중앙선거관리위원회는 윤석열 대통령이 12일 대국민담화에서 언급한 부정선거 의혹에 대해 “도히 발생할 수 없는 일”이라고 반박했다. 국회 행정안전위원회 야당 간사인 윤건영 더불어민주당 의원은 선관위가 이날 오전 민주당 행안위원들과 가진 비공개 간담회에서 이렇게 설명했다고 전했다. 윤 의원은 “윤 대통령의 대국민 담화에서 있었던 선관위 언급에 대해 여러 질의가 있었다”면서 “선관위는 오늘 윤 대통령이 언급한 내용은 이미 모두 개선된 내용이라고 했다”고 말했다. 이어 “지난해 24억원의 예산을 투입하고 올해는 50억원의 예산을 투입해 보안 조치를 해소했다”면서 “앞서 국가정보원의 중앙선관위 시스템 점검을 한국인터넷진흥원(KISA)과 3자 검증 형태로 진행한 보안 컨설팅 작업도 완료됐다”고 덧붙였다. 윤 의원은 “선관위는 폐쇄망이라 외부 접근이 불가하고 이동식저장장치(USB)를 꽂아야 가능하다고 한다. 그런데 계엄군이 USB를 꽂은 흔적은 발견하지 못했다”면서 “선관위는 해킹이 불가능하다고 한다. 서버가 인터넷과 연결돼 있지 않고 페쇄망 단말기라서 북한·중국 또는 기타 국가에서 인터넷으로 해킹이 불가능하다고 한다”고 전했다. 다만 “계엄군이 (선관위) 조직도를 탈취한 것 같다”면서 “계엄군이 선관위에 왔을 때 해킹 여부 관련 시간대에 선관위 로그 기록이 없다는 것을 확인했다”고 밝혔다. 윤 의원은 “부정선거를 얘기하는 여러 집단에 대해 선관위는 기존에 고발조치 단행했지만, 선거 자유 방해죄가 없어서 어려움 겪고 있다고 한다”고 강조했다. 신정훈(민주당) 행안위원장은 “오늘 선관위를 점검해봤지만 예상대로 선관위는 외부 침입이나 부정선거 대응 능력이 충분하다고 생각한다”면서 “따라서 계엄령 명분으로 삼고 있는 윤 대통령의 논리는 실현 가능성도 없고 괴담에 가까운 논리”라고 비판했다. 신 위원장은 “선관위 방문을 통해 계엄령과 친위 쿠데타 사태가 법률적으로, 헌법적으로 대단히 불합리하다는 것을 확인했다”면서 “현장에서 현재 윤 대통령의 심리·정신 상태를 심각히 우려하는 것도 확인했다”고 말했다. 윤 대통령은 이날 오전 발표한 대국민 담화에서 중앙선관위의 전산 시스템이 “엉터리”였다며 사실상 부정선거설을 제기했다. 윤 대통령은 이날 대국민 담화에서 “제가 비상계엄이라는 엄중한 결단을 내리기까지 그동안 직접 차마 밝히지 못했던 더 심각한 일들이 많이 있었다”며 “지난해 하반기 선관위를 비롯한 헌법 기관들과 정부 기관에 대해 북한의 해킹 공격이 있었다”고 말했다. 윤 대통령은 선관위가 해킹에 취약하고 비밀번호도 단순한 숫자 나열에 불과했다고 지적했다. 윤 대통령은 올해 총선을 앞두고 문제가 있는 부분에 대한 개선을 요구했지만 제대로 개선됐는지 알 수 없다고 했다. 또 계엄 당시 국방부 장관에게 선관위 전산시스템을 점검하도록 지시했다고 밝혔다.

올 들어 딥페이크 범죄 신고 964건야탑역 등 살인예고에 불안감 커져텔레그램 등 해외 서버 검거 힘들어성인 피해도 위장수사 법 개정 추진 헌재서 제동 걸린 게시판 실명인증“대형 커뮤니티 의무화 재논의해야”최근 ‘딥페이크’(이미지합성기술)를 활용한 성범죄와 온라인 익명제 뒤에 숨어 ‘살인예고’ 글을 작성하는 범죄가 늘고 있다. 과거 온라인 관련 범죄는 중고거래 사기, 욕설 및 비방 모욕, 스팸 메일 등을 통한 악성코드 배포나 해킹이 주를 이뤘다면 이제는 더욱 고차원적인 기술이 적용된 범죄가 일상에서 유행처럼 번지고 있다. 지난 9월 18일 ‘익명성’을 강조하는 한 온라인 커뮤니티에 “야탑역(경기 성남) 월요일(23일) 30명은 찌르고 죽는다”는 글이 올라왔다. 이 글에는 구체적으로 범행을 벌이겠다는 장소로 보이는 곳의 캡처 이미지도 첨부돼 시민의 불안을 키웠다. 경찰은 불안을 해소하고자 범행 예고 당일 야탑역 일대에 특공대를 포함한 경찰 인력 120여명과 장갑차를 투입했다. 다행히 작성자가 예고한 범행은 아직 발생하지 않았으나 경찰은 여전히 작성자를 쫓는 등 수사 인력이 투입되고 있다. 유명 연예인 등을 대상으로 했던 딥페이크 성범죄는 일상으로 퍼져 나갔다. 평소 알고 지내던 사람의 얼굴을 음란물에 합성하는 이른바 ‘지인 능욕’ 음란물이 텔레그램 등 소셜미디어(SNS)를 통해 판매된 지는 이미 오래다. ●학교·학원가도 퍼져… 피해자만 883명 딥페이크 범죄의 그림자는 비단 성인에만 국한되지 않았다. 학교나 학원가 등으로도 퍼져 아동·청소년 피해가 속출했다. 교육부가 지난 4일 공개한 ‘학교 딥페이크 허위 영상물 피해 현황’ 9차 조사 결과 발표에 따르면 올해 1월부터 이달 1일까지 피해 학생은 883명으로 집계됐다. 