[일요시사 취재1팀] 장지선 기자 = “내 개인정보가 공공재가 되고 있다.” 연이은 개인정보 유출 사고에 한탄하는 목소리가 커졌다. 반면 정보 유출에 대한 충격파는 작아졌는데 이는 점점 무뎌지고 있다는 방증이다. 더 큰 문제는 사고를 예방하기보다 수습에 방점을 찍고 있다는 점이다. 우리나라 보안 전문가들은 현 상황을 어떻게 보고 있을까? <일요시사>가 10명의 ‘화이트해커’에게 물었다.
30대 직장인 김모씨는 하루에도 몇 통씩 오는 문자메시지에 스트레스를 받고 있다. ‘고수익 보장’ ‘종목 추천’ 등 메시지의 내용도 다양하다. 오는 족족 삭제하고 번호를 차단했지만 다음 날이면 또 다른 번호로, 또 다른 내용의 메시지가 온다. 김씨는 본인 번호가 대체 어디까지 퍼져 있는지 궁금했다.
어디서 새서
어디로 가나
개인정보가 더는 ‘개인’의 것이 아니게 된 모양새다. 안전지대는 없다는 말이 나올 정도로 전방위로 털리고 있다. 이름, 나이, 주민등록번호, 주소 등 민감한 정보도 예외는 없다. 통신사, 카드사 등에서 개인정보가 유출된 한 이용자는 “(개인정보는) 내 것이 아니라는 생각으로 살고 있다”고 말했다.
지난 23일 통신업계 등에 따르면, LG유플러스는 이날 한국인터넷진흥원(KISA)에 서버 해킹 피해와 관련한 신고서를 제출했다. 서버 해킹 정황이 있다는 것이다. 지난 7월 화이트해커로부터 LG유플러스에서 내부자 계정을 관리하는 APPM 서버 해킹이 있었다는 제보를 받은 KISA가 관련 내용을 전달한 지 약 3개월 만이다.
미국 보안 전문 매체 <프랙>은 해커 집단이 외주 보안업체 시큐어키를 해킹해 얻은 계정 정보로 LG유플러스 내부망에 침투해 8938대의 서버 정보와 4만2256개의 계정, 167명의 직원 정보를 빼돌렸다고 보도했다. 당시 LG유플러스는 자체 점검을 벌인 뒤 8월 사이버 침해 정황이 없다고 과학기술정보통신부에 통보했다.
앞서 홍범식 LG유플러스 대표는 지난 21일, 국회 과학기술정보방송통신위원회 정보통신기술 분야 산하 기관 국정감사에서 KISA에 피해 사실을 신고하겠다고 밝혔다. 홍 대표는 “사이버 침해 사실을 확인한 이후에 신고하는 것으로 이해하고 있었는데 여러 혼란과 오해가 발생하고 있어 조금 더 적극적으로 검토할 예정”이라고 말했다.
이날 국감에서 조국혁신당 이해민 의원은 “LG유플러스가 비밀번호를 암호화하지 않고 소스코드 안에 그대로 노출했다는 것은 금고 바깥에 비밀번호를 써서 쪽지로 붙여 놓은 꼴”이라며 “기술적인 문제 이전에 심각한 보안 불감증”이라고 비판했다.
이 의원에 따르면 LG유플러스가 자체적으로 계정 권한 관리시스템을 분석한 결과 모바일로 시스템에 접속 시 2차 인증 단계에서 숫자 ‘111111’을 입력하고 특정 메모리값을 변조하면 시스템에 접근할 수 있는 등 모두 8개의 보안 취약점이 드러났다.
또 웹페이지에는 별도 인증 없이 관리자 페이지에 접근할 수 있는 백도어가 있었고 소스코드에는 백도어에 접속할 수 있는 비밀번호 3자리, 계정 관리에 필요한 비밀번호가 암호화되지 않은 채 평문으로 노출돼있었다.
이 의원은 “LG유플러스가 서버 운영체계를 재설치하고 이미지를 뜬 것을 제출했는데 (재설치 전) 상황 그대로가 이미지에 담겼다고 어떻게 보장할 수 있는지 문제”라며 “이 과정에서 보안 사고 매뉴얼대로 했는지 조사가 꼭 필요하다”고 강조했다.
