168명 여권정보가 드러낸 문서 유통의 빈틈
2026년 6월 이재명 대통령의 벨기에·유럽 순방 당시 공군 1호기에 탑승한 168명의 여권번호·생년월일·영문 성명이 해외 악성코드 분석 사이트 바이러스토탈(VirusTotal)에 무방비로 게시된 채 153일 동안 방치됐다. 외교부는 2026년 11월 3일에야 개인정보 유출 신고를 했고, 이 사실은 11월 6일 보안뉴스 보도를 통해 공개됐다. 국가 최고 지도부의 신변 정보가 반년 가까이 외부 플랫폼에 열려 있었다는 사실은, 공공 디지털 행정의 문서 취급 관행이 보안 위협 수준을 따라가지 못하고 있음을 압축적으로 보여준다.
유출된 엑셀 파일에는 이재명 대통령 부부와 대통령실 참모진, 외교부 관계자, 경호처 직원, 실무진, 동행 기자단 등 168명의 생년월일, 영문 성명, 여권번호, 여권 만료일이 암호화되지 않은 형태로 담겼다. 이 사건의 핵심은 한 문서가 잘못 올라간 단순 실수가 아니다.
공공기관이 민감한 문서를 만들고, 공유하고, 외부 플랫폼에 노출됐는지 확인하는 전 과정이 디지털 행정의 속도를 따라가지 못했다는 데 있다. 이번 사고는 대통령 순방이라는 특수한 맥락에서 터졌지만, 일상에 던지는 메시지는 더 광범위하다.
여권번호와 생년월일, 영문 이름은 항공권 예약, 호텔 체크인, 비자 신청, 해외 결제 확인 과정에서 반복적으로 활용되는 정보다. 한 번 노출되면 단순히 비밀번호를 바꾸는 수준으로 처리할 수 없다. 재발급과 신원 확인, 해외 출입국 과정의 추가 검증으로 이어질 수 있고, 공무원과 기자, 수행 인력처럼 해외 이동이 잦은 직군에는 업무 부담으로 돌아온다.
대통령 부부의 여권이 이미 재발급됐고 외교부가 당사자 여권 재발급과 삭제 조치를 진행했다는 사실은, 유출 정보의 민감도가 그만큼 높았음을 방증한다. 파일은 벨기에·유럽 순방 일주일 전인 2026년 6월 2일 바이러스토탈에 게시됐다. 바이러스토탈은 보안업계가 의심 파일과 인터넷주소(URL)를 검사할 때 활용하는 악성코드 분석 서비스다.
광고
이 플랫폼은 보안 대응을 빠르게 돕는 도구이지만, 사용자가 올린 파일을 유료 회원이나 보안 연구자가 열람하고 내려받을 수 있는 구조를 갖는다. 내부 문서를 악성코드 검사 대상으로 올릴 때 그 안에 개인정보가 들어 있으면, 방어 도구가 유출 통로로 바뀐다.
이번 사건은 외부 공격자가 방화벽을 뚫고 침입한 전형적 해킹 사고라기보다, 조직 내부의 파일 취급 관행이 외부 서비스의 공유 구조와 충돌해 발생한 유형에 가깝다. 더 심각한 지점은 탐지까지 걸린 시간이다. 개인정보보호위원회에 따르면 외교부는 2026년 11월 3일 오전 10시경 개인정보 유출 신고를 했다.
보안뉴스 보도는 해당 파일이 6월 2일부터 노출됐고 153일 동안 내부에서 유출 사실을 알아채지 못했다고 전했다. 법정 신고 기한 72시간을 지켰는지 여부만으로 이번 사안을 평가하기 어려운 이유가 여기에 있다.
조직이 사고를 인지한 뒤 규정을 지켰더라도, 실제 노출을 다섯 달 가까이 확인하지 못했다면 시민 입장에서 행정 신뢰는 흔들릴 수밖에 없다. 신고 절차보다 앞단의 탐지 체계와 문서 반출 통제가 더 근본적인 문제라는 뜻이다.
