 정보전의 중심이 군사기밀이나 외교문서를 확보하는 데 있었다면, 오늘날에는 인지전(Cognitive Warfare)과 영향공작(Influence Operations)이 중요한 전장으로 부상하고 있다. 이제 정보기관이 알고자 하는 것은 단순히 누가 어떤 정보를 가지고 있는가가 아니다. 누가 누구에게 영향을 미치는지, 누가 여러 조직을 연결하는 핵심 허브인지, 어떤 네트워크를 통해 정책과 여론, 의사결정이 형성되는지를 이해하는 일이 더 중요해졌다.

이런 변화는 실제 군사·정보작전에서도 나타나고 있다. 미국은 베네수엘라와 이란 관련 작전에서 AI를 정보분석과 관계망 분석에 활용했다. 베네수엘라에서는 방대한 정보를 종합해 사람과 조직 사이의 관계를 분석했고, 이란에서는 방공망 전체를 하나의 네트워크로 분석해 표적 우선순위 설정과 의사결정을 지원했다.

북한 간첩 지령에 관계망 관련 다수

국립외교원에서 유출된 1만 명의 이름과 소속·직책·이메일은 개별적으로 보면 민감한 개인정보라고 보기도 어렵다. 그러나 정보적 관점은 다르다. 그것은 1만 개의 출발점이다. AI는 이름 하나를 출발점으로 유출 데이터와 공개자료를 연결해 하나의 관계망으로 재구성한다. 개별적으로는 별 의미 없어 보이는 이름과 이메일도 서로 연결되는 순간 국가의 외교·안보 네트워크를 보여주는 하나의 지도가 될 수 있다.

문제는 여기서부터다. 서로 다른 시기, 서로 다른 출처에서 유출된 데이터가 하나의 분석 환경에서 융합(Data Fusion)되는 순간 개별 정보에서는 보이지 않던 새로운 관계가 드러난다. AI 시대에는 정보의 양보다 정보 사이의 연결성(connectivity)이 정보의 가치를 결정한다. 이미 국내에서는 통신사와 카드사, 물류회사 등에서 대규모 개인정보 유출이 반복됐고, 다크 웹에는 방대한 한국인 관련 개인정보가 유통되고 있다는 분석도 있다. 외교원의 자료가 이러한 기존 유출 데이터와 결합한다면 문제는 완전 새로운 차원으로 확대될 수 있다.

중요한 것은 개인정보 몇 건이 유출되었다는 사실이 아니다. 흩어진 데이터 조각들이 하나의 관계망으로 연결되는 순간 국가의 외교·안보 인적 네트워크와 영향력 구조, 나아가 미래의 의사결정 흐름까지 추론할 수 있는 새로운 정보가 만들어질 수 있다는 점이다.

이런 변화는 이미 우리 주변에서도 나타나고 있다. 필자의 경우에도 지난달 한 달 동안만 필자를 사칭한 이메일이 다섯 차례 안보 관련 연구기관과 전문가들에게 발송되었다. 메일은 ‘OOO 관련 설문 공유’ ‘최근 북한과 러시아 관계 심화가 한반도에 미치는 영향’ 등 실제 안보 현안을 다루는 자료처럼 꾸며져 있었다. 반대로 필자 역시 평소 교류하던 연구기관과 지인을 사칭한 피싱 메일을 여러 차례 받았다.

미국, 이란 작전서 융합 기법 활용

개별 사례만으로 특정 국가나 조직의 개입을 단정할 수는 없다. 그러나 국가 지원 해킹의 표적이 정부기관을 넘어 연구·학술 분야와 전문가 집단으로 확대되고 있다는 마이크로소프트의 분석을 함께 놓고 보면 가볍게 넘길 일도 아니다. 만약 이런 공격이 국가기관에 대한 정보수집을 보완하기 위한 활동이라면, 해커의 관심은 연구자 개인보다 그가 연결하고 있는 사람과 기관, 그리고 그 네트워크 자체에 있을 가능성이 크다.

원고를 마무리하던 조금 전에도 K선배로부터 연락이 왔다. 필자를 사칭한 피싱 메일을 또 받았다는 내용이었다. 순간 허탈한 웃음이 나왔지만, 곧 마음을 다잡았다. “꽃이 지기로서니 바람을 탓하랴.”

해킹에서 공격은 언제나 방어보다 유리하다. 공격자는 AI를 이용해 적은 비용으로 수만 번의 공격을 시도하지만, 방어자는 단 한 번의 침입도 막기 위해 막대한 비용을 투입해야 한다. 그러나 대부분의 조직은 ‘최대한의 보안’이 아니라 ‘감당 가능한 수준의 보안’을 선택할 수밖에 없다. 새로운 기술은 언제나 공격자가 먼저 활용한다. 해킹을 완벽하게 막기 어려운 이유다.

국립외교원 해킹에서 중요한 것은 무엇이 유출되었느냐가 아니라 그 정보로 무엇을 할 수 있느냐이다. AI 시대 해킹의 본질은 파일을 훔치는 것이 아니라 관계망을 읽는 데 있다. 우리가 지켜야 할 것은 컴퓨터가 아니라 국가의 신뢰와 관계망이다.