이는 일주일 전인 8차 조사 때(865명)보다 18명 늘었다. 경찰청에 따르면 올해 1월 1일부터 지난달 25일까지 딥페이크 성범죄 사건 총 964건을 접수했으며, 이 중 현재 506명을 검거(구속 23명)했다. 최근 집중 단속을 벌여 피해 신고는 감소 추이로 접어들었으나 여전히 피해 신고가 접수되는 등 딥페이크 범죄는 ‘현재진행형’이다. 살인예고 범죄도 마찬가지다. 지난해 8월 14명의 사상자가 발생한 ‘서현역 흉기 난동’ 사건을 계기로 만들어진 ‘위험 지역 알리미’(테러리스)에도 현재까지 총 176건의 살인예고 경고가 떠 있다. 경찰은 지난해 8월부터 올해 6월까지 살인예고자 321명을 검거한 바 있다. ●수사관들 “강화된 법도 검거에 역부족” 수사당국의 검거에도 딥페이크와 살인예고 가해자 검거율은 50% 안팎으로 다른 범죄들과 비교해 저조하다. 올해 딥페이크 성범죄 사건 검거율은 약 56%다. 테러리스에 따르면 살인예고 글 작성자 역시 절반가량이 검거되지 않은 상태로 나타났다. 사이버범죄 수사관들은 다른 범죄 대비 검거율이 낮다는 점에 동감하면서도 “현행 제도를 손보면 검거율을 높이고 범죄를 예방하는 데 큰 도움이 될 것”이라고 했다. 먼저 딥페이크와 살인예고 범죄의 공통점으로는 ▲가해자 연령대가 낮고 ▲얼굴 없는 범죄(익명성)이며 ▲국경을 초월하고 ▲원한이 없는 범죄라는 점 등을 꼽았다. 즉 비대면으로 이뤄지다 보니 공간에 제약이 없으며 죄책감이 덜하고, 책임감이 적다 보니 연령대가 낮은 청소년들이 ‘장난’을 이유로 범행하는 경우가 많다는 것이다. 이를 고려해 수사관들은 현행 제도를 수정·보완해야 한다고 조언했다. 해외에 서버를 두는 텔레그램 등에서 딥페이크 음란물 거래가 이뤄져 국내에서는 신원 특정이 어려운 사이버 범죄임을 고려해 ‘위장수사’를 허용하자는 것이다. 이에 법무부는 딥페이크 성범죄 피해자가 성인이어도 위장수사를 할 수 있도록 성폭력처벌법 개정에 나선다. 다중에 대한 협박과 위계에 의한 공무집행방해 소지가 있는 살인예고 범죄의 경우 온라인 커뮤니티 등 운영사에 사회적 책임을 강화할 필요성을 제기했다. 2개월 가까이 오리무중인 야탑역 살인예고 사례처럼 해외에 서버를 둔 커뮤니티 등의 경우 신원 파악을 위해 해외 수사당국의 협조가 필요한데 수개월의 시간이 걸릴 수 있다. 국가마다 사이버 범죄의 경중을 달리하는 등 문화적 차이가 있어 수사 협조가 원활하지 못한 경우도 더러 있다. 이를 대비해 일정 규모 이상의 커뮤니티 운영사에 회원 정보를 관리할 책임을 부여해 익명으로 이뤄지는 범죄에 예방하자는 취지다. 한 경찰관은 “쉽게 검거되지 않는 사례를 보면 해외에 서버를 두는 경우 등이다. 또 이런 점을 내세워 마케팅하는 운영사들이 있다”며 “온라인상 모든 커뮤니티 운영사에 사회적 책임을 부여할 수는 없겠으나 익명 범죄 예방을 위해 특정 규모 이상의 대형 플랫폼은 실명인증을 의무화할 필요가 있다”고 제언했다. 지금으로부터 10여년 전 ‘악성댓글’로 인한 유명 연예인 등 개인의 피해가 심각한 사회문제로 대두되자 하루 평균 이용자 10만명 이상인 인터넷 사이트 게시판에 대해 실명인증제도를 부여하도록 정보통신망법이 개정된 바 있다. 그러나 2012년 헌법재판소가 위헌 결정을 내려 현재는 공공기관 게시판만 실명인증 의무가 있다. 하지만 최근 유명인은 물론 일반인까지 딥페이크 피해를 입고, 일반인을 대상으로 한 살인예고 등 사회에 끼치는 해악이 더욱 다양화하고 심각해진 만큼 재논의가 필요하다는 목소리가 나온다. ●경범죄 아닌 중범죄… “경각심 가져야” 수사관들은 익명성 뒤에 숨은 범죄라 할지라도 검거 가능성이 매우 크다고 자신했다. 이 경찰관은 “검거율이 다른 범죄보다 낮은 건 사실이지만 수사에 시간이 걸릴 뿐 모두 검거된다”고 강조했다. 딥페이크 범죄의 공소시효는 7년이고 살인예고(협박) 범죄는 5년이다. 해외 수사당국에 판매·작성자 추적을 위한 수사 협조를 구하는 시간 등을 모두 고려해도 시간이 충분하다는 것이다. 이들 범죄의 형량도 결코 작지 않다. 최근 온 사회를 충격에 빠뜨린 이른바 ‘서울대 딥페이크’(서울대 N번방) 사건으로 불리는 디지털 성범죄 사건의 주범은 1심에서 징역 10년을 선고받았다. 공범 역시 징역 4년을 선고받으며 무거운 범죄임을 실감케 했다. 지난해 서울의 한 대학교에서 불특정인을 대상으로 살인하겠다며 대학생 인터넷 커뮤니티에 살인예고 글을 올려 위계에 의한 공무집행 방해와 협박 혐의로 기소된 작성자는 징역 8개월에 집행유예 2년을 선고받고 보호관찰과 사회봉사 120시간을 명령받았다.

