네팔 디지털 서비스, 데이터 노출·시장 혼란·책임 공백에 직면

정부 이메일 계정 135개 노출, 더 광범위한 보안 문제 드러내

네팔 국가사이버보안센터가 노출된 인증 정보를 추적하는 서비스인 Have I Been Pwned에 가입한 뒤, nepal.gov.np 정부 도메인에 속한 이메일 계정 최소 135개가 외부 데이터 유출 사고에서 확인됐다. 영향을 받은 주소에는 총리실과 내무부, 재무부, 외교부 관련 계정이 포함됐다.

이번 발견은 학생과 교수진의 문서 노출, 정부 포털 공격, 전자조달 방해, 주식 거래를 중단시킨 랜섬웨어 사고에 관한 보도와 맞물려 있다. 2026년 10월 공개된 여러 보도는 보안 실패가 개인 정보 보호와 필수 서비스 접근 모두에 영향을 미칠 수 있는 디지털 행정의 모습을 보여준다.

이들 사건은 서로 다른 문제를 수반한다. 이메일 주소가 유출 사고에서 발견됐다고 해서 누군가 정부 네트워크에 침입했다는 사실이 입증되는 것은 아니다. 웹사이트가 마비됐다고 해서 그곳의 기록이 탈취됐다는 뜻도 아니다. 그러나 노출된 인증 정보와 취약한 접근 통제, 공유 인프라에 대한 의존이 겹치면 더 민감한 시스템으로 이어지는 경로가 생길 수 있다.

네팔은 여권, 신원 확인, 과세, 은행 업무, 사회보장 서비스를 디지털화하는 한편, 시민들은 여전히 줄 서기와 신분증 발급 지연, 서버 접속 불가를 호소하고 있다. 따라서 핵심 과제는 해커를 막는 데 그치지 않는다. 정부는 시민이 제출해야 하는 정보를 보호하는 동시에 구성 요소에 문제가 생겨도 서비스를 이용할 수 있도록 해야 한다.

이메일 계정 발견으로 확인된 사실

국가사이버보안센터장 라지 쿠마르 마하르잔에 따르면 네팔은 Have I Been Pwned에 가입한 47번째 정부 기관이다. 이번 연계를 통해 센터는 자체 네트워크에서 확보한 증거에만 의존하지 않고 다른 곳의 유출 사고로 노출된 정부 이메일 주소를 확인할 수 있게 됐다.

마하르잔은 센터가 영향을 받은 부처에 알리고 비밀번호 변경을 요구할 것이라고 말했다. 그는 모니터링 서비스가 대응 방식을 어떻게 바꾸는지 다음과 같이 설명했다.

이 포털을 통해 우리 센터는 어떤 이메일 주소가 어느 출처에서 유출됐는지 정확한 정보를 받게 됐습니다. 이를 통해 관련 공무원에게 실시간으로 알리고, 즉시 비밀번호를 재설정하도록 하며, 추가 피해를 막을 수 있습니다.

135라는 숫자를 정부 메일함 135개가 침입당한 것으로 확인됐다는 뜻으로 해석해서는 안 된다. 공개된 보도만으로는 몇 개 계정이 여전히 취약했는지, 노출된 비밀번호가 아직 유효했는지, 추가 인증 보호가 적용된 계정이 몇 개였는지 알 수 없다.

사이버보안 전문가 모나 냐치욘은 공무원 계정이 침해되면 내부 네트워크와 기밀 통신이 위협받을 수 있다고 경고했다. 실제 정부 메일함을 장악한 공격자는 특히 수신자가 해당 주소를 알고 있을 때 사기성 요청을 신뢰할 만한 것으로 보이게 할 수도 있다.

별도의 보도에 따르면 농업개발은행 관련 인증 정보가 감염된 기기에서 정보를 훔치는 악성코드를 통해 노출됐다. 이런 탈취는 공격자가 서비스의 중앙 서버에 직접 침입하지 않고도 서비스 접속에 사용된 컴퓨터에서 발생할 수 있다.

