# '일본판 CIA' 간첩 제보에 美 MS서비스 사용…"기밀유출 우려"

> URL: https://www.cityhorror.wiki/MS-%ED%8F%BC%EC%A6%88%EC%9D%98-%EC%84%B8-%EB%B2%88%EC%A7%B8-%EB%B9%88%EC%B9%B8%EC%97%90-%EB%B6%99%EC%9D%80-%ED%95%84%EC%88%98-%ED%91%9C%EC%8B%9C
> 추정 발생 시기: 2026년 7월 ~ 2026년 10월
> 마지막 수정: 2026-10-22
> English: https://www.cityhorror.wiki/en/MS-%ED%8F%BC%EC%A6%88%EC%9D%98-%EC%84%B8-%EB%B2%88%EC%A7%B8-%EB%B9%88%EC%B9%B8%EC%97%90-%EB%B6%99%EC%9D%80-%ED%95%84%EC%88%98-%ED%91%9C%EC%8B%9C

## 개요

2026년 7월 31일 발족한 일본 국가정보국이 간첩·위협 정보를 받는 제보 창구를 미국 마이크로소프트의 설문 서비스 Microsoft Forms로 운영하는 것이 알려지면서 일본 안팎에서 논란이 번졌다. 제목의 "세 번째 빈칸"은 이 양식의 3번 항목 "정보 제공 내용(情報提供内容)"이다. 1번 "테마", 2번 "건명"과 함께 이 항목에도 필수 응답을 뜻하는 별표(*)가 붙어 있어, 제보자는 실제 제보 내용을 반드시 이 칸에 적어야 제출할 수 있다.

논란의 중심은 가장 민감한 정보가 들어갈 칸이 외국 기업의 범용 서비스 위에 놓여 있다는 점이다. 양식은 "직접 제공하지 않는 한 이름, 전자 메일과 같은 세부 정보가 자동으로 수집되지 않는다"고 안내하지만, 입력 내용이 어느 나라 서버에 어떤 조건으로 저장되는지는 이용자에게 보이지 않는다. 이 때문에 발족 직후 일본 SNS에서 시작된 의문은 보안 분야 해설과 개인 블로그의 비판을 거쳐 산케이신문 보도로 이어졌다. 국가정보국은 "해외 서비스를 쓴다고 곧바로 문제가 있다고는 생각하지 않는다"는 입장이다.

## 국가정보국의 발족과 제보 창구

국가정보국은 2026년 7월 31일 국가정보회의설치법(레이와 8년 법률 제28호)이 시행되면서 내각정보조사실을 개편해 출범한 관저 직속 정보기관이다. 요미우리신문은 약 730명 체제로 정보 수집·분석 능력을 키우고 부처 간 칸막이를 허무는 것이 목표라고 전했다. 내각 광보관 계정도 이날 다카이치 총리가 취임 이래 추진해 온 인텔리전스 개혁의 "첫걸음"으로 국가정보회의와 국가정보국이 발족했다고 알렸다. 에펨코리아 게시물에서는 이 기관을 다카이치 내각이 야심 차게 출범시킨 "일본판 CIA"라고 소개했다.

국가정보국은 내각관방 홈페이지를 통해 "우리나라 또는 일본 국민에 대한 위협에 관한 정보"를 받는다. 문제가 된 것은 이 안내 페이지에 걸린 링크가 정부 도메인이 아니라 Microsoft Forms 주소(forms.cloud.microsoft)로 연결된다는 점이다. 개인 블로거 가게야마 도루(影山透)는 전신인 내각정보조사실의 양식이 총리관저 도메인 위의 자체 구조였다는 점을 짚으며, 이번에 기반의 성격이 바뀌었다고 지적했다.

