일본 정부 여러 부처가 공동으로 사용하는 업무 시스템(GSS)이 해킹되어 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐습니다. 공격자는 인터넷에 연결된 VPN(가상 사설망) 장비의 이미 알려진 취약점을 이용해 내부 시스템에 침입했으며, 패치(보안 수정 프로그램)가 적용되기 전에 공격이 이루어졌습니다. 유출 가능성이 있는 정보는 공무원과 정부 업무 참여자의 이름·이메일·전화번호 등이며, 마이넘버나 금융계좌 같은 민감 정보는 포함되지 않은 것으로 확인됐습니다. 이번 사고는 CVSS(공통 취약점 점수 체계) 기준 '중간' 위험도로 분류된 취약점도 실제 공격에 악용될 수 있음을 보여주며, 제로트러스트 아키텍처를 도입했더라도 경계 장비의 취약점 관리가 여전히 중요하다는 교훈을 남깁니다. 국내 공공기관과 기업도 인터넷에 직접 노출된 VPN·방화벽 등의 패치 우선순위 기준을 재점검할 필요가 있습니다.
일본 디지털청이 운영하는 정부 공통 업무 시스템 GSS가 VPN 장비의 기공개 취약점을 통해 침해됐으며, 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐다. 이상 행위 최초 탐지는 6월 25일, 침입 경로 확인은 7월 9일, 공식 공개는 9월 11일이다.
정부기관 직원·공무원 약 18만9000건, 정부 업무 참여 사업자·개인 약 5만7000건 등 총 24만6000건의 개인정보(이름·이메일·전화번호·주소)가 유출 위험에 노출됐다. 마이넘버·금융계좌·연금번호는 포함되지 않았으며, 2차 피해는 현재 미확인 상태다.
인터넷에 노출된 VPN 장비의 이미 공개된 취약점이 패치 적용 전에 악용됐다. 해당 취약점의 CVSS 위험도는 '중간' 수준이었으나, 공격자는 패치 완료 전 시간을 틈타 침입했다.
침해된 계정 즉시 정지, 해당 VPN 장비 외부 통신 차단, 수정 프로그램 적용, 인증정보 변경 조치를 완료했다. 7월 15일 개인정보보호위원회에 보고했고, 피해 대상자에게 순차 개별 통지 중이다.
CVSS 점수만으로 패치 우선순위를 결정하면 '중간' 등급 취약점이 뒤로 밀릴 수 있다. 인터넷 노출 여부·관리자 권한 보유 여부·중요 시스템 연결 여부·실제 악용 가능성을 함께 고려한 위험 기반 패치 관리 체계가 필요하다. 제로트러스트 도입이 경계 장비 취약점 관리를 대체하지 않는다.
본문
일본 디지털청이 공개한 GSS 침해사고 개요. 공격자는 VPN 취약점을 악용해 내부 시스템에 침입했으며, 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐다.
일본 정부가 여러 중앙부처에서 공동으로 사용하는 업무 시스템이 해킹돼 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐다. 공격자는 인터넷과 연결된 VPN 장비의 취약점을 이용해 시스템 내부로 침입한 것으로 조사됐다.
일본 디지털청(Digital Agency)은 지난 9월 11일 정부 공통 업무환경인 가버먼트 솔루션 서비스(Government Solution Service·GSS)에 대한 외부 침입 사실을 공개했다.
사건이 처음 포착된 시점은 6월 25일이었다. 디지털청은 GSS 유지·운영 담당자의 계정을 이용해 서버에 저장된 대량의 파일에 접근한 이상 행위를 탐지하고 조사를 시작했다.
조사 결과 7월 9일 제3자가 네트워크 연결 장비인 VPN의 취약점을 이용해 GSS 내부로 침입한 사실이 확인됐다. 디지털청은 같은 날 문제가 된 유지·운영 계정을 정지하고 침해된 장비와 외부 사이의 통신을 차단했다. 이후 외부 전문업체와 조사를 진행해 개인정보가 외부로 빠져나갔을 가능성을 확인했다.
유출 가능성이 있는 개인정보는 약 24만6000건이다. GSS를 사용하는 정부기관 직원과 관련 업무를 수행한 공무원 등의 정보가 약 18만9000건, 정부 업무에 참여한 사업자와 개인의 정보가 약 5만7000건이다.