북한이 핵·미사일 위협의 강도를 높이는 마당에 국방부와 합참 홈페이지가 디도스 공격을 받았다는 소식에 걱정이 앞선다. 우크라이나 전쟁 이후 사이버 공격 능력과 드론 전술은 현대전의 승패를 가름하는 양대 요소로 떠올랐다. 그런 만큼 러시아에 파병된 북한 특수부대가 드론 전술을 실전에서 체험하는 것은 우리에게 커다란 위협이다. 엎친 데 덮친 격으로 세계 최고 수준의 해킹 실력을 가진 북한의 사이버 공격까지 막아내야 하는 우리의 냉엄한 안보 현실이 또 한번 일깨워지는 사건이다. 디도스 공격이란 컴퓨터 서버나 네트워크 장비에 과도한 트래픽을 만들어 데이터 전송을 방해하는 해킹 기술이다. 러시아는 2022년 우크라이나를 침공하기에 앞서 외무부와 안보국 등 정부기관 70곳에 사이버 공격을 가해 12곳 이상 웹사이트를 다운시켰다. 러시아는 이후에도 우크라이나 금융기관을 해킹해 온라인 뱅킹을 마비시키고 있다. 2008년 조지아 침공 때도 정부기관 사이트를 먼저 공격해 국가 기능을 정지시키고 항복을 받아 냈다. 사이버 공격은 이제 병력을 투입하는 실전과 병행하는 필수적 전쟁 수단으로 자리잡았다. 국방부와 함참 홈페이지는 그제 한때 접속이 불안정했지만 이후 정상화됐다고 한다. 국방부는 해커가 내부망에는 침입하지는 못했다고 설명했다. 하지만 그것만으로도 마비되는 기능은 적지 않다. 우리의 해킹 대응 능력이 아직 든든하다고 할 수 없는 이유다. 디도스 공격에 대비해야 한다는 한국인터넷진흥원(KISA)의 권고도 있었다. 군은 북한과 러시아의 소행일 가능성에 무게를 둔다. 국방부와 합참 홈페이지 피습은 핵·미사일 대응뿐만이 아니라 사이버 대응 능력도 그에 못지 않게 중요하다는 사실을 새삼 일깨웠다. 정부와 군은 해킹 방어 능력을 북한의 공격 기술 이상으로 키워야 한다는 각오를 다지지 않으면 안 된다. 국민의 생명을 지키는 절대적 요소로 떠오른 ‘사이버 안보’에 배전의 역량을 기울이기 바란다.

중국산 에어프라이기와 연동된 앱이 사용자의 대화 내용을 듣고 틱톡에 공유한다는 보도가 나왔다. 5일(현지시간) 영국 매체 더썬은 중국산 에어프라이기 연동 앱이 수집한 사용자 데이터가 틱톡 등 중국 기업들의 서버로 전송됐다고 밝혔다. 영국 소비자 보호 단체 위치(‘Which?’) 조사 결과에 따르면 중국에 본사를 둔 ‘아이고스타’와 ‘샤오미’ 에어프라이기를 제어할 수 있는 앱이 사용자에게 대화 내용을 들을 수 있는 권한을 요구했다. 위치 추적 권한과 전화 시 내용을 녹음할 수 있는 권한도 포함됐다. 해당 앱들은 사용자 가입 시 수집된 데이터가 마케팅 목적으로 제3자에게 전달될 수 있다고 안내했다. 하지만 데이터 이용 목적에 대한 설명은 없었다. 영국 정보위원회(ICO)는 내년 봄에 소비자 데이터 사용에 대한 새로운 규정을 발표할 예정이다. 규정에는 기업들이 데이터 수집의 목적을 투명하게 밝혀야 한다는 내용이 담겼다. 위치는 “현재 스마트 제품 제조업체들과 협력 기업들이 소비자 데이터를 무차별적으로 수집하는데다 대부분 투명성이 없다”며 “봄에 적용될 새로운 규정은 해외 기업들에게도 철저히 적용할 것”이라고 밝혔다. 샤오미는 사용자 데이터를 중국 서버로 전송했다는 위치의 조사가 부정확하다고 해명했다. 또 연동 앱인 ‘샤오미 홈’에서 사용자 오디오를 녹음하는 권한은 에어프라이기 사용 시에는 적용되지 않는다고 전했다. 아이고스타는 이에 대한 입장을 밝히지 않았다. 두 모델은 현재 세계 최대 전자상거래업체인 아마존에서 판매되고 있다. 한편 앞서 지난해에는 중국산 IP 카메라가 해킹돼 국내 가정집을 비롯해 목욕·화장실 등 민감한 장소를 포함한 개인 사생활 영상 4500여개가 텔레그램을 통해 유출된 바 있다. 중국산 공산품의 보안 문제는 IP카메라에만 머무르지 않는다. 뉴욕포스트에 따르면 중국산 로봇청소기와 연동된 앱에서 해킹 흔적이 발견되기도 했다. 방송통신심의위원회는 “IP카메라 해킹 피해를 예방하기 위해서는 개별 이용자들도 아이디와 비밀번호를 주기적으로 변경하고, 보안 인증 제품을 사용하는 등 예방 조치를 강화해야 한다”고 조언했다.