시민 문서와 공공 포털이 직면한 서로 다른 위협

대학보조금위원회의 온라인 시스템에서 교수와 학생의 시민권 문서, 학력 증명서, 은행 계좌 정보, 영구계좌번호(PAN) 기록이 노출됐다는 보도가 나왔다. 접근 통제가 없어 웹 주소만 바꾸면 문서에 접근할 수 있었던 것으로 알려졌다.

접근 통제란 특정 기록을 볼 권한이 있는지 확인하는 절차다. 문서 주소를 추측하기 어렵다는 이유만으로 문서가 보호되는 것은 아니다. 서버는 누군가 문서를 요청할 때마다 권한을 확인해야 한다.

정부 클라우드 포털의 공개 응용프로그램 인터페이스(API)에 무단 접근이 있었다는 보도도 있다. 흔히 API라고 부르는 인터페이스는 소프트웨어 시스템이 정보를 교환하거나 작업을 수행하도록 한다. 포스아논 네트워크와 연관된 PSy404와 AnoNagoSt로 확인된 단체들이 이 접근 권한을 이용해 메시지와 이미지를 게시한 것으로 알려졌다.

그 밖에 미드나이트 옵스 네팔이 수문기상부 등의 시스템에서 취약점을 공개했고, 펑크섹이 부처 행정 패널에 접근했다는 보도가 나왔다. 예산 및 지방자치단체 문서가 판매용으로 올라왔다는 주장도 제기됐다.

이런 주장은 각각 별도로 검토해야 한다. 공개 인터페이스를 통해 자료를 게시한 것은 통제 실패를 보여주지만, 정부 클라우드에 저장된 모든 데이터베이스에 접근했다는 뜻은 아니다. 문서 판매 보도 역시 전체 노출 범위를 파악하려면 문서의 진위와 범위, 출처를 확인해야 한다.

보고된 공격과 정부 조치의 연혁

보도된 사건들은 한 차례의 조직적인 공격이 아니라 여러 해에 걸쳐 발생했다. 연혁은 전담 사이버센터의 설립만으로 서비스 중단이 끝나지 않았다는 점도 보여준다.

• 2024년 1월 1일: 분산 서비스 거부 공격으로 공공 서비스 웹사이트와 애플리케이션이 중단됐으며, 그 여파가 수 주간 이어진 것으로 알려졌다.
• 2024년 1월 23일: 내각이 국가사이버보안센터 설립을 결정했으며, 센터는 그해 봄 후반에 운영을 시작했다.
• 2024년 12월: 간다키주, 룸비니주, 바그마티주의 정부 포털을 겨냥한 공격이 보도됐다.
• 2025년 2월: 코시주의 서브도메인 21곳에 대한 공격이 보도됐다.
• 2025년 3월: 헬로 사르카르 민원 플랫폼 데이터베이스가 침해돼 판매용으로 올라왔다는 보도가 나왔다.
• 2025년 4월: 경찰 신고를 위해 제출된 시민권 기록 약 200만 건이 네팔 경찰 웹사이트에서 탈취돼 판매용으로 올라왔다는 주장이 제기됐다.
• 2026년 5월 13일: 공개된 네팔 정부 업무분장 규칙 개정안에 따라 주요 기술 기관이 총리실로 이관된 것으로 알려졌다.
• 2026년 9월: 랜섬웨어 공격으로 주식 중개사 72곳을 지원하는 시스템이 마비돼 하루 동안 거래가 중단된 것으로 알려졌다.
• 2026년 10월 초: 파타오 네팔이 사용자 이름, 이메일 주소, 전화번호가 포함된 정보 유출을 인정한 것으로 알려졌다.

경찰 기록 약 200만 건을 탈취했다는 주장은 보도된 사례 중 가장 큰 규모의 노출에 속한다. 이 숫자는 보고된 주장이며, 영향을 받은 개인 수가 독립적으로 확인된 것은 아니다. 보도에는 중복되지 않는 기록 수에 대한 검증된 내역이나 피해에 관한 완전한 공개 평가가 담겨 있지 않다.

전자조달, 공공 지출에 보안 문제를 제기하다

전자정부조달 시스템(e-GP)이 침해됐다는 보도는 기밀 정보뿐 아니라 공공 계약의 무결성에도 영향을 미친다. 공공조달감시국은 수십억 루피 규모의 정부 사업 입찰을 위해 이 플랫폼을 운영한다.

