2009년-2011년 이어 ‘홀수 해의 해킹 저주’… 정부 대책은?

“北 소행… 백신 업데이트”만 되풀이
관리 부실에 땜질 처방 급급… 악성 프로그램 원천차단 못해
금융-전자거래 보안규정도 바꿔야

“또 북한이야?”

국내 주요 방송사와 금융회사 전산망이 마비되는 초유의 사태가 20일 벌어졌지만 일반인들의 반응은 냉소적이었다. 심지어 ‘홀수 해의 해킹 저주’라는 농담까지 나왔다. 2009년 디도스(DDoS) 공격, 2011년 농협 전산망 마비 사태, 2013년 방송사와 금융회사 전산망 마비 등 대형 정보 보안 사고가 한 해 걸러 한 번씩 터진 탓이다.

문제는 이런 대형 사고가 이어진다는 점이다. 소를 잃었다면 외양간을 고쳐야 하는데, 소를 잃고도 도둑 탓만 하고 외양간을 고치지 않았다는 게 정보 보안 전문가들의 지적이다. ‘북한 탓’만 하다 보니 한국의 정보 보안 취약점을 면밀히 분석하고 재발을 방지하는 체계적인 노력이 부족했다는 것이다.

○ ‘누구’보다 ‘어떻게’

정보보안업체 큐브피아의 권석철 사장은 “그동안 보안 사고가 나면 땜질식 처방만 이뤄졌다”며 “이번에도 백신 업데이트만 하면 안전해진다는 식의 대응책이 나오는데 백신 의존도가 높아지면 관리자들이 다른 부분은 신경을 안 쓰는 게 문제”라고 꼬집었다.

권 사장의 지적처럼 이번 전산망 마비 사고의 원인은 피해 기업의 전산망 관리자들이 관리자 계정을 허술하게 관리해 피해 기업의 업데이트 서버가 백신을 위장한 악성코드를 유포시켜 생긴 것으로 추정된다.

게다가 피해 기업들은 일반 인터넷에 접속하는 PC와 내부 시스템에 접속하는 PC를 분리해 운영하는 ‘내·외부망 분리’도 하지 않았던 것으로 드러났다. 이번 사고의 원인은 외부 해커가 설치한 악성코드였는데, 피해 기업들은 외부 해커가 접근할 수 있도록 외부망을 활짝 열어 놓고 관리자 계정도 허술하게 관리한 뒤 일단 악성코드가 설치되면 백신으로 잡아내려 했던 셈이다.

문제가 생기면 ‘백신을 업데이트하라’는 식으로만 이뤄지는 정부의 홍보도 문제점으로 지적됐다. 가장 중요한 보안은 해커가 정상적인 프로그램처럼 속여서 설치할 수 있는 악성 프로그램의 접근을 아예 막는 것인데 일반인에게 ‘컴퓨터에 백신 프로그램만 설치하면 위험이 해결된다’는 잘못된 교육을 하고 있다는 것이다.

실제로 ‘윈도’나 ‘맥OS’ 같은 PC 운영체제(OS)는 인터넷에 접속한 사용자가 프로그램을 설치하려 할 때마다 ‘확인되지 않은 프로그램을 설치하면 보안 위험이 있다’는 경고를 내보낸다. 하지만 국내에선 대부분의 PC 사용자가 이런 확인되지 않은 프로그램을 무심코 설치한다. 금융거래나 전자상거래를 하려면 이런 경고를 무시하고 정보 보안을 위한 프로그램을 강제로 설치하도록 정부가 제도를 만들어 놓았기 때문이다.

김기창 고려대 법학전문대학원 교수는 “‘누가 공격했느냐’를 따져봐야 재발 방지에는 도움이 되지 않으니 ‘어떻게 공격이 일어났느냐’를 따져 사고 재발을 막아야 한다”며 “국민이 아무 프로그램이나 설치하게 만드는 현재의 금융 및 전자상거래 규정이 가장 문제”라고 지적했다. 그는 ‘액티브엑스(X)’ 등 특정한 인터넷 기술을 강제로 사용하게 하는 방침에 반대해 금융결제원을 상대로 소송을 벌였던 인터넷 제도 관련 전문가다.

○ 북한 배후설의 근거

해킹 사고가 이어지고 북한 배후설이 반복 거론되면서 북한의 위협이 일종의 ‘양치기 소년의 거짓말’처럼 받아들여져 오히려 과소 평가되는 것도 문제다. 정보 보안 전문가들은 실제로 북한의 위협이 상당하다고 경고한다.

이런 이유로 국가정보원은 2011년 농협 전산망 마비 사태가 북한의 소행으로 결론나자 취재진을 국가사이버안전센터로 초청해 미공개 자료를 열람시키며 농협 전산망 마비 사태의 배후가 북한임을 체계적으로 설명하기도 했다. 북한의 사이버 공격은 평소에도 꾸준히 일어나는데 많은 경우 무위로 돌아간다. 따라서 정부는 이런 북한의 공격을 데이터베이스로 저장한 뒤 공격 패턴을 비교해 증거를 확보하고 있다.

이경호 고려대 정보보호대학원 교수는 “이번 사고는 상대적으로 보안이 약한 언론사와 상대적으로 보안이 튼튼한 금융권을 동시에 마비시켜 ‘금융권도 뚫을 만큼 기술 수준이 높다’는 사실을 언론이 널리 알리도록 기획할 정도로 치밀했다”며 “대통령에게 직접 보고할 수 있는 ‘사이버 사령관’이 필요한 시점이다”라고 말했다.

김상훈 기자 sanhkim@donga.com