## SNS에서 번진 반응

논란은 발족 이튿날인 8월 1일 X(구 트위터)에서 불붙었다. 이용자 おなか(@HNamachiri)는 국가정보국의 제보 창구가 Microsoft Forms라는 점이 "한 바퀴 돌아 웃기다"며, 총리가 공들인 사안이라면 시늉으로라도 더 의욕을 보여야 하지 않느냐고 적었다. 같은 이용자는 이어 자국민에 대한 위협 정보를 받는 창구가 타국 거대 기업의 클라우드를 쓰고, 개인 정보나 기밀을 쓰지 말라는 주의 문구까지 달려 있다고 비판했다. 이 게시물들에 이어 비슷한 반응이 잇따랐다. 일부는 접수되는 간첩 정보가 모두 마이크로소프트 클라우드에 올라간다고 비꼬았고, 일부는 안내 문구와 실제 접수 내용의 간극이 너무 크다고 했다. 회계검사원은 자체 양식을 쓰는데 왜 이렇게 하지 않았느냐는 글도 나왔다.

Lernen(@lernen_kasumi)은 처음에 "구글 폼"이라고 썼다가 Microsoft Forms로 정정했다. 그는 대안을 내놓으라면 어렵지만 국가안보와 관련된 제보가 들어올 수 있는데 동맹국 것이라도 외국제 플랫폼을 쓰는 것이 아쉽다는 취지였다고 설명했다. 이에 정부도 AWS GovCloud나 Azure Government 같은 정부 전용 리전을 갖출 만큼 노력해야 한다는 반응이 붙었다. 이 논의는 Togetter에 정리됐고, 일본 레딧 r/newsokuexp에도 같은 제목으로 옮겨졌다. 한 레딧 게시물에서는 "더 나은 방법은 없었느냐"며 찜찜해하는 목소리가 있다고 소개했다.

## 보안 해설과 블로그의 문제 제기

SNS의 인상 비평은 8월 초 구체적인 쟁점 정리로 넘어갔다. 가게야마 도루는 8월 2일 note에 글을 올려 현재 양식의 문제를 다섯 가지로 요약했다.

- **익명성 문제**: 통신 암호화가 마이크로소프트 입구 서버에서 풀리므로 제보자와 국가정보국 사이에서 끝나는 암호화가 아니다. 이름을 기록하지 않게 설정해도 접속 IP와 시각 같은 흔적은 사업자 쪽 기반에 남는다.
- **진위 확인 문제**: Microsoft Forms는 누구나 무료로 쓸 수 있어 같은 모양의 가짜 양식을 만들기 쉽다. 이 도메인을 악용한 피싱도 반복 보고돼 왔다.
- **외국 기반 의존**: 운영 주체가 미국 기업이라 데이터 취급이 미국 법제의 영향을 받는다. 2023년에는 중국과 관련된 것으로 알려진 집단이 마이크로소프트 서명 키를 악용해 22개 조직, 500명 넘는 사람의 메일에 침입했고, 미국 사이버안전검토위원회(CSRB)는 2024년 보고서에서 이 침입이 막을 수 있었다고 결론지었다.
- **일방통행·증거 제출 불가**: 전신 양식에는 원칙적으로 회신하지 않는다는 안내가 있었고, 파일 첨부는 로그인 이용자에게만 허용돼 익명 제보자는 증빙을 낼 수 없다.
- **일본어 전용**: 외국 국적자나 해외 제보자가 사실상 배제된다.

그는 정부 도메인(go.jp) 복귀, SecureDrop 같은 익명 투고 계통 병설, 제보자용 자위 수단 안내, 복수 경로, 다국어화, 운용 투명성 확보의 여섯 가지를 개선안으로 냈다. 아울러 CIA의 Tor 사이트, MI6의 Silent Courier, 독일 BND의 SecureDrop을 예로 들며, 범용 사무 소프트웨어의 설문 기능을 정보기관 제보 창구로 쓰는 사례는 조사한 범위에서 찾지 못했다고 밝혔다.

8월 4일에는 보안 매체 로켓보이즈(Rocket Boys)의 보안대책 연구소가 논점을 데이터 소재지로 좁힌 글을 냈다. 이 글에 따르면 마이크로소프트 공개 자료는 일본 상용 테넌트에서 Forms를 쓰면 고객 데이터가 미주 지역에 프로비저닝되는 예를 보여 주고, EU·EFTA 등 일부를 뺀 많은 지역에서 기본 저장 위치를 미국으로 설명한다. 이 매체는 외부 SaaS 사용이나 국외 보관을 곧바로 부적절하거나 위법이라고 하지는 않았다. 문제는 주소·연령·직업 같은 항목과 자유 기술란에 민감한 정보가 들어가는 양식인데도 저장 지역, 국외 이전, 위탁처, 보존 기간, 삭제 방침이 이용자에게 보이지 않는다는 점이라고 했다. 또 이 사안을 정보 유출이나 부정 접속이 아니라 설계와 설명 책임의 문제로 규정했다.