조사 당국은 무단 사용자가 경쟁 업체의 비공개 입찰 금액을 열람하고 제출 마감 후 수치를 변경할 수 있었다는 사실을 발견한 것으로 알려졌다. 보도에는 해커와 중개인, 계약업체 간 공모 의혹과 암호화폐 지급, 위조 조달 웹사이트가 언급됐다.

네팔 경찰 중앙수사국은 전직 장관, 건설업계 관계자, 기술직 직원 등을 포함해 20명 넘게 체포하고 이들을 법원에 기소한 것으로 알려졌다. 체포와 기소는 유죄 판결을 의미하지 않는다. 보도에는 피고인 각각의 책임을 확정한 최종 판결이 제시되지 않았다.

보안 우려로 전자 입찰이 중단되고 필수 조달에는 봉인된 서류 입찰 방식이 다시 도입된 것으로 알려졌다. 보도에는 전자 입찰이 재개될 확정 날짜가 나오지 않았다.

문서 유출과의 차이는 중요하다. 누군가 봐서는 안 되는 입찰 내용을 보게 되면 기밀성이 훼손된다. 입찰 자체를 바꾸면 무결성이 훼손된다. 둘 중 하나라도 보호에 실패하면 조달 투명성을 높이기 위한 디지털 시스템이 특정 입찰자에게 드러나지 않은 이점을 주는 수단으로 바뀔 수 있다.

한 업체의 장애가 시장 전체를 멈출 수 있다

2026년 9월 랜섬웨어 사고로 중개 회사 72곳의 거래 관리 시스템을 호스팅하는 민간 데이터센터가 공격을 받은 것으로 알려졌다. 네팔 증권거래소의 거래가 하루 종일 불가능했던 것으로 전해졌다. 최초 보도에는 정부 정보도 해당 시설에서 호스팅되고 있었다는 내용이 담겼다.

랜섬웨어는 보통 파일을 암호화하는 등의 방식으로 시스템이나 데이터 접근을 차단한 뒤 금전을 요구한다. 보도만으로는 공격의 기술적 방식, 정보 탈취가 함께 있었는지, 몸값이 지급됐는지 확인되지 않는다.

보다 분명하게 드러난 결과는 운영 차질이다. 한 호스팅 업체의 장애가 수십 곳의 중개업체로 확산돼 투자자들이 거래할 수 없게 됐다. 이는 여러 조직이 같은 공급업체나 인프라에 의존할 때 발생하는 집중 위험이다.

파타오 네팔의 정보 공개는 또 다른 민간 부문 노출 사례다. 이름, 이메일 주소, 전화번호가 2026년 10월 초 유출된 것으로 알려졌다. 수천 명의 사용자가 영향을 받았다는 보도는 있지만, 검증된 정확한 숫자는 공개되지 않았다.

이전 보도에는 비아넷과 푸드만두의 고객 정보 유출, 은행 ATM 시스템 관련 공격, NIC 아시아은행의 SWIFT 시스템 공격 시도도 언급됐다. 사건의 범위와 결과는 서로 다르지만, 보안 과제가 정부 웹사이트를 넘어 통신, 쇼핑, 교통, 금융 서비스로 확대되고 있음을 보여준다.

국가 신원확인 시스템의 용량 문제가 여러 서비스로 확산

국가 신원확인 시스템은 사이버 공격이 확인되지 않아도 서비스가 중단될 수 있음을 보여준다. 생체정보 시스템이 약 2,000만 건의 기록 용량에 근접하면서 기술적 부담이 커져 수 주간 인증이 중단됐다는 보도가 나왔다.

여권, 세금, 교통, 은행 서비스를 포함해 16개가 넘는 기관에서 차질이 발생한 것으로 알려졌다. 이 수치는 시스템의 용량 부담에 관한 보도이며, 생체정보가 노출된 사람 수가 검증됐다는 의미는 아니다.