국가 안보 사고가 시민 개인정보 정책으로 번지는 이유
개인정보 사고는 이미 증가 추세였다. 개인정보보호위원회가 발표한 2025년 유출 신고 건수는 447건으로 전년 대비 45.6% 늘었다. 이 숫자는 보안 사고가 일부 기관의 예외적 실패가 아니라 공공·민간 조직 전반의 운영 리스크로 자리 잡았음을 보여준다.
정부는 2026년 9월부터 고의나 중과실로 대규모 유출을 일으킨 경우 매출액의 10% 이내 과징금을 부과하는 방향으로 제재를 강화했다. 처벌 수위가 높아진 것은 필요한 조치다.
그러나 이번 사안처럼 공공기관 문서가 외부 분석 플랫폼에 올라가 장기간 발견되지 않는 유형은 사후 제재만으로 줄이기 어렵다. 사회적 파장은 국가 안보 영역에서 먼저 나타난다. 유출된 명단에는 경호 인력의 신원과 대통령 순방 동선에 연결될 수 있는 정보가 포함됐다.
여권번호와 만료일은 위장 신분 제작이나 해외 이동 경로 추적에 악용될 수 있는 재료가 된다.
광고
보안뉴스 보도는 적성국이나 국제 범죄 조직이 여권 정보를 악용할 소지를 지적했다. 현재까지 실제 악용 사례가 확인됐다는 내용은 공개되지 않았다.
그렇다고 위험이 낮아지는 것은 아니다. 보안 분야에서 개인식별정보는 한 번 복제되면 회수하기 어렵고, 시간이 지난 뒤 다른 유출 자료와 결합될 때 위협 가치가 커진다. 일반 독자가 이 사건을 남의 일로만 볼 수 없는 이유도 여기에 있다.
회사와 학교, 병원, 지방자치단체는 매일 엑셀 파일로 주민등록번호 일부, 여권 사본, 연락처, 계좌 정보, 가족관계 서류를 주고받는다. 파일 이름에 '최종', '수정', '공유용'이 붙은 문서가 메신저와 이메일, 클라우드 저장소를 오가는 풍경은 낯설지 않다. 보안 솔루션이 있어도 담당자가 외부 검사 사이트에 파일을 올리거나, 접근 권한을 넓게 설정하거나, 암호화 없이 첨부하면 사고는 조직의 가장 평범한 업무 과정에서 시작된다.
대통령 전용기 명단 유출은 특수한 사람들의 예외적 사고가 아니라, 한국 행정과 기업 업무가 엑셀 중심 문서 문화에서 벗어나지 못한 결과를 집약해서 보여준다. 반론도 가능하다.
바이러스토탈은 보안 실무에 널리 쓰이는 도구이고, 악성코드 감염 여부를 신속히 확인하려면 외부 분석 플랫폼의 도움을 받을 수밖에 없다는 주장이다. 이 반론은 일정 부분 타당하다.
문제는 도구의 사용 자체가 아니라, 민감 문서를 올리기 전에 자동으로 개인정보를 탐지하고 차단하는 절차가 작동했는지에 있다. 대통령 순방 명단처럼 고유식별정보가 담긴 파일이라면 외부 업로드를 원천 차단하거나, 가명 처리한 사본만 검사하도록 시스템이 막았어야 한다. 사람의 주의력에 기대는 방식은 피로와 시간 압박 앞에서 쉽게 무너진다.
탐지보다 예방 중심으로 바뀌어야 할 공공 보안
정책의 방향은 명확하다. 공공기관은 문서 작성 단계부터 민감정보를 분리하고, 여권번호와 생년월일 같은 항목은 필요한 사람에게만 제한적으로 보이도록 설계해야 한다.
광고
파일 이동 경로를 기록하는 데이터 손실 방지(DLP) 체계, 외부 업로드 차단, 문서 암호화, 접근 권한 만료 설정을 하나의 흐름으로 통합해야 한다. 사고가 난 뒤 여권을 재발급하는 조치는 필요하지만, 그것만으로는 다음 순방이나 다른 기관의 행사 명단 유출을 막지 못한다. 개인정보보호위원회의 제재 강화가 현장에서 실효성을 내려면 과징금 부과 기준보다 먼저 기관별 문서 유통 감사와 정기 모의점검이 제도화되어야 한다.