LG유플러스가 KISA에 해킹 피해 정황을 신고하면서 국내 통신 3사 모두 보안 문제를 노출했다. 지난 4월 SKT 서버에서 2300만명의 개인정보가 유출되는 초대형 해킹 사고가 일어났다. KT 역시 이용자가 알지 못하는 사이 무단으로 소액 결제가 이뤄지고 2만여명의 개인정보가 유출되는 사고가 발생했다.
국내 통신3사 다 털렸다
이용자만 피해보는 구조
SKT 해킹 사고가 일어난 이후 KT와 LG유플러스 등은 보안을 강조하면서 고객 유치에 나섰다. 실제 SKT의 점유율이 떨어지고 이용자가 이탈하는 등 통신업계에 지각 변동이 일어났다. 하지만 KT와 LG유플러스에서도 보안 사고가 일어나면서 피해는 오롯이 국민 몫으로만 남았다.
일부 이용자는 SKT 해킹 사고로 통신사를 옮겼다가 피해를 당했다.
통신사에서만 개인정보 유출 사고가 일어난 게 아니었다. 카드사, 은행, 생명보험사 등도 해커의 표적이 됐다. 국민의힘 강민국 의원실이 금융감독원으로부터 받은 자료에 따르면, 2020년부터 올해 9월까지 해킹 침해 사고는 총 31건, 전산장애는 총 1884건에 달했다.
연도별로는 2020년 8건, 2021년 5건, 2022년 1건, 2023년 5건, 지난해 4건, 올해는 9월까지 8건이다.
올해 발생한 해킹 건만 보면 IM뱅크(2월28일), KB라이프생명(5월16일), 노무라금융투자(5월16일), 한국스탠다드차타드은행(5월18일), 하나카드(6월17일), 서울보증보험(7월14일), 악사손해보험(8월3일), 롯데카드(8월12일) 등이다.
해킹 사고로 유출된 정보는 총 5만10004건, 배상 인원은 172명, 배상금액은 2억710만원으로 집계됐다. 다만 하나카드, KB라이프, 악사손해보험 등은 정보 유출은 없었다고 해명했다.
일각에서는 ‘소 잃고 외양간 고치는’ 대응 방식을 문제 삼고 있다. 해킹 사고가 일어나면 업체는 보상, 정부는 징벌, 국회는 입법 등의 방법으로 상황을 해결하려 하는데 이미 민감한 개인정보는 누군가의 손에 넘어가 있다는 것이다.
‘뒷북’을 치는 방식으로는 피해에 대한 온전한 보전이 이뤄질 수 없고 재발도 막지 못한다는 목소리가 나온다.
실제 전 국민의 절반에 이르는 이용자의 개인정보가 담긴 유심이 해킹되는 초유의 사고가 일어난 이후 SKT는 보상 명목으로 ‘고객 감사제’를 진행했다. 계약 기간 도중에 통신사를 이동하는 등의 상황에 부과되는 위약금을 면제하라는 이용자의 요구가 빗발쳤지만 SKT는 답변을 미루다가 국회가 나서자 떠밀리듯 결정한 바 있다.
정부는 SKT에 약 1400억원에 이르는 과징금을 부과했는데 이는 역대 최대 규모 금액이다. 지난 8월28일 개인정보보호위원회는 전날 열린 전체회의에서 SKT에 과징금 1347억9100만원과 과태료 960만원을 각각 부과했다고 밝혔다.
지난 4월 SKT 해킹 사고 이후 KISA와 함께 3개월 간 조사를 진행한 결과다. 그 결과 SKT 이용자 2324만4649명(알뜰폰 포함)의 휴대전화번호, 가입자식별번호, 유심인증키 등 총 25종의 정보가 유출된 것으로 드러났다.
개인정보보호위에 따르면 해커는 2021년 8월 SKT 내부망에 처음 침투해 다수 서버에 악성프로그램을 설치했다. 2022년 6월에는 통합고객인증시스템에도 악성프로그램을 설치했다. 이후 이들이 올해 4월18일 홈가입자서버 데이터베이스에 저장된 이용자 개인정보 9.82GB를 외부로 유출한 것이 확인됐다.
국회 질타
떠밀리듯
개인정보보호위는 SKT 측이 기본 보안 조치를 제대로 하지 않은 책임이 있다고 봤다. SKT는 인터넷·관리·코어·사내망을 같은 네트워크로 연결해 운영하면서 국내·외 인터넷망에서 SKT 내부 관리망 서버로 접근을 제한 없이 허용했다. 또 침입 탐지 시스템의 이상 행위 로그도 확인하지 않아 해킹 시도를 탐지하지 못했다.
