[단독]中악성코드, 한국 정부기관-기업 1500곳 노린다

한국 기업의 특정 보안기술을 공격할 수 있다며 해커들이 인터넷 커뮤니티에 공개한 게시물 가운데 일부. 공급 회사와 해당 제품명이 명시됐지만 이를 악용할 우려에 대비해 모자이크 처리했다. 해킹 홈페이지 캡처

한국인의 개인정보를 빼내기 위해 국내 유명 보안프로그램을 ‘맞춤형’으로 노리는 해킹용 악성코드가 처음 확인됐다. 이 악성코드가 타깃으로 삼은 보안프로그램은 정부 기관과 기업 1500여 곳이 쓰고 있는 국내 대표 업체의 제품이다. 이에 따라 해당 악성코드를 해커가 내려받을 경우 올해 7월 ‘네이트·싸이월드’ 해킹 사태에 이은 대규모 개인정보 유출 사태가 우려된다.

○ 정보보안 시스템을 노린다

22일 기자는 국내 한 화이트 해커(선의의 목적을 가진 해커)의 제보로 중국 해커 커뮤니티로 추정되는 웹사이트에서 이 악성코드가 유포되기 시작한 사실을 확인했다.

중국의 해커 조직으로 알려진 ‘CWH언더그라운드’팀이 6일 게시한 문건에는 △한국 A기업이 만든 B방화벽을 무력화하는 기법 △B방화벽이 보호하는 내부 정보를 조작할 수 있는 악성코드 등이 상세하게 기술됐다.

이에 이 악성코드의 역할과 위험성을 파악하기 위해 고려대 정보보호대학원 측에 분석을 23일 의뢰했다. 고려대 측이 이 문건을 긴급 분석한 결과 해당 악성코드는 초보적인 해킹 관련 지식이 있는 사람이라면 누구나 해킹에 즉각 활용할 수 있는 것으로 확인됐다.

보안기술에서 얘기하는 방화벽은 화재 시 불을 차단하는 방화벽과 마찬가지로 기관이나 기업의 중요 자료를 보관하는 서버를 외부의 해킹 시도로부터 차단하는 역할을 한다. 방화벽이 뚫린다고 서버의 정보가 모두 유출되는 건 아니다. 하지만 화재 시 방화벽이 작동하지 않으면 피해가 훨씬 커지듯 보안 방화벽이 작동하지 않으면 상당수의 정보가 유출될 가능성이 높아진다. 특히 이 악성코드는 ‘mySQL’이라는 국내에서 흔히 쓰이는 데이터베이스의 정보를 빼내는 기능을 갖고 있어 더욱 위험하다는 게 고려대 측의 분석이다. 대부분 국내 기업들은 개인정보를 비롯한 여러 정보를 mySQL 기술로 저장한다.

고려대 정보보호대학원 이경호 교수는 “해커가 B방화벽을 우회해 해당 서버를 전적으로 통제하는 권한을 획득할 수 있다”고 설명했다. 서버가 해커를 해당 기관의 정보보안 최고 책임자로 ‘착각’하게 된다는 것이다.

특히 사이트 주소만 알면 누구나 중국 커뮤니티에 접속해 이 악성코드를 내려받을 수 있다는 점도 문제다. 보안을 위해 건물에 최첨단 자물쇠를 설치했는데 이 자물쇠를 푸는 열쇠를 도둑이 열쇠가게에서 쉽게 구할 수 있는 셈이다.

○ 1500여 개 공공기관-기업 정조준

정보보안 전문가들이 이 악성코드를 심각하게 여기는 또 한 가지 이유는 이것이 ‘한국기업의 보안 장비’라는 분명한 공격 목표를 갖고 있다는 점이다. 한국인의 몸에만 반응하는 세균을 보건당국의 눈을 피해서 퍼뜨린 것과 마찬가지다.

B방화벽을 쓰지 않고 다른 방화벽을 도입한 기관은 일단 해킹 위협으로부터 안전하다. 하지만 국내에 B방화벽을 도입한 기관과 기업이 1500개가 넘는다. 이 중에는 외교 안보 관련 정부 중앙부처도 다수 포함돼 있다.

이런 문제가 발생한 이유는 해커들이 어떤 기관이 어떤 보안 제품을 쓰는지 쉽게 알 수 있다는 데 있다. 정보보안 업계에선 관행적으로 제품 홍보를 위해 행정안전부나 통일부 등 특정 기관에 자신들의 특정 제품을 공급했다는 사실을 공개한다. 이 때문에 해당 기관을 노리는 해커들이 쉽사리 맞춤형 악성코드를 제작할 수 있는 것이다.

또 정부기관이나 기업들이 보안장비를 구매하기 위한 예산은 기꺼이 쓰면서도 이에 대한 유지보수 비용을 쓰는 데는 인색한 것도 문제다. 유지보수 비용을 쓰지 않으면 해커들이 시도하는 최신 공격을 실시간으로 막아내기란 사실상 불가능하다.

고려대 측은 “현재 유일한 대책은 해커가 이 악성코드로 공격을 시작하기 전에 악성코드를 막을 수 있는 정보보안 소프트웨어를 만드는 것”이라고 밝혔다. 이를 B방화벽에 다시 설치하면 문제가 해결된다고 설명한다.

한 정보보안업체 전문가는 “단순 계산해도 신종 공격 수법을 분석하고 분석 결과에 따라 소프트웨어를 만든 뒤, 이를 1500개 기관에 배포하는 데 일주일은 걸린다”며 “국가정보원 등 정부기관과 공조해 시간을 최대한 단축해야 한다”고 말했다.

정진욱 기자 coolj@donga.com