## 산케이 보도와 국가정보국의 해명

한국에는 10월 9일 연합뉴스가 산케이신문 보도를 전하면서 이 논란이 소개됐다. 산케이는 국가정보국이 간첩 활동 등을 제보받는 창구로 미국 마이크로소프트 시스템을 쓰고 있다고 보도하며, 정보 주권 침해와 기밀 누설 우려를 제기했다. 근거로 든 것은 2018년 제정된 미국 클라우드 액트(CLOUD법)다. 미국 사법당국이 테러·사이버 범죄 위험 등 안보상 이유가 있다고 판단하면 미국 빅테크가 국내외 서버에 보관한 정보에 접근할 수 있게 한 법으로, 2013년 미국 수사기관이 마약 사건 수사 중 MS 계정 이메일의 수색영장을 받았으나 MS가 아일랜드 서버 데이터 제출을 거부한 일이 발단이라고 한다.

산케이는 유럽 등이 정보 주권을 이유로 미국 IT 기업 의존을 줄이는 상황에서 일본이 간첩 제보 같은 민감한 정보를 마이크로소프트 서버에 저장하는 것은 우려스럽다고 썼다. 이에 국가정보국 담당자는 취재에 "해외 서비스를 사용한다고 해서 곧바로 문제가 있다고는 생각하지 않는다"고 답했다. 보도된 범위에서는 담당자가 저장 지역이나 계약 조건을 구체적으로 설명했다는 내용이 없다.

## 진위 논란

핵심 쟁점은 외국 기업의 범용 설문 서비스로 국가안보 제보를 받는 것이 일반적인 클라우드 활용의 범위에 드느냐, 아니면 제보자 보호라는 창구의 존재 이유를 훼손하느냐다. 양식이 해킹당했다거나 실제로 정보가 유출됐다는 보도는 확인되지 않아, 논쟁은 어디까지나 설계와 설명을 둘러싼 것이다.

### 문제될 것 없다는 쪽

이 입장은 외부 SaaS 이용 자체를 죄악시할 수 없다는 점에서 출발한다. 로켓보이즈도 지적하듯 행정기관에서 Microsoft 365를 비롯한 클라우드 서비스 이용은 이미 일반화돼 있고, 국외 보관이 곧 위법은 아니다. 클라우드는 계약, 데이터 처리 조건, 접근 통제, 감사 로그, 암호화를 조합해 위험을 관리하는 것이 통례다. 정부가 마이크로소프트와 별도의 계약 조건을 맺었을 가능성도 배제할 수 없다. 이용자 눈에 안 보인다는 것이 곧 아무 대책이 없다는 뜻은 아니라는 논리다.

양식 자체에도 최소한의 보호 장치는 있다. 이름과 이메일이 자동 수집되지 않는다고 명시했고, 담당자 역시 해외 서비스 사용만으로 문제가 있다고 보지 않는다고 했다. 지금까지 유출이나 부정 접속 사고가 보고되지 않은 이상 "가능성"만으로 창구를 의심하는 것은 지나치다는 반론이 성립한다.

### 제보 창구로는 부적절하다는 쪽

반대편은 이 창구의 성격을 묻는다. 간첩 활동과 외국 세력의 접촉, 기업·연구기관 내부 사정 같은 제보는 노출되면 제보자에게 위험이 될 수 있다. 이런 창구에서 암호화가 사업자 서버에서 풀리고, 접속 IP와 시각이 사업자 쪽에 남으며, 직장 네트워크에도 접속 기록이 남을 수 있다면 익명성은 구조적으로 보장되지 않는다고 볼 수밖에 없다. 게다가 미국 클라우드 액트가 존재하고 2023년 마이크로소프트 서명 키가 악용된 침입 사건까지 있었던 터라, 외국 사업자의 기반에 의존한다는 사실만으로도 우려가 커진다.