국회는 통신3사의 수장들을 불러 모아 강하게 질타했다. 국정감사 시즌과 맞물리면서 해킹 사고가 가장 큰 화두로 떠올랐다. 여야 할 것 없이 한목소리로 맹공을 퍼부었다. 국회는 이번 국감을 통해 “데이터 해킹은 국가적 재난 수준”이라며 정부와 통신사 모두에 근본적인 체계 개선을 주문했다.
최민희 과방위원장은 “국민의 개인정보를 지켜내는 시스템을 강화하지 못하면 디지털 전환의 신뢰 기반이 무너진다”고 지적했다.
통신3사 대표들은 국회의원의 질타에 고개를 숙였다. 그러면서도 단일 기업으로는 해킹 사고를 막기 어렵다는 의견을 토로했다.
유영상 SKT 대표는 지난 21일 국감에서 해킹 사태를 겪은 소감에 대해 “사실 굉장히 힘들었다”며 “전체 대응도 대응이지만 원인 파악을 위해 정부 민관합동조사단에서 많이 도와주셨어도 아직까지 누가 이렇게 했는지 범인을 찾지 못한 상황이다. 그런 것까지 치면 단일 기업으로 대응하기는 어렵다”고 말했다.
유 대표에게 질의한 국민의힘 박충권 의원은 “우리나라 기업을 해킹하는 조직들은 국가급 단체고 북한 해커들도 부대급으로 운영하고 있다”며 “이런 상대에 맞서 싸우는 것을 기업에만 맡겨서 되겠냐”고 지적했다. 박 의원은 “국가급 해커부대들을 상대해서 털리고 그게 발각되면 천문학적인 과징금을 받으니 기업들이 제대로 신고하겠나”라며 “기업이 신고하고 대응할 수 있는 예방 환경을 만들어야 한다”고 주장했다.
그렇다면 보안 전문가로 활약 중인 화이트해커들은 현 상황을 어떻게 보고 있을까?
<일요시사>는 한국정보기술연구원(KITRI)의 화이트해커 양성 프로그램인 BoB(Best of the Best) 멘토들에게 의뢰해 국가 보안 현안에 관해 물었다. KITRI는 ‘정보 보안 우수 인재 양성을 통해 국가적 보안 난제 해소’를 목표로 2012년부터 BoB 프로그램을 운영하고 있다.
지난해 13기까지 총 2014명의 보안 리더를 배출했고 특히 세계 최고 수준의 해킹방어대회로 알려진 ‘DEFCON CTF’에서 다섯 차례나 우승하는 쾌거를 이뤘다. <일요시사> 인터뷰에 응한 화이트해커 10명은 차세대 보안 리더를 양성하는 이들로 국내·외 기업에서 사이버 보안을 위해 일하고 있다.
화이트해커는 해킹 기술을 공익적인 목적으로 사용하는 보안 전문가를 가리킨다. 이들은 기업이나 기관의 시스템을 합법적으로 공격해 보안 취약점을 미리 발견하고 이를 보완해 블랙해커의 공격을 예방하는 역할을 한다. 즉 공격자의 관점에서 시스템의 약점을 찾아내는 ‘착한 해커’인 셈이다.
한 전문가는 “화이트해커는 소프트웨어와 하드웨어의 취약점을 찾고 이를 벤더나 제작자에 알린다. 때에 따라서는 해당 취약점에 대한 수정 방법이나 수정안을 같이 제출한다”고 설명했다. 이어 “BoB 등 전문 교육 과정을 통해 매년 수백 명의 화이트해커를 양성하고 있다”며 “화이트해커의 수는 정확하게 파악하고 있지 않지만 1만명이 안 된다고 생각한다”고 밝혔다.
화이트해커들은 개인정보 유출 사고의 규모가 커지고 빈도가 늘었다는 주장에 입을 모아 “아니”라고 답했다. 기존에도 비슷한 수준으로 사고가 일어났지만 통신사, 군, 정부가 대상이 되면서 대중의 관심이 커졌다는 설명이다.
한 전문가는 “개인정보 유출 사건이나 해킹 시도에 관한 내용을 숨기는 게 아니라 공개적으로 공유해 공격자들이 사용하는 방법과 침투 경로를 공유하면 좋겠다”는 의견을 냈다.
