한 달 새 미 연방기관 2곳 해킹, 민감 데이터 대량 유출
원제: Hacks of 2 federal agencies in a month have spilled a bonanza of sensitive data
왜 중요한가
2015년 OPM 사태 이후 최대 규모의 미 정부 인사 정보 연속 유출로, 방첩 및 국가 안보에 구조적 위협을 제기한다.
미 국방부는 2026년 10월 1일, Defense Manpower Data Center 시스템 침해로 현역·전역 군인 280만 명의 주민번호·주소·직종 등 인사 기록이 유출됐다고 공식 통보했다. 앞서 지난달에는 랜섬웨어 그룹 ShinyHunters가 FBI 시스템을 해킹해 수천 명의 직원 정보를 탈취한 바 있어, 한 달 사이 연방기관 2곳이 연속 피해를 입었다.
국방부 산하 Defense Manpower Data Center(DMDC)는 지난해 10월부터 해커가 시스템에 접근해 280만 명의 인사 기록을 탈취했다고 밝혔다. Reddit에 공개된 피해 통보서에 따르면 유출 항목은 주민번호, 이름, 주소, 성별, 인종, 직종 분류(occupational specialty)를 포함한다. 직종 정보는 고가치 군사 인력을 식별하는 데 활용될 수 있어 외국 정보기관에 특히 유용하다는 우려가 제기된다.
DMDC는 군인·민간인·계약직·퇴역군인·가족 등 6,000만 건 이상의 국방부 인사 기록을 관리하는 기관이다. 국방부는 침해 경로, 공격자와의 접촉 여부, 랜섬 요구 수신 여부에 대해 일절 공개하지 않았다. "탈취 데이터가 악용되지 않았다"고 밝혔으나 그 근거는 설명하지 않았다.
한 달 앞서는 ShinyHunters가 FBI 시스템을 해킹해 수천 명의 현직·전직 직원 기록을 탈취했다. Reuters에 따르면 해당 기록에는 대중국·대러시아 수사 관련 직함 보유자들이 포함됐다. ShinyHunters는 정보를 공개하지 않겠다고 밝혔으나, 수백 개 조직을 해킹·갈취해 온 범죄 조직의 약속은 신뢰하기 어렵다는 지적이 나온다. FBI 사이버국 부국장 Brett Leatherman은 최근 네덜란드 경찰의 ShinyHunters 조직원 체포 직후 "우리가 당신을 찾아내는 방법을 알고 있다. 선택권이 있을 때 먼저 연락하라"고 경고했다.
연속 침해 사건은 2015년 인사관리처(OPM) 해킹 이후 최대 규모의 정보 유출 가능성을 시사한다. 당시 중국 정부 연계 해커들은 2,210만 건의 정부 직원 기록과 수백만 명의 지문 정보를 탈취했다.