프랑스 공급업체의 법인 명칭은 보도마다 다르게 설명됐다. 최초 보도는 이데미아에서 IN 그루프로의 전환을 언급했지만, 다른 보도는 현재 명칭을 IDEMIA로 표기했다. 정확한 계약 및 지원 체계는 여기서 확인되지 않았다. 운영상의 문제는 동일하다. 여러 서비스가 하나의 인증 플랫폼에 의존했고, 플랫폼을 사용할 수 없게 되면서 영향을 받았다.

공유 신원확인 서비스는 반복적인 확인과 서류 작업을 줄일 수 있다. 하지만 서비스가 응답하지 않을 때 기관들이 안전한 대체 절차로 업무를 이어갈 수 없다면 단일 장애 지점이 된다. 따라서 침입 방지뿐 아니라 용량 계획, 복구 체계, 공급업체의 명확한 책임도 중요하다.

개인정보 보호 측면의 결과도 신중하게 살펴야 한다. 지문은 생체 식별 정보이며 시민권 번호와 생년월일은 신원 정보이지 생체정보가 아니다. 비밀번호와 달리 지문은 간단히 바꿀 수 없다. 이런 정보가 노출되면 사칭과 표적 사기가 장기간 가능해질 수 있다.

정부 방어 역량은 확대되고 있지만 한계도 있어

국가사이버보안센터는 이메일 유출 보도가 나오기 전 4개월 동안 정부 시스템 약 40개를 감사한 것으로 알려졌다. 또한 국제전기통신연합이 제공한 모니터링 도구 CTM360을 이용해 정부 정보와 관련된 불법 거래를 추적하고 있다.

최근 구매한 보안정보 및 이벤트 관리(SIEM) 시스템은 정부 네트워크 전반의 활동 로그를 수집하고 분석한다. 이러한 도구는 직원들이 의심스러운 패턴을 파악하는 데 도움이 되지만, 모니터링 대상과 경보 조사 속도에 따라 효과가 달라진다.

네팔 보도에서 정보기술·전자정부국 정보담당관으로 소개된 프라카시 두와디는 호스팅되는 정부 포털이 동시에 7,000~8,000건의 공격 시도에 노출될 수 있다고 말했다. 그는 학생이나 어린이가 하는 기본적인 테스트가 공격 시도의 10~20%를 차지한다고 추산했다. 보도에는 집계 기간이나 산정 방식에 대한 설명이 없다.

두와디는 시스템을 안전하게 방어할 수 없을 때 직원들이 때로 연결을 끊는다고도 말했다. 따라서 서버 중단은 공격자가 장악했다는 증거가 아니라 보호 조치일 수 있다. 어느 경우든 시민들은 서비스에 접근할 수 없으므로 정확한 서비스 안내와 복구 절차가 필요하다.

마하르잔은 사이버 사고의 90% 이상이 사람의 행동과 사회공학에서 비롯된다고 평가했다. 이는 그가 밝힌 견해이지, 문서화된 국가 단위 통계는 아니다. 그는 인공지능을 활용해 애플리케이션을 빠르게 개발하면 개발자가 암호화와 보안의 취약점을 인식하지 못할 수 있다고도 경고했다.

보고된 피싱 메시지는 마노즈 쿠마르 KC 추가경찰청장, 총리실, 다른 경찰 관계자를 사칭했다. 이들은 수신자가 답장하거나 정보를 공개하도록 압박하기 위해 기소를 언급하며 위협했다. 이런 사례는 공포와 공권력이 사기 수단으로 악용될 수 있음을 보여준다.

개인정보 보호 권리에는 실질적인 집행이 필요하다

네팔 헌법 제28조는 사생활을 보호한다. 개인정보보호법 2075(2018년)도 공공기관이 보유한 개인정보와 관련한 의무를 규정한다. 최초 보도와 관련 분석은 제29조에 징역 최대 3년의 처벌, 제31조에 손해배상, 제32조에 부서 차원의 조치가 규정돼 있다고 설명한다.

이 조항만으로 모든 기술적 실패가 형사 범죄나 손해배상 요건에 해당한다고 볼 수는 없다. 책임은 관련 행위와 적용되는 법 조항, 증거를 바탕으로 판단해야 한다. 논의된 사건과 관련해 부과된 처벌이나 지급된 배상에 대한 세부 정보는 공개 보도에 거의 나오지 않았다.