북한이 핵·미사일 위협의 강도를 높이는 마당에 국방부와 합참 홈페이지가 디도스 공격을 받았다는 소식에 걱정이 앞선다. 우크라이나 전쟁 이후 사이버 공격 능력과 드론 전술은 현대전의 승패를 가름하는 양대 요소로 떠올랐다. 그런 만큼 러시아에 파병된 북한 특수부대가 드론 전술을 실전에서 체험하는 것은 우리에게 커다란 위협이다. 엎친 데 덮친 격으로 세계 최고 수준의 해킹 실력을 가진 북한의 사이버 공격까지 막아내야 하는 우리의 냉엄한 안보 현실이 또 한번 일깨워지는 사건이다. 디도스 공격이란 컴퓨터 서버나 네트워크 장비에 과도한 트래픽을 만들어 데이터 전송을 방해하는 해킹 기술이다. 러시아는 2022년 우크라이나를 침공하기에 앞서 외무부와 안보국 등 정부기관 70곳에 사이버 공격을 가해 12곳 이상 웹사이트를 다운시켰다. 러시아는 이후에도 우크라이나 금융기관을 해킹해 온라인 뱅킹을 마비시키고 있다. 2008년 조지아 침공 때도 정부기관 사이트를 먼저 공격해 국가 기능을 정지시키고 항복을 받아 냈다. 사이버 공격은 이제 병력을 투입하는 실전과 병행하는 필수적 전쟁 수단으로 자리잡았다. 국방부와 함참 홈페이지는 그제 한때 접속이 불안정했지만 이후 정상화됐다고 한다. 국방부는 해커가 내부망에는 침입하지는 못했다고 설명했다. 하지만 그것만으로도 마비되는 기능은 적지 않다. 우리의 해킹 대응 능력이 아직 든든하다고 할 수 없는 이유다. 디도스 공격에 대비해야 한다는 한국인터넷진흥원(KISA)의 권고도 있었다. 군은 북한과 러시아의 소행일 가능성에 무게를 둔다. 국방부와 합참 홈페이지 피습은 핵·미사일 대응뿐만이 아니라 사이버 대응 능력도 그에 못지 않게 중요하다는 사실을 새삼 일깨웠다. 정부와 군은 해킹 방어 능력을 북한의 공격 기술 이상으로 키워야 한다는 각오를 다지지 않으면 안 된다. 국민의 생명을 지키는 절대적 요소로 떠오른 ‘사이버 안보’에 배전의 역량을 기울이기 바란다.

경찰이 웹하드 업체 이용자 상호 간에 데이터를 주고받는 ‘그리드 프로그램’에 대해 악성코드 공격을 한 의혹을 받아온 KT에 대해 혐의가 인정된다고 보고 사건을 검찰에 넘겼다. 4일 경기남부경찰청 사이버수사과는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반, 통신비밀보호법 위반, 업무방해 혐의로 KT 법인과 회사 관계자 13명을 지난 8월 수원지검에 송치했다고 밝혔다. KT는 2020년 분당 데이터센터에서 고객 PC에 대한 악성코드 공격을 통해 그리드 프로그램에 접속하지 못하도록 제어한 혐의를 받는다. KT는 이런 방식으로 수년에 걸쳐 100만대 이상의 PC를 통제한 것으로 알려졌다. 그리드 프로그램이란 업체 서버를 거치지 않고, 이용자 간에 데이터를 주고받을 수 있도록 하는 일종의 P2P 서비스다. 각 개인 PC 내에 있는 자료를 찾아 서로 공유토록 해주는 만큼 작업 처리가 빠르고, 업체의 데이터 전송료를 낮춰준다는 장점이 있어 다수의 웹하드 업체가 사용하고 있다. 경찰이 판단한 이 사건 피해자들 역시 복수의 웹하드 업체 이용자들로, KT 측이 인터넷상 주고받는 데이터인 ‘패킷’을 변조하는 방식으로 PC를 제어하자 그리드 프로그램을 사용하지 못하는 불편을 겪은 것으로 전해졌다. 인터넷망 제공자인 KT 입장에서는 그리드 프로그램이 보편화할수록 이익이 줄어들 수밖에 없는 구조이다. KT 이용자가 타 유선인터넷 사업자의 통신망에 접속할 경우 KT는 해당 회사에 상호접속료(통신사 간 내야 하는 일종의 통행료)를 지불해야 한다. 그리드 프로그램을 통한 개인 간 데이터 전송이 늘어나면, KT가 내야 할 상호접속료 역시 늘어나게 되는 것이다. 결국 KT는 상호접속료 발생을 줄이기 위해 그리드 프로그램의 사용을 통제할 필요가 있었는데, 해킹을 통해 고객 PC를 제어했다는 게 경찰의 설명이다. 경찰은 압수수색을 비롯한 수사 끝에 지난해 10월 KT 법인을 검찰에 송치했다. 이어 지난 5월 보완 수사 요구를 받아 추가 수사를 진행한 뒤 지난 8월 보완 수사 결과를 검찰에 통보했다.

러시아 수도 모스크바 한복판에서 건물 10층 높이의 하수가 분출돼 당국이 조사에 나섰다. 지난달 28일(이하 현지시간) 오전, 모스크바 코무나르카 지역의 한 건설현장 옆에서 솟아오른 하수는 짙은 갈색을 띠고 있었다. 오물과 악취가 섞인 탓인 해당 하수는 약 53m 높이까지 뿜어져 올라 마치 온천수가 터진 듯한 모양새였다. 현지에서는 오물과 악취가 섞인 하수가 파열된 하수도 파이프를 통해 뿜어져 나왔으며, 이후 일대에 오물 냄새가 진동했고, 솟아올랐던 하수가 떨어지면서 일부 자동차와 건물에 배설물이 뿌려졌다는 주장도 나왔다. 현지에서는 하수관이 아닌 가스관 청소 작업 장면이라는 주장이 나왔으며, 영상을 접한 친우크라이나 성향의 네티즌들은 “오물 폭탄”, “모스크바 최신 분수 명소” 등의 댓글로 조롱하기도 했다. 우크라이나 내무부 장관도 오물이 솟아오르는 해당 영상을 SNS에 공유하며 “말 그대로 ‘멍청한 쇼’”라고 적기도 했다. 일부 외신은 러시아가 우크라이나와 전쟁을 시작한 뒤 러시아 국내에서 하수 시스템 등의 필수 인프라가 제대로 유지‧관리 되지 않고 있다고 지적했다. 이에 대해 러시아 국영 에너지 대기업 가즈프롬 측은 “새로운 가스 파이프라인 구간을 고압 청소하는 과정에서 벌어진 해프닝”이라며 “충분히 통제 하에 진행됐다”고 반박했다. 가즈프롬의 해명에도 불구하고 일각에서는 해커가 하수 시스템을 해킹하면서 오물이 솟구친 게 아니냐는 추측이 제기됐다. 실제로 지난 4월 우크라이나 보안국(SBU)과 연계된 해커그룹 ’블랙잭‘이 모스크바 하수 시스템을 운영하는 회사 모스콜렉터를 상대로 사이버 공격을 가한 적이 있기 때문이다. 당시 ‘블랙잭’ 해커들은 모스크바 전역에 있는 하수 시스템 센서 8만 7000개를 끄고, 서버 70여개를 파괴했다. 또 90테라바이트에 달하는 데이터를 삭제한 바 있다.

