'I' 한 글자 빼먹어서…미군 이메일 수백만통, '러 우방국' 말리로 갔다

미군 이메일 수백만통 아프리카 말리로 전송…
도메인 접미사 'MIL'를 'ML'로 잘못 표기,
제임스 맥콘빌 육군참모총장 출장까지 유출

지난 2017년 6월 8일 말리 키달에서 박격포 공격 후 화재를 진압하는 민스마 기지 UN 평화유지군들의 모습. /사진=로이터통신

수백만통의 미국 군사 이메일이 도메인 표기상의 오타로 아프리카 말리로 전송됐다. 외교문서를 비롯해 군 고위 장성들의 출장 세부 내역들이 포함된 이메일이라 악용될 소지가 있다.

17일(현지시간) 파이낸셜타임스(FT)는 미군의 도메인 접미사 'MIL'이 말리의 국가 도메인 접미사 'ML'로 잘못 표기돼 민감한 군사정보들이 대거 유출되고 있다고 보도했다.

말리의 국가 도메인 관리자인 독일 사업가 요하네스 주르비어가 이미 10년 전 이를 이미 감지했다. 주르비어는 올해 1월부터 잘못 전송된 미군 이메일을 수집, 11만7000통을 보유하고 있다. 이달 초 주르비어는 미국에 "이 위험은 현실이며 적에게 악용당할 수 있다"고 경고했다.

말리 국가 도메인 관리는 주르비어의 손을 떠나 이날 말리 정부로 인도된다. 말리는 러시아의 우방국이다. 주르비어와의 10년간의 도메인 관리 계약이 끝남에 따라 말리 정부가 마음만 먹으면 잘못 배송된 미군의 이메일을 수집할 수 있다. FT는 주르비어가 말리 파견 미 국방부, 미 국가사이버안보서비스, 심지어 백악관까지 반복적으로 접근해 위험성을 경고했다고 전했다.

말리로 전송된 이메일 대부분은 공식 기밀문서가 아니지만, 미군 직원들과 계약자들의 민감한 정보를 포함하고 있다. 직원들의 신분증 정보, 군 기지 내 직원 리스트, 기지 사진, 설치 지도, 해군 조사 리포트, 예약내역, 계약서, 출장 여정, 세무 및 금융 기록까지 다양하다.

제임스 맥콘빌 미 육군참모총장의 인도네시아 출장 계획이 말리로 잘못 전송되기도 했다. 맥콘빌 참모총장과 다른 20명의 수행단이 묵은 그랜드 하야트 자카르타의 방 번호와 방 열쇠 수집에 대한 세부 내역이 그대로 말리로 보내졌다. 맥콘빌 참모총장이 그랜드 스위트룸으로 VIP 업그레이드를 받은 내용까지 공개됐다.

국가안보국과 미 육군 사이버 사령부를 이끌었던 퇴역 미국 제독 마이크 로저스 FT에 "이런 종류의 지속적인 (미군 이메일에 대한) 접근권한이 있다면 기밀이 아닌 정보에서도 기밀을 생성할 수 있다"고 밝혔다.

팀 고먼 미 국방부 대변인은 "이 문제를 인식하고 있다"며 "(이제) '.mil' 도메인에서 말리 주소로 직접 전송된 이메일은 .mil 도메인을 벗어나기 전에 차단되며, 발신자는 수신자의 이메일 주소를 확인하라는 알림을 받게 된다"고 말했다.

이메일 발송 오류는 미군과 협력하는 여행사 직원의 표기 오류를 비롯해 여행사 계정 내 직원들 간 전송 과정에서도 빈번했다. FBI 해군 요원이 실수로 말리로 보낸 메일에는 미국 내 무장 쿠르드노동자당(PKK)의 작전 가능성에 대해 튀르키예가 국무부에 보낸 긴급 외교서한이 포함됐다.

이 밖에 정보 커뮤니티 시스템 복구 비밀번호를 요청해 실수로 말리로 보내고, 국방부의 보안 액세스 파일 문서에 접근하는 비밀번호가 전송되기도 했다. 미군에 보내는 수류탄 훈련용 카트리지 생산과 관련된 메일이 방산업체의 실수로 말리로 전송되기도 했다.

김희정 기자 dontsigh@mt.co.kr