이번 사건은 IT 보안의 언어로만 설명할 수 없다. 시민이 해외여행을 준비할 때 여권 사본을 어디에 제출하는지, 회사가 출장자 명단을 어떤 형식으로 저장하는지, 공공기관이 민원 서류를 누구에게 공유하는지가 모두 같은 문제의 변주다. 정부가 국가안보 사안을 이유로 세부 경위를 제한적으로 공개할 수는 있다.
다만 어느 단계에서 파일이 외부 플랫폼으로 나갔고, 누가 어떤 권한으로 접근할 수 있었으며, 같은 유형의 파일이 다른 곳에도 남아 있는지에 대한 점검 결과는 제도 개선의 출발점이다. 보안은 비밀을 늘리는 방식이 아니라 책임 경로를 선명하게 만드는 방식으로 강해진다. 이번 유출은 공공 디지털 행정의 전환점으로 다뤄야 한다.
행정 효율을 이유로 문서를 빠르게 돌리는 관행이 계속되면, 다음 사고의 대상은 대통령 전용기가 아니라 시민 수만 명의 민원 자료가 될 수 있다. 정부가 해야 할 일은 담당자 문책에 그치지 않는다. 민감정보가 담긴 문서가 외부 서비스로 나가는 순간 시스템이 멈추고, 기관장이 그 기록을 확인하며, 당사자가 신속히 통지받는 구조를 만들어야 한다.
168명의 명단이 남긴 질문은 하나다. 한국의 공공 보안이 사고 뒤 수습하는 체계에 머물 것인지, 문서가 움직이는 첫 순간부터 위험을 줄이는 체계로 전환할 것인지—그 선택을 더 이상 미룰 수 없다.
FAQ
Q. 일반 시민도 여권번호 유출을 걱정해야 하나
A. 여권번호는 이름, 생년월일, 만료일과 결합될 때 신원 확인 수단으로 기능하는 민감한 정보다. 이번 사건에서 일반 시민의 여권정보가 유출됐다는 내용은 확인되지 않았다. 그러나 여권 사본을 제출하는 기관과 서비스가 늘어난 만큼, 개인도 제출 이력을 점검할 필요가 있다. 여권 사본을 이메일로 보낼 때는 제출 목적과 보관 기간을 확인하고, 불필요한 사본 보관을 요청받으면 삭제 여부를 기록해 두는 편이 안전하다. 유출 통지를 받았다면 재발급 필요성과 해외 출입국 일정에 미치는 영향을 해당 기관에 직접 확인해야 한다.
Q. 바이러스토탈 같은 보안 사이트 사용이 위험한가
A. 바이러스토탈(VirusTotal)은 의심 파일과 인터넷주소(URL)를 분석하는 보안 도구이며, 서비스 자체를 위험하다고 단정할 수 없다. 다만 개인정보나 내부 문서가 포함된 파일을 그대로 올리면 분석 대상 파일이 유료 회원이나 보안 연구자에게 열람될 수 있는 구조와 충돌한다. 기관과 기업은 민감정보가 포함된 파일의 외부 업로드를 차단하는 데이터 손실 방지(DLP) 정책을 적용해야 한다. 보안 점검이 필요할 때는 개인정보를 제거한 별도 샘플을 사용하거나 내부 분석 환경을 이용하는 방식이 적합하다.
Q. 이번 사고 뒤 제도는 어떻게 바뀌어야 하나
A. 현재 확인된 후속 조치는 유출 정보 삭제와 당사자 여권 재발급이며, 대통령 부부의 여권은 재발급이 완료됐다. 제도 개선은 신고 기한 준수 여부를 넘어, 파일 생성·공유·외부 업로드·삭제까지 전 과정을 기록하는 방향으로 나아가야 한다. 개인정보보호위원회가 2026년 9월부터 강화한 과징금 제도는 사후 책임을 묻는 장치이지만, 공공기관에는 예방 감사와 상시 탐지 체계가 더 직접적인 효과를 낸다. 향후 순방단 명단과 대규모 행사 참석자 명단은 암호화, 접근권한 제한, 자동 만료를 기본값으로 설정해야 한다.
※ 이 기사는 보안뉴스의 2026년 11월 6일자 [데이터 사건파일] 머니터링 보도를 참조하여 작성하였습니다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