무선백도어 해킹 보안 시장을 개척하며 선도하고 있는 ㈜지슨(대표 한동진)이 무선백도어 해킹 탐지 시스템 ‘Alpha-H’로 ‘2024 국제치안산업대전’에서 큰 주목을 받고 있다. 지슨의 무선백도어 해킹 탐지 시스템 ‘Alpha-H’는 서버실·데이터센터 등에 설치되어 최근 새로운 위협으로 부상되는 무선백도어 해킹 공격을 방어할 수 있는 국내 유일의 전문 제품으로, 시장점유율 100%이다. 특히 무선백도어 방어 체계에 필수적인 스파이칩 위치 추정 기술이 특허 기술로 적용된 제품이다. 무선백도어 해킹은 서버실 등에 침투된 무선 스파이칩을 통해 무선주파수(RF) 연결 통로를 확보하고 정보를 유출하거나 시스템을 교란하는 신종 해킹 수법이다. 무선백도어 해킹은 기존의 해킹 공격과는 달리 전자기기에 스파이칩을 심어 원격으로 해킹하는 방식이기 때문에 물리적인 망분리 환경에서도 기존 보안 시스템을 우회해 주요 시스템에 쉽게 접근할 수 있어 매우 위협적이다. 지난 17일 국정감사에서도 무선백도어 해킹의 심각성이 부각됐다. 강명구 국민의힘 의원은 금융감독원장 대상 국정감사 질의에서 “전통적인 해킹 수법에서 벗어나 무선 백도어 해킹이라는 신종 위협에 주의해야 한다”고 지적했다. 지슨의 무선백도어 해킹 탐지 시스템 ‘Alpha-H’는 서버실·데이터센터·발전소 컨트롤룸 등 망분리 상태의 보안시설에서 마더보드 또는 USB 장치에 숨겨진 스파이칩이 외부와의 무선 통신을 주고받는 무선 백도어 해킹 징후를 실시간 탐지한다. 자유공간 경로손실을 이용한 경사하강법 기반의 위치추정으로 스파이칩이 설치된 서버를 지목하면, 스파이칩을 제거하는 방식으로 무선백도어 해킹을 차단한다. 얼마나 빨리 스파이칩을 색출하는가에 따라 정보의 유출 정도 및 시스템의 파괴 수준이 결정되는 만큼 탐지 기능 못지않게 위치추정 기능이 중요한 이유다. 이에 금융권에서는 지속 증가하고 있는 신종 무선백도어 해킹 등 보안 위협에 대한 경각심을 갖고 무선백도어 해킹 예방을 위해 보안 강화에 나서고 있다. 한편, 오는 26일까지 인천 송도컨벤시아에서 진행되는 2024 국제치안산업대전은 국내 첨단 보안·치산산업 제품 관련 유망 기업과 실무 관계자가 참여해 다양한 정보를 교류하는 국내 유일한 경찰청 주최 공식 행사다.

국내에서 폐쇄회로(CC)TV로 사용되고 있는 중국산 IP캠(인터넷 카메라)의 80% 이상이 해킹 위험에 노출된 것으로 전해졌다. 지난 29일 주간조선에 따르면 지난 6일부터 25일까지 중국의 한 음란사이트에는 공공장소에 설치된 월패드(주로 거실 벽면에 부착된 형태의 홈네트워크 기기)로부터 입수된 영상들이 다수 올라와 있었다. 영상에는 필라테스, 폴댄스 스튜디오는 물론 룸카페, 산부인과 분만실, 공간대여 파티룸, 의류매장, 펜션 수영장, 왁싱숍 등 한국인들이 일상적으로 방문하는 곳이나, 신체 일부가 노출될 수 있는 공간들이 담겼다. 지난 26일 기준 해당 사이트에서 구체적 지역, 날짜, 개인정보 등이 포함된 약 800개의 IP캠 해킹 영상이 있었다. 이중 ‘한국인’ 카테고리에 해당하는 영상은 약 500개였다. 각 영상에는 최소 2명에서 최대 20여명에 이르는 사람들이 노출돼 있었고, IP캠 해킹으로 인한 한국인 피해 건수는 이 사이트에서만 1000건 이상임을 예측할 수 있다. 문제는 중국발 해킹 영상을 찾은 한국인들도 적지 않다는 것이다. 해당 사이트 문의 게시판에는 “항상 좋은 자료 올려주시느라 고생이 많으십니다. 코인노래방과 노래방 작품이 더 많이, 더 자주 올라왔으면 좋겠습니다” 혹은 “무용 체조 댄스 탈의실 영상 있으면 올려주세요” 등 IP캠 해킹 영상을 요구하는 한국인 댓글들도 달린 것으로 알려졌다. 중국이 IP캠을 해킹, 음란 사이트에 올리거나 다크웹, 텔레그램 등에 판매 글을 올리면 국내 음란 사이트 운영자가 이를 복제하거나 코인으로 구매하는 경우도 부지기수인 것으로 파악됐다. 한편 국내 IP카메라의 80%는 중국산인 것으로 전해졌는데 IP캠 해킹이 중국발이 많은 이유 또한 이 점유율과 연관이 있다. 첨단 보안기술 전문 기업 ‘지슨’ 한동진 대표는 “중국산 IP캠 데이터가 중국으로 전송된 사례가 아주 많기 때문에 보안 우려가 있다”고 했다. 한 대표는 “중국산 IP캠은 서버 혹은 기기 자체에 ‘백도어’를 심어둔 제품이 많다”고 했다. 여기서 ‘백도어’란 ‘뒷문’이라는 뜻으로, 제조 때부터 제조사만 드나들 수 있는 뒷문을 열어두고 사용자의 정보를 몰래 빼갈 수 있다는 의미다. 최근 우리 군도 국산인 줄 알고 설치한 CCTV 1300대가 중국산인 것을 뒤늦게 파악하고 이를 모두 교체한 것으로 전해졌다. 해당 CCTV는 찍은 영상을 중국의 특정 서버로 연결돼 유출할 수 있도록 설계된 것으로 파악됐다.