정보 유형별로는 이름이 약 23만6000건으로 가장 많았다. 이메일 주소 약 23만1000건, 전화번호 약 9만4000건, 주소 약 1000건도 포함됐다. 다만 전화번호와 주소 상당수는 개인 연락처나 자택 주소가 아니라 정부기관 업무용 연락처와 청사·사업장 주소였다.
마이넘버(My Number), 금융기관 계좌정보, 연금번호는 유출 가능성이 있는 자료에서 확인되지 않았다. 일반 국민의 개인정보도 포함되지 않았다는 것이 일본 정부의 설명이다. 일부 민간인 정보는 정부 업무를 수행한 기업 직원과 개인사업자, 정부기관이 개최한 웹회의 참석자 등의 업무용 정보였다.
이번 사고에서 주목할 부분은 공격에 이용된 VPN 취약점이 사고 이전에 이미 공개된 취약점이었다는 점이다.
디지털청은 해당 취약점이 처음 공개될 당시 공통 취약점 평가시스템(CVSS) 기준 위험도가 '중간(Medium)' 수준이었다고 밝혔다. 내부에서는 일반적인 대응 기준보다 빠르게 조치를 진행하고 있었지만, 수정 프로그램을 적용하기 전에 공격자가 취약점을 악용했다.
현재는 해당 VPN 장비에 수정 프로그램을 적용했다. 관련 계정의 인증정보도 변경했으며 침해 장비의 외부 통신을 차단했다. 이후 새로운 비정상 접근이나 의심스러운 통신은 확인되지 않았다고 밝혔다.
다만 어떤 업체의 VPN 제품이 공격을 받았는지는 공개하지 않았다. 취약점 번호인 CVE와 구체적인 공격 방법, 배후 공격그룹도 밝히지 않았다. 디지털청은 구체적인 취약점 정보를 공개할 경우 향후 시스템 보안에 영향을 줄 수 있다는 이유를 들었다. 따라서 현재 공개된 자료만으로 특정 VPN 제품이나 CVE를 연결하는 것은 근거가 부족하다.
GSS가 일본 정부의 공통 업무 기반이라는 점도 이번 사고의 중요성을 높인다. GSS는 각 정부부처가 사용하는 업무용 PC와 네트워크, 소프트웨어, 커뮤니케이션 도구와 보안 환경을 공통으로 제공하는 시스템이다. 제로트러스트(Zero Trust) 네트워크 아키텍처도 도입했다.
2026년 2월 기준 일본 정부 18개 기관 약 5만3000명이 GSS를 사용하고 있으며, 일본 정부는 향후 이용자를 약 28만명 규모까지 확대할 계획이다. 여러 정부기관의 업무환경을 하나의 공통 기반으로 통합하는 구조여서 보안장비 한 곳의 취약점이 전체 환경에 미치는 영향을 함께 고려해야 한다.
이번 사고는 제로트러스트 구조를 도입했다고 해서 인터넷에 노출된 경계 장비의 취약점 관리가 중요하지 않은 것은 아니라는 점도 보여준다. 디지털청 역시 GSS에 제로트러스트 아키텍처를 적용했지만 이번 침입과 개인정보 유출 가능성을 막지 못했다고 인정했다. 사고 이후에는 취약점 관리 절차와 외부 접속 방식을 다시 점검하기로 했다.
일본 정부가 처음 이상 행위를 탐지한 것은 6월 25일이며, 침입 경로와 개인정보 유출 가능성을 확인한 뒤 7월 15일 일본 개인정보보호위원회에 사고를 보고했다. 피해 범위와 대상자를 조사한 뒤 9월 11일 사고 사실을 공식 공개했다.
9월 12일 업데이트된 조사 결과 기준으로 이번 사고와 관련한 개인정보 악용 등 2차 피해는 확인되지 않았다. 디지털청은 피해 가능성이 있는 대상자의 연락처를 확인해 순차적으로 개별 통지하고 있다.
국내 공공기관과 기업도 VPN, SSL VPN, 방화벽, 보안 게이트웨이처럼 인터넷과 직접 맞닿아 있는 장비의 취약점 관리 체계를 다시 점검할 필요가 있다. CVSS 점수만으로 패치 순서를 정하기보다 장비의 인터넷 노출 여부, 관리자 권한, 중요 시스템 연결 여부와 실제 공격 가능성을 함께 판단해야 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