진위 확인 문제도 있다. Microsoft Forms는 누구나 만들 수 있어 정부가 "go.jp 이외의 도메인을 조심하라"고 하면서 정작 자신은 민간 서비스 주소로 제보자를 안내하는 모순이 생긴다. 가짜 양식이 만들어지면 제보자의 신원과 내용이 그대로 적대 세력에게 넘어갈 수 있다. 해외 사례와 견줘도 격차가 크다. CIA는 Tor 사이트를 운영하고, MI6는 2025년 Silent Courier를 공개했으며, BND는 SecureDrop을 쓰고, MI5는 정부 포털 GOV.UK 위의 자체 양식을 쓴다. 이 비교는 가게야마 도루와 로켓보이즈의 글에 공통으로 나오는데, 가게야마는 범용 설문 기능을 전용 창구로 쓰는 사례를 찾지 못했다고 했다. 이런 판에 가장 중요한 세 번째 빈칸에 필수 표시까지 달아 놓고 그 내용이 어디에 쌓이는지는 알려주지 않는 것이 정말 충분한 설계라고 할 수 있겠느냐는 것이 이쪽의 논지다.

현재로서는 실제 위험이 얼마나 되는지를 가릴 자료가 부족하다. 일본 정부와 마이크로소프트 사이의 계약 조건이나 데이터 저장 지역이 이용자에게 설명되지 않았기 때문이다.

## 여담

- 에펨코리아 게시물은 이 양식 화면을 소개하며 "제보 창구가 마이크로소프트 폼즈임ㅋㅋㅋ"이라고 적었고, 비교 대상으로 한국 국정원 제보 페이지를 함께 올렸다. 해당 화면에는 휴대폰 인증이나 아이핀 인증으로 본인 확인을 거치는 두 단계 절차가 나온다. 일본 양식이 이름과 이메일을 자동 수집하지 않는다고 안내하는 것과 대비되는 지점이다.
- Togetter가 함께 소개한 기사에 따르면 국가정보국 설치 법안이 거론되던 시기에 영어 명칭이 National Intelligence Agency of Japan이라 약칭이 NINJA가 될 것이라는 반응이 나온 적이 있다.
- 이번 논란 초기에 게시물을 올린 계정 중 하나인 Lernen은 Microsoft Forms를 구글 폼으로 잘못 썼다가 정정했다.

## 출처

- 에펨코리아 게시물, [「일본에 생긴 CIA 조직 근황」](https://m.fmkorea.com/best/10430888998)
- 연합뉴스, [「'일본판 CIA' 간첩 제보에 美 MS서비스 사용…"기밀유출 우려"」](https://www.yna.co.kr/view/AKR20261009024500073?input=1195m) (2026-10-09)
- セキュリティ対策Lab(Rocket Boys), [「国家情報局の情報提供フォームで問われるデータ所在 CIAやMI5、MI6の受付方法と比較する」](https://rocket-boys.co.jp/security-measures-lab/cia-mi5-mi6-intelligence-tip-form-data-location-comparison/) (2026-08-04)
- note(影山透), [「国家情報局 情報提供フォームの問題点と改善策の提案」](https://note.com/black_mamba/n/n415dd1586dd2) (2026-08-02)
- Togetter, [「高市首相の肝いり案件「国家情報局」が発足も、内閣官房庁ページに用意された「情報提供フォーム」がMicrosoft製で「もうちょっと良い方法はなかったの？」とモヤる声」](https://togetter.com/li/2727723) (2026-08-02)
- Reddit r/newsokuexp, [「高市首相の肝いり案件「国家情報局」が発足も、内閣官房庁ページに ...」](https://www.reddit.com/r/newsokuexp/comments/1vdextu/%E9%AB%98%E5%B8%82%E9%A6%96%E7%9B%B8%E3%81%AE%E8%82%9D%E3%81%84%E3%82%8A%E6%A1%88%E4%BB%B6%E5%9B%BD%E5%AE%B6%E6%83%85%E5%A0%B1%E5%B1%80%E3%81%8C%E7%99%BA%E8%B6%B3%E3%82%82%E5%86%85%E9%96%A3%E5%AE%98%E6%88%BF%E5%BA%81%E3%83%9A%E3%83%BC%E3%82%B8%E3%81%AB%E7%94%A8%E6%84%8F%E3%81%95%E3%82%8C%E3%81%9F%E6%83%85%E5%A0%B1%E6%8F%90%E4%BE%9B%E3%83%95%E3%82%A9%E3%83%BC%E3%83%A0%E3%81%8Cmicrosof/)