서울시의회 정준호 의원(더불어민주당·은평4)이 지난 3일 열린 제326회 임시회 교통위원회 서울교통공사 소관 업무보고에서 현재 교통공사 제1·2 관제센터에서 구축해 운영 중인 서버가 보안에 취약한 점을 지적하며, 하드웨어 해킹에 대비해 보안을 강화할 필요가 있다고 강조했다. 정 의원은 “교통공사가 제출한 서버 목록을 보면 안전성이 확인되지 않은 OEM 제품이 많다. 이런 부분은 반드시 재점검해 하드웨어 해킹으로 인해 운영망을 넘겨주는 사태가 발생하지 않도록 보안 관리에 각별한 주의를 기울일 필요가 있다”고 말했다. 이어 “예산을 들여 통합관제센터를 구축하는 만큼, 외부망과 내부망 분리·정기적 보안 점검이나 펌웨어 업데이트 같은 소프트웨어적 방어 수준을 넘어, 스파이칩이나 백도어 같은 고도화된 위협으로부터 국가기반시설을 보호할 관제 시스템을 구축해야 한다”고 덧붙였다. 서울교통공사는 서울 지하철 1~9호선의 안전하고 효과적인 열차 운행관리를 위해 2025년 12월을 목표로 서울지하철 통합관제센터를 구축(총사업비 3019억 원)하고 있으며, 통합관제센터 시스템 구축을 위한 사업비는 1906억원이다.

700곳이 넘는 출판사가 공동으로 사용하는 출판물류관리회사 ‘모아시스’ 전산망 서버가 해킹당해 도서 배송에 차질이 빚어지는 가운데, 출판계가 간담회를 열어 사태 해결을 모색했다. 한국출판인회의는 모아시스 서버 해킹 사태 해결을 위해 피해 출판사, 물류사, 모아시스 등 관련 업계 관계자가 모인 간담회를 전날 열었다고 15일 밝혔다. 간담회는 해킹 사태 이후 출판사, 물류사의 데이터 유실과 도서 출고 업무 마비에 따른 피해와 대응 방안을 논의하기 위해 마련됐다. 형남석 모아시스 대표는 이날 간담회에서 “백업 서버와 원서버 모두 해킹됐고, 프로그램 개발 초기부터 사용하던 방화벽을 그대로 써왔다는 점 등 보안에 대해 안일하게 대처한 부분이 있다”고 밝혔다. 그러면서 “현재 해커와의 추가 협상을 통한 데이터 복구는 어렵다고 보고 디스크 복구 가능 여부를 전문 업체에 의뢰한 상황”이라고 설명했다. 후속 조치에 대해서는 “현재 서버를 강화하였지만, 추후 유사한 상황이 발생했을 때 신속하게 데이터를 복구하기 위해 인터넷 데이터 센터(IDC)와 대책 마련을 논의하고 있다”고 밝혔다. 피해 출판사인 ‘지노출판’의 도진호 대표는 “출판사가 사용하고 싶은 출고 프로그램을 선택할 수 없다”는 점을 맹점으로 꼽았다. 특히 출판사와 물류사 간 출고 프로그램 사용에 관한 별도 계약서가 없고, 모아시스와 물류사 사이의 관련 계약서도 없는 상황을 문제로 지적했다. 한국출판인회의가 주도하여 개발하고 있는 ‘KoPub ERP’와 같은 경영지원 시스템을 물류 시스템과 연동하는 방안도 제시했다. 물류사 ‘천리마’ 장종호 대표는 “중소 물류사 및 출판사의 부담을 고려했을 때 합리적인 대안이 부재하다”면서 데이터 복구를 최우선으로 해달라고 덧붙였다. 앞서 출판물류관리회사 모아시스는 지난 1일 오후 11시 50분쯤 서버가 랜섬웨어에 감염돼 서버에 저장된 원본과 백업본이 변조됐다고 홈페이지를 통해 밝혔다. 이후 1000만원이 넘는 돈을 해커 측에 보냈지만, 해커가 암호키를 주지 않고 추가로 돈을 보내라고 요구한 것으로 알려졌다. 모아시스는 이에 따라 긴급 배송용 홈페이지를 마련하고, 주문과 배송, 재고 여부를 일일이 대조하고 있다. 다만 2022년 3월 20일 이후 입고된 서적의 재고 현황 파악에는 어려움을 겪고 있는 것으로 전해졌다.