보상 부실
문화 경직
또 다른 전문가는 “최근에 일어난 사고들이 이전보다 규모가 커지고 빈번해진 것도 있지만 과거에는 드러나지 않았던 사고가 수면 위로 드러나는 현상으로 봐야 한다”고 했다. 그러면서 “SKT 해킹의 경우 해커가 장기간 시스템에 잠복해 활동한 것처럼 이미 알려지지 않은 위협이 내재해 있다가 최근에야 발견되는 사례가 늘고 있는 것”이라고 말했다.
화이트해커와 반대되는 개념인 블랙해커의 목적은 ‘돈’, 즉 금전적 이득이라고 강조했다. 전문가에 따르면 탈취된 개인정보는 다크웹(특별한 소프트웨어나 설정을 통해서만 접근할 수 있는 웹 공간) 등의 불법적인 경로를 통해 보이스피싱, 스미싱 등의 범죄를 저지르는 조직에 판매된다.
범죄조직은 확보한 정보를 이용해 피해자 명의의 대포폰을 개설하고 소액 결제를 진행한다. 또 금융 정보를 빼내 자산을 탈취하는 등 2차, 3차 범죄를 저지른다.
한 전문가는 “개인정보가 유출된 피해자는 스팸 문자나 광고 전화에 시달리게 되고 심할 경우 신용등급 하락이나 금융 사기 등의 피해를 입을 수 있다”고 경고했다.
기업의 보안 조치에 관해서도 설명했다. 이들은 “데이터 암호화, 접근 제어, 침입 탐지 시스템, 방화벽, 정기적인 보안 감사 및 취약점 점검 등 기업은 다양한 보안 조치를 시행하고 있다”며 “또 직원 교육을 통해 사회공학적 공격에 대한 인식을 높이고 있다”고 전했다.
그러면서도 “완벽한 보안은 없다. 블랙해커는 지속적으로 새로운 공격 기법을 개발하고 있어 기업은 항상 최신 보안 기술과 정책을 유지해야 한다”고 조언했다.
또 “개인정보 유출을 확인하기 위해 상시 보안 관제, EDR, DLP, 정기적인 시스템 점검 및 감사 등을 통해 비정상적인 접근이나 데이터 유출 징후를 모니터링할 수 있다”며 “다크웹에 대한 모니터링도 (정보 보호의) 한 방법이 될 수 있다”고 말했다.
보안에 관한 기업의 행보에 아쉬움을 토로하는 의견도 나왔다.
화이트해커들은 “대부분 기업은 방화벽, 침입 탐지 시스템 같은 보안 설루션을 도입하고 정보보호 관리체계 인증을 획득하는 등 법과 제도적 요구 사항을 이행하는 수준의 조치를 하고 있다”며 “그러나 이는 최소한의 방어 조치일 뿐 고도화되는 해킹 기술을 막기에는 역부족인 경우가 많다”고 지적했다.
다른 전문가는 “근본적으로 최고경영자가 보안을 비용이 아닌 필수로 인식하고 투자를 확대해야 하는데 현실은 그렇지 못한 경우가 많다”고 토로했다.
보안 전문가 양성 등 정부의 보안 정책에 관해서도 언급했다.
전문가들은 “우리나라 화이트해커들의 개별 기술력은 세계 최정상급으로 각종 국제 해킹 대회에서 우수한 성적을 거두고 있다”면서도 “하지만 기업과 사회 전반의 보안시스템과 인식 수준은 이러한 기술력을 따라가지 못하는 실정”이라고 입을 모은다.
그러면서 그 배경으로 보안을 비용으로 취급하는 문화와 경직된 규제 환경을 꼽았다.
이들은 “정부는 차세대 보안리더 양성 프로그램(BoB), 화이트햇 스쿨 등 다양한 교육 과정을 통해 전문가를 양성하고 있다”며 “그러나 항상 예산 삭감 및 소극적인 지원으로 인력 양성 프로그램이 제대로 돌아가지 못하는 것 같다”고 안타까움을 드러냈다.
보상·과징금으로 ‘사후약방문’
“더 많은 보안 전문가 양성해야”
우리나라에서 보안 전문가로 활동하면서 어려운 점은 없는지 묻자 “화이트해커의 역할이 소프트웨어나 하드웨어의 취약점을 찾고 알리는 것이라고 말했지만, 사실 이런 일이 한국에서는 어렵다”고 털어놨다.
