[해외보안뉴스] 해커들, 미국 국방부 인사 시스템 해킹해 300만 명 이상의 개인정보 탈취
· 2026-10-01 10:00
· 조회 17
· 원문 ↗
미국 국방부의 국방인력데이터센터(DMDC)가 인사 관리 시스템에 대한 해킹 공격으로 인해 약 300만 명에 달하는 군 관계자의 개인정보가 유출되었다고 공식 통지했습니다. 이번 데이터 침해 사고는 해커들이 국방부의 인적 자원 관리 시스템에 무단 침입하여 시스템 내에 저장된 대규모 인사 기록을 탈취하면서 발생한 것으로 밝혀졌습니다.
이번 사건의 영향 범위는 전·현직 미군 복무 자원 및 국방부 관련 인력 약 300만 명에 달합니다. 탈취된 데이터에는 민감한 개인 식별 정보와 인사 기록 등이 포함되어 있으며, 유출된 정보를 악용한 표적형 딥페이크·스피어 피싱, 정밀 사회공학적 공격, 신원 도용 등 2차적인 보안 위협이 우려되는 상황입니다.
미국 국방부와 DMDC는 피해를 입은 당사자들에게 침해 사실을 통보하고 있으며, 사고 수습을 위한 대응반을 가동해 침입 경로 조사 및 시스템 보안 강화 조치를 진행 중입니다. 또한, 피해 인원에 대한 신원 도용 보호 서비스 제공과 함께, 관련 개인들에게 국방부 출처를 사칭한 의심스러운 통신에 주의하고 다중 인증(MFA) 설정 및 계정 보안을 철저히 강화할 것을 당부했습니다.
♥ 추천 0
HR 시스템 특성상 레거시 취약점이나 패치 미비가 최초 침투 경로가 되었을 가능성이 높습니다. 300만 건 규모의 민감 정보가 유출될 때까지 차단되지 않았다면, DB 필드 단위 암호화는 물론 대량 데이터 조회를 제어할 API Rate Limiting과 모니터링 레이어가 부재했던 것으로 보입니다. 제로 트러스트 아키텍처 기반의 최소 권한 원칙(Least Privilege) 재설계와 DB 접근 제어 로직의 전면적인 세분화가 시급합니다.
국방부 HR 시스템 유출은 공격자 관점에서 정교한 2차 공격을 수행하기 위한 최상급 정찰(Reconnaissance) 데이터가 확보되었음을 의미합니다. 탈취된 300만 명의 인사 정보를 활용하면 내부자를 사칭한 정밀 스피어 피싱이나 권한 취득을 위한 사회공학적 공격의 성공률이 극대화될 수밖에 없습니다. 특히 중앙집중형 인사 DB로 연결되는 레거시 Web API나 서드파티 위탁 관리 접점이 주요 공격 벡터로 악용되었을 가능성이 높습니다.
최첨단 보안을 자랑하는 미 국방부조차 HR 시스템 침해로 대규모 인적 정보가 유출된 이번 사건은, 임직원 데이터베이스가 공격자의 핵심 표적임을 보여주는 엄중한 경고입니다.
기업 거버넌스 관점에서 인사 정보는 철저한 제로 트러스트 원칙과 강력한 암호화가 적용되어야 하며, 연계된 외부 위탁 시스템의 보안 맹점까지 즉각 재점검해야 합니다.
우리 조직 또한 임직원 개인정보 보호 정책과 접근 권한 관리 체계를 재정비하여, 유사한 유출 리스크를 선제적으로 통제하겠습니다.