미국 국무부가 북한 국적의 남성 림종혁(Rim Jong Hyok)에게 현상금 1000만 달러를 내걸었다고 CNN 등 현지 언론이 25일(이하 현지시간) 보도했다. 보도에 따르면, 미 연방수사국(FBI)는 이날 림종혁이 캔자스주(州) 연방 지방법원에서 컴퓨터 해킹 및 돈세탁 공모 등의 혐의로 기소돼 연방 체포 영장을 발부했다고 밝혔다. 림종혁은 북한 정찰총국 산하 해킹그룹인 안다니엘 소속으로, 과거 평양 및 신의주에 있는 군 정보기관 사무실에서 근무한 이력이 있는 것으로 알려졌다. 그는 현재 랜섬웨어를 이용해 미국 병원 및 의료회사 컴퓨터에 침입해 돈을 강탈한 혐의를 받고 있다. 림종혁 등 안다니엘 소속 북한 해커들은 미국 병원 및 의료서비스 업체의 컴퓨터 시스템에 랜섬웨어를 설치하고 몸값을 요구했다. 실제로 캔자스의 한 병원은 2021년 5월 림종혁 일당의 랜섬웨어 공격을 풀기 위해 비트코인으로 10만 달러(한화 약 1억 3800만 원)를 지급한 뒤 FBI에 신고했다. 또 콜로라도주의 한 의료서비스 제공업체 역시 림종혁 등 북한 해커들에게 돈을 제공한 것으로 확인됐다. 그는 해킹을 통해 강탈한 수익금을 세탁한 뒤 미국과 한국, 중국의 정부와 기술회사를 사이버 해킹하기 위한 인터넷 서버를 구매한 것으로 드러났다.미 국무부는 “림종혁 등은 확보한 자금을 미국 정부기관과 미국 및 해외의 방위 계약업체 등을 대상으로 악의적인 사이버 작전에 사용했다”면서 “해당 작전은 2011년 11월 시작됐으며, 이 작전을 통해 2010년 이전에 작성된 군용 항공기 및 인공위성에 사용되는 재료 관련 미분류 기술 정보 등 30GB 이상에 달하는 데이터를 빼갔다”고 밝혔다. 이어 “정의를 위한 보상(RFJ) 프로그램에 따라 림종혁 관련 정보에 최대 1000만 달러(약 138억 4200만 원)의 보상금을 지급할 것”이라고 덧붙였다. CNN은 “유엔 및 민간 기업의 보고서에 따르면, 북한 해커들은 지난 수년 동안 은행과 암호화폐 회사들로부터 수십억 달러를 훔쳐냈으며, 이는 북한 정권의 주요 수입원이 됐다”면서 “북한의 해킹과 자금 세탁을 저지하는 것이 조 바이든 행정부의 국가 안보 우선순위가 됐다”고 평가했다. 이어 백악관 관계자의 말을 인용해 “북한의 미사일 프로그램의 약 절반이 사이버 공격 및 암호화폐 절도를 통해 조달한 자금으로 이뤄진 것”이라고 덧붙였다. 한편, 림종혁은 현재 북한에 체류 중인 것으로 알려졌다.

미국 정부가 북한 정찰총국 산하 해킹그룹 안다리엘 소속 해커에 대한 체포영장을 발부하고 최대 1000만 달러(약 138억원)의 현상금을 걸었다. 미국 연방수사국(FBI)은 25일(현지시간) 북한 국적의 림종혁(Rim Jong Hyok)이 캔자스주 연방 지방법원에서 컴퓨터 해킹 및 돈세탁 공모 등의 혐의로 기소돼 연방 체포 영장이 발부됐다고 밝혔다. 림종혁은 랜섬웨어를 사용해 미국 병원과 의료회사 컴퓨터에 침입해 돈을 강탈하고 그 수익금을 세탁해 미국, 한국, 중국의 정부 및 기술회사를 대상으로 한 사이버 해킹을 위한 인터넷 서버를 구매했다고 FBI는 밝혔다. 미 국무부에 따르면 림종혁이 소속된 안다리엘은 의료서비스 업체 5곳, 미국 기반 방위 계약업체 4곳, 미국 공군 기지 2곳, 미 항공우주국(NASA) 감찰관실 등에 피해를 줬다. 이 과정에서 림종혁 등 북한 해커는 미국 병원 및 의료서비스 업체의 컴퓨터 시스템에 랜섬웨어를 설치하고 몸값을 요구하기로 공모했으며 이 랜섬웨어 공격으로 의료 검사 및 전자 의료 기록 등에 사용되는 병원 등의 컴퓨터를 암호화시키고 의료서비스를 중단시켰다. 캔자스의 한 병원은 2021년 5월 이 랜섬웨어의 공격을 풀기 위해 10만 달러어치의 비트코인을 지급한 뒤 FBI에 이를 알렸다. 병원이 지급한 비트코인은 중국의 은행으로 이체됐으며 중국 단둥의 ‘조중 친선 다리’ 인근 현금자동입출금기(ATM)에서 인출됐다고 로이터통신은 전했다. 이렇게 확보한 자금은 미국 정부 기관, 미국과 해외의 방위 계약업체 등을 대상으로 한 악의적인 사이버 작전에 사용됐다. 2022년 11월 시작된 이 작전을 통해 이들은 2010년 이전 작성된 군용 항공기와 인공위성에 사용되는 재료 관련 미분류 기술 정보 등 30GB(기가바이트) 이상의 데이터를 빼갔다고 국무부는 설명했다. 림종혁은 평양 및 신의주에 있는 군 정보기관 사무실에서 근무한 적이 있으며 북한에 체류하고 있는 것으로 알려졌다. 림종혁 관련 정보에는 최대 1000만 달러의 보상금이 걸렸다. 국무부는 ‘정의에 대한 보상’ 프로그램을 통해 테러 방지, 테러리스트 지도자 체포, 미국 안보에 대한 위협 해소 등에 관한 정보를 제공한 사람들에게 보상금을 지급하고 있다.