익명을 요구한 한 전문가는 “저는 미국에서 만든 주요 소프트웨어나 하드웨어에 대한 취약점을 찾고 이에 대한 보상을 받는다”고 말했다. 이어 “우리나라에도 화이트해커가 보안 취약점을 찾았을 때 보상하는 프로그램이 존재하지만 유명 소프트웨어 기업에서 운영하는 보상 프로그램은 굉장히 적다”며 “많은 보안 전문가들이 KISA를 통해 취약점을 알리고 보상을 받아왔지만 한계가 분명히 존재한다”고 강조했다.
화이트해커들은 그 이유로 KISA가 소프트웨어 개발업체가 아니고, 권고만 할 수 있는 기관이라는 점을 언급했다.
이들은 “KISA는 취약점에 대한 사후 관리가 미흡하고 보상도 노력 대비 현저히 낮다”며 “KISA가 보상 프로그램에 예산을 쓸 게 아니라 관련 법안을 만들고 각 소프트웨어 공급자들에게 이를 강제할 수 있는 방안을 찾아야 한다”고 주장했다.
화이트해커들은 경영진의 낮은 보안 인식을 활동의 가장 큰 어려움으로 꼽았다.
이들은 “보안 투자는 당장 이익으로 직결되지 않기에 비용으로 취급돼 후순위로 밀리는 경우가 많다”고 말했다. 정부 규제도 문제로 지적했다.
한 전문가는 “망 분리와 같이 현실과 맞지 않는 획일적이고 경직된 정부 규제가 변화하는 위협에 유연하게 대응하는 것을 어렵게 만드는 걸림돌이 되기도 한다”고 짚었다.
또 “(보안) 취약점을 발견하고 보고해도 이를 해결하기보다 숨기기에 급급한 조직문화 역시 전문가의 활동을 위축시키는 요인”이라며 “가장 어려운 건 기술이 아니라 사람”이라고 한탄했다.
화이트해커가 힘들게 취약점을 찾아 알려줘도 담당자가 ‘괜히 일을 만들었다’고 말하거나 임원이 ‘보고서에 문제가 있다는 내용이 들어가면 안 된다’고 수정을 요구한다고 비판했다.
한 화이트해커는 “우리는 의사처럼 시스템, 애플리케이션, 서비스 등 IT 분야에서 병을 진단해주는데 환자가 진단을 거부하고 의사를 가볍게 여기는 케이스가 생각보다 많이 있다”고 자조했다. 화이트해커들은 보안 전문가 양성을 위한 지원이 더 필요하다고 입을 모았다. 사업과 제도적 지원을 늘려달라는 요구였다.
한 전문가는 “교육 프로그램에서 사용되는 노트북의 성능이 매우 낮다. 최신 해킹 기술, 정보 보안 기술을 학습하는 데 어려움이 많다”고 전했다.
한 전문가는 “정부는 데이터의 중요도와 흐름에 기반한 유연하고 실효성 있는 정책을 마련해야 한다”며 “또 기업이 보안에 적극적으로 투자하도록 인센티브를 제공하고 사고가 발생했을 때 투명하게 정보를 공개하고 책임질 수 있는 환경을 조성해야 한다”고 조언했다.
최고경영자가 보안을 비용이 아닌 생존을 위한 투자로 인식을 전환해야 한다고 거듭 강조했다.
이어 “방어에만 급급할 게 아니라 유능한 화이트해커를 고용하거나 버그 바운티(취약점 포상제)를 도입하는 등 공격적인 보안체계를 갖추고 취약점을 발견하고 개선하는 것을 당연하게 여기는 조직문화를 만들어야 한다”고 덧붙였다.
화이트해커들은 “BoB와 같은 실질적인 정보 보안 인재 양성 프로그램을 적극 지원해 국가 사이버 보안을 이끌어 갈 수 있는 전문가를 최대한 많이 양성할 수 있도록 예산 및 정책을 지원해야 한다”며 국가적 노력을 요구했다. 또 “기업이 보안 사고를 냈을 때 숨기지 않고 정직하게 공개하면 과징금을 감면하는 ‘자수 감면 제도’를 만드는 것도 고려해볼 만하다”고 제안했다.
지원 늘리고
환경 만들어야
아울러 “해킹당하고 싶어서 적당하게 일하는 보안 담당자는 없다. 그들도 최선을 다하지만 해킹 사고 발생에 따른 막대한 책임으로 다들 해당 직무를 기피한다”며 “보안 담당자가 안심하고 일할 수 있는 환경을 만들어달라”고 말했다.