행정 책임 체계도 변화하고 있다. 2026년 5월 13일 공개된 개정안에 따라 사이버보안센터, 데이터관리센터, 정보기술부가 총리실로 이전된 것으로 알려졌다. 2026년 3월 27일 승인된 내각 안건은 3개월 안에 정보기술·전자정부국을 설치하도록 했지만, 해당 보도 시점에도 조직 검토가 끝나지 않은 것으로 전해졌다.

그 결과 조직 구조와 보고 체계는 여전히 확정되지 않았다. 기관을 이전하는 것만으로는 영향을 받은 시민에게 누가 통지할지, 침해된 서비스를 누가 복구 승인할지, 공급업체가 보안 결함을 수정했는지 누가 확인할지 정해지지 않는다.

다음 과제는 보안 테스트, 조달, 취약점 공개

최초 분석은 소프트웨어 조달 초기부터 보안 의무를 포함할 것을 제안한다. 여기에는 암호화, 지속적인 업데이트, 유지관리, 품질과 비용을 기준으로 한 선정이 포함되며, 소프트웨어를 납품 시점에 구매가 끝나는 제품으로 취급하지 말아야 한다는 내용도 담겼다. 이는 제안일 뿐, 정부의 새로운 확정 요건은 아니다.

또한 시민에게 서비스를 개방하기 전에 의무적으로 취약점 평가와 침투 테스트를 실시해야 한다고 주장한다. 이 테스트는 취약점을 찾고 통제된 침입을 시도한다. 테스트를 마치는 것과 발견된 문제를 해결하는 것은 다르다. 신뢰할 수 있는 서비스 개시 결정에는 중대한 결함을 수정하고 다시 점검했다는 증거가 필요하다.

사이버보안 전문가 나레시 람가데는 개발 단계에서 보안이 빠지는 일이 잦고, 민간 연구자들이 취약점 보고를 꺼리게 된다고 말했다. 명확한 신고 창구와 정해진 처리 절차가 있으면 연구자들이 기관에 연락하는 방법을 몰라 망설이는 대신, 발견 사항을 실제 개선으로 이어갈 수 있다.

그 밖에 정부 이메일 및 관리자 계정에 추가 인증을 적용하고, 데이터센터를 정기 감사하며, 침해 사고 후 영향을 받은 시민에게 알리고, 독립적인 데이터 보호 감독기구를 설치하는 방안도 제안됐다. 이런 조치가 언제 채택될지는 보도에서 확인되지 않았다.

당장 답해야 할 질문은 구체적이다. 노출된 계정 중 몇 개가 보안 조치됐는지, 탈취된 것으로 알려진 데이터셋이 진짜인지, 전자 입찰이 언제 재개될지, 신원확인 서비스가 또다시 용량 문제로 중단되지 않도록 어떻게 할지다. 공개적인 답변이 있어야 온라인에 올린 서비스의 수가 아니라 실제 결과를 기준으로 복구 상황을 판단할 수 있다.

핵심 내용

• 네팔이 Have I Been Pwned에 가입한 뒤 외부 유출 사고에서 정부 이메일 계정 최소 135개가 확인됐다.
• 대학 문서와 경찰 신고에 제출된 시민권 기록 약 200만 건이 노출됐다는 보도가 나왔으며, 후자의 규모는 아직 검증되지 않았다.
• 전자조달 사건과 관련해 20명 넘게 체포된 것으로 알려졌지만, 최종 법원 판결은 공개되지 않았다.
• 2026년 9월 랜섬웨어 공격으로 중개사 72곳이 사용하는 시스템이 중단돼 하루 동안 주식 거래가 멈춘 것으로 알려졌다.
• 국가 신원확인 시스템의 용량 문제로 16개가 넘는 기관에서 수 주간 인증 차질이 발생한 것으로 알려졌다.
• 보안 모니터링과 테스트는 확대됐지만 침해 통지, 책임 소재, 여러 복구 일정은 여전히 불분명하다.