보안 연구자 트로이 헌트(Troy Hunt)가 운영하는 유출 계정 조회 서비스 'Have I Been Pwned(HIBP)'에 네팔 정부가 새로 합류했다. 네팔은 HIBP가 각국 정부에 무료로 제공하는 전용 서비스를 이용하는 47번째 정부가 됐으며, 실제 이용 주체는 네팔의 국가사이버보안센터(National Cyber Security Centre, NCSC)다. 이제 NCSC는 자국 정부 도메인이 HIBP가 축적한 유출 데이터에 어떻게 노출돼 있는지를 상시 점검할 수 있게 됐다.
HIBP 정부 서비스가 하는 일
HIBP는 전 세계에서 발생한 데이터 유출 사고로 흘러나온 이메일 주소와 계정 정보를 대규모로 수집·색인해, 특정 주소가 어떤 유출 사건에 포함됐는지를 알려주는 서비스다. 일반 사용자는 자신의 이메일 하나를 조회하는 방식으로 쓰지만, 정부 서비스는 이와 결이 다르다. 개별 주소가 아니라 정부가 관리하는 도메인 전체를 대상으로 모니터링 권한을 부여하는 구조이기 때문이다. 이번 조치로 네팔 NCSC는 자국 정부 이메일 주소들이 새로운 유출 사고에 등장하는 순간 이를 포착하고, 해당 계정에 대해 신속히 대응 조치를 취할 수 있는 가시성을 확보하게 됐다.
헌트가 이 서비스를 설계한 취지는 명확하다. 각국의 국가 사이버 대응 조직이 위협 모니터링과 침해 대응 역량을 강화하도록, 정부 도메인 영역에서 유출된 자격증명과 침해 계정에 대한 시야를 제공하는 것이다. 공격자가 유출된 자격증명을 악용하기 전에 노출 사실을 먼저 파악해 위험을 줄이겠다는 발상이며, 네팔은 이렇게 자국의 노출 상황을 이해하고 정부 부처와 공공 자원을 보호하려는 국가 명단에 이름을 올렸다.
왜 자격증명 노출이 핵심인가
이 서비스가 겨냥하는 문제의 본질은 '자격증명 재사용'과 '유출 후 방치'다. 공무원이 업무 이메일 주소를 외부 서비스 가입에 사용했다가 그 서비스가 뚫리면, 해당 이메일과 비밀번호 조합이 유출 데이터에 실린다. 공격자는 이 조합을 다른 정부 시스템 로그인에 그대로 시도하는 크리덴셜 스터핑 공격을 벌인다. 정부 도메인 전체를 유출 데이터와 대조할 수 있으면, 어떤 계정이 이미 노출됐는지를 사전에 알고 비밀번호 강제 재설정이나 다중인증 점검 같은 조치를 선제적으로 취할 수 있다. 개별 사용자가 스스로 조회하기를 기다리는 대신, 조직 차원에서 위험을 관리하는 틀로 옮겨가는 셈이다.
한국의 실무자 관점에서 이번 소식은 단순한 국가 추가 이상의 의미가 있다. HIBP의 정부 도메인 모니터링은 공공기관은 물론 도메인 단위로 계정을 관리하는 대기업이나 기관에도 그대로 적용 가능한 접근법이다. 자산 관리 대상을 개별 사용자가 아닌 도메인 전체로 잡고, 외부 유출 인텔리전스를 상시 피드로 받아 침해 대응 프로세스에 연결하는 구조 자체가 참고할 만한 모델이다. 이미 국내에서도 유출 계정 모니터링을 보안 운영에 결합하는 흐름이 있는 만큼, 도메인 기반 노출 점검을 어느 단계까지 자동화하고 어떤 대응 플레이북과 엮을지가 실질적인 과제가 된다.
한계와 남는 질문
다만 이 서비스가 만능은 아니라는 점도 분명히 해둘 필요가 있다. HIBP가 제공하는 것은 '이미 알려진 유출 데이터에 대한 가시성'이지, 유출 자체를 막는 방어 수단이 아니다. 아직 공개되지 않았거나 HIBP가 수집하지 못한 유출은 당연히 사각지대에 남는다. 또한 노출 사실을 안다는 것과 실제로 대응이 이뤄지는 것은 별개다. 알림을 받은 뒤 비밀번호 재설정, 계정 조사, 인증 강화로 이어지는 내부 절차가 갖춰져 있지 않으면 가시성은 목록으로만 남는다.
헌트는 그동안 정부와 국가 사이버 조직에 이 서비스를 무료로 확대해 왔고, 네팔의 합류는 그 흐름이 계속되고 있음을 보여준다. 47개 정부라는 숫자는 이런 유출 인텔리전스 공유가 특정 선진국만의 것이 아니라 여러 국가의 기본 보안 운영 요소로 자리 잡아가고 있다는 신호다. 결국 중요한 것은 접근 권한을 확보한 뒤 이를 얼마나 실질적인 탐지·대응 역량으로 전환하느냐이며, 이는 서비스를 도입하는 모든 조직에 똑같이 적용되는 물음이다.