## 확인된 사실

- 일본에 '일본판 CIA'로 불리는 국가정보국(国家情報局)이 신설되었고, 다카이치 총리 내각이 추진했다. (에펨코리아 게시물, 연합뉴스, Togetter 정리글)
- 국가정보국은 기존 내각정보조사실(내각정보보조실)을 개편·확대한 조직이다. (에펨코리아 게시물, note.com 게시글, Togetter 정리글이 인용한 요미우리 기사)
- 국가정보국은 홈페이지(내각관방 사이트)에서 일본 또는 일본 국민에 대한 위협 정보를 제보받고 있다. (연합뉴스, Togetter 정리글, note.com 게시글, 에펨코리아 게시물)
- 그 제보 창구(정보 제공 양식)는 정부 자체 서버가 아니라 미국 마이크로소프트의 Microsoft Forms로 운영된다. (에펨코리아 게시물, 연합뉴스, rocket-boys 기사, note.com 게시글, Togetter 정리글)
- 양식에는 직접 제공하지 않는 한 이름과 이메일 같은 세부 정보가 자동으로 수집되지 않는다는 안내가 있다. (에펨코리아 게시물, 연합뉴스, Togetter 정리글)
- Microsoft Forms 사용을 두고 데이터 소재지, 정보 주권, 미국 법제의 영향, 기밀 유출 가능성에 대한 우려와 비판이 제기되었다. (연합뉴스, rocket-boys 기사, note.com 게시글, Togetter 정리글)
- 미국 CIA는 일반 웹 제보와 함께 Tor 기반 사이트 등 여러 경로로 제보를 받는다. (rocket-boys 기사, note.com 게시글)
- 영국 MI6는 2025년에 다크웹(Tor) 상의 'Silent Courier' 제보 창구를 공개했다. (rocket-boys 기사, note.com 게시글)
- 영국 MI5는 공식 웹 양식 등 자체 창구를 운영한다. (rocket-boys 기사, note.com 게시글)
- 한국 국정원은 휴대폰·아이핀 본인 인증을 거치는 자체 제보 창구를 운영한다. (에펨코리아 게시물, 단독 확인)
- 일본 국가정보국 측 담당자는 산케이 취재에 해외 서비스를 쓴다고 곧바로 문제가 있다고 생각하지 않는다고 답했다. (연합뉴스, 단독 확인)
- 국가정보국은 2026년 7월 31일 발족했고 약 730명 체제이다. (Togetter 정리글이 인용한 요미우리 기사, 단독 확인)
- Reddit r/newsokuexp의 한 게시물에서도 Togetter 정리글과 같은 제목으로, 국가정보국의 제보 양식이 Microsoft 제품이라는 점을 두고 불만 섞인 반응이 있다고 했다. (Reddit 게시물, 짧은 내용이라 보조 확인)

## 쟁점

- 출처마다 문제의 성격을 다르게 본다. 연합뉴스가 인용한 산케이신문은 미국 법(클라우드법)에 따른 정보 유출 가능성을 지적했다. rocket-boys 기사는 이를 '유출·부정접근 사고가 아니라 데이터 소재지와 설명 책임에 관한 설계상 문제'로 보았다. 국가정보국 담당자는 문제가 아니라는 입장이다.
- 연합뉴스는 Microsoft 서버에 저장되는 것이 우려된다고 했다. rocket-boys 기사는 일본 테넌트의 Forms 데이터가 미주 지역에 두어지는 사례가 있으나 정부와 Microsoft 간 별도 계약이 있을 가능성도 배제할 수 없다고 했다.
- note.com 게시글과 Togetter 정리글은 양식이 내각관방 사이트에서 외부 링크로 안내된다고 했다. 한편 Togetter의 한 SNS 게시자는 처음에 'Google 폼'이라고 썼다가 'Microsoft Forms'로 정정했다.