중독 부추기는 디지털 교육?SNS·게임 차단된 교육용 태블릿반마다 ‘디벗 뚫는 박사님’ 인기보관함 부족… 집으로 가져가기도“폰 제어도 힘든데 디벗까지 더해” “야, 진짜 이렇게 빨리 뚫는다고? 1분 만에?”, “역시 우리 박사님!”, “오오~ 세준이가 가르쳐 준 대로 하니까 유튜브 바로 되네.” 서울의 한 초등학교 5학년 교실. 학교에서 받은 교육용 태블릿PC ‘디벗’으로 유튜브 홈페이지에 접속한 아이들이 환호성을 질렀다. 디지털과 벗의 줄임말인 ‘디벗’은 서울 학생들에게 교육용으로 나눠 주는 태블릿PC다. 지역과 학교마다 각기 다른 이름으로 보급된다. 애초에 교육용으로만 사용하도록 도입됐다. 당연히 학습용 외 게임이나 유해 사이트, 유튜브, 인스타그램 등의 사용은 차단된다. 하지만 태블릿PC의 관리자 권한 설정을 변경하는 방법과 우회 접속 웹주소 등 ‘디벗 공략법’을 찾아온 임세준(11·가명)군은 그날 친구들의 영웅이 됐다. 세준이는 해외에 서버를 둔 가상 사설망(VPN)에 접속해 웹브라우저를 실행한 뒤 소셜미디어(SNS)나 유튜브에 우회 접속하는 방법을 친구들에게 알려 줬다. “어려운 것 없다니까. 이걸 설치한 다음 이 홈페이지에서 다시 유튜브 주소를 치면 된다고.” 삼삼오오 모여 있던 반 아이들은 수업 시간보다 더 집중해 세준이의 ‘꿀팁’을 따라했다. 아이들은 “세준이처럼 디벗 뚫는 애들이 한 반에 1~2명씩은 있다”고 입을 모았다. 이미 각종 온라인 커뮤니티나 SNS에 ‘디벗 뚫기’, ‘디벗으로 게임하기’ 등을 검색하면 교육용 태블릿PC로 유튜브를 보거나 게임을 할 수 있는 방법을 쉽게 찾을 수 있다. 일부 아이들은 태블릿PC의 펌웨어(하드웨어에 포함된 소프트웨어)를 초기화하거나 버전을 바꾸는 방식으로 아예 통제를 무력화시킨다. 대범하게 ‘해킹’ 프로그램을 설치하기도 한다. 중학교 2학년 아들을 둔 김모(51)씨는 “오후 10시 이후에는 디벗을 아예 사용할 수 없도록 설정돼 있는데 반 아이 중 3분의1은 설정을 무력화해서 새벽까지 게임을 한다고 들었다”고 전했다. 서울 성북구의 한 초등학교에 다니는 5학년 정모(11)양도 “학교에서 스마트폰을 가져가고 수업시간에 디벗을 주는데 바로 게임을 깔아서 하거나 유튜브를 보는 애들이 많다”고 했다. 코로나19 당시 비대면 수업 도구로 교육 현장에 보급되기 시작한 일부 스마트 기기가 SNS 감상과 게임용으로 사용되면서 학생들의 문해력 저하와 스마트 기기 중독 심화를 부추긴다는 우려가 커지고 있다.22일 서울신문이 정보공개청구를 통해 전국 17개 시도 교육청에서 받은 자료를 보면 대전(120.1%), 충북(113.0%), 경기(107.4%) 등 3곳은 학생수보다 스마트 기기가 더 많아 보급률이 100%를 넘어서는 것으로 나타났다. 서울(49.1%)을 제외한 16개 시도 교육청의 스마트 기기 보급률은 모두 50.0% 이상이었다. 전국적으로 보면 지난해 말 기준 초등학교 3학년부터 고등학교 3학년까지 전체 학생수(443만 2257명) 대비 교육용 스마트 기기(350만 7823대) 보급률은 79.1%에 달했다. 교육 당국은 스마트 기기 보급 속도를 내고 있지만 사교육으로 교육용 스마트 기기를 이미 경험한 일부 학부모들은 학습 효과에 의문을 제기한다. 세 남매를 키우고 있는 조승호(50)씨는 “아이들은 오히려 종이 형태의 교과서나 문제집, 실제 수업이 더 집중이 잘 된다고 하더라”고 말했다. 이처럼 부작용이 크다 보니 학부모들은 교육용 스마트 기기를 학교에서만 쓰고 수업 후 반납하도록 해야 한다고 목소리를 높였다. 중학교 3학년 딸을 둔 황모(45)씨는 “수업시간 외에는 아예 디벗을 사용할 수 없도록 학교 차원에서 관리해야 하는 것 아니냐”고 했다. 하지만 아이들이 스마트 기기를 가정으로 가져가게 할지 말지에 대한 교육청의 일괄적인 기준은 없다. 개별 학교가 알아서 정한다. 수업시간 외 스마트 기기를 보관할 공간이 제대로 마련되지 않은 학교도 많다. 서울신문이 각 시도 교육청에 확인한 결과 대전·강원·경기·경북 등 일부 지역을 제외하면 스마트 기기 보관함 설치는 턱없이 부족했다. 전체 학급수 대비 보관함 설치 비율을 보면 서울 7.6%, 전남 21.7%, 광주 30.8%, 세종 46.3% 등이었다. 앞으로 학교에서 스마트 기기를 사용하는 연령이 더 낮아지는 점도 우려가 커지는 대목이다. 교육부는 2022 개정 교육과정에 따라 내년부터 초3·4, 중1, 고1의 수학, 영어 등 과목을 시작으로 순차적으로 ‘인공지능(AI) 디지털 교과서’를 도입한다. 이렇게 되면 스마트 기기 사용 연령은 초등학교 3학년까지 낮아진다. 디지털 교과서는 다음달 검정을 거쳐 오는 11월 공개될 예정이다. 이주호 부총리 겸 교육부 장관은 지난 12일 국회 교육위 업무보고에서 “다양한 지적을 보완해 철저히 준비하겠다”면서 “(2028년까지) 3년 정도는 서책형 교과서와 AI 디지털 교과서를 병행하고 그 이후는 그때 결정할 것”이라고 말했다. 하지만 교육부의 디지털 교과서 도입과 교육용 스마트 기기 확대에 반발하는 학부모들은 국회 ‘국민동의청원’ 사이트에 “도입을 유보해 달라”는 청원을 제기했다. 이 청원은 지난달 27일 5만명 이상의 동의를 받았다. 한 교육청이 개최한 ‘AI 디지털 교과서 학부모 설명회’에서 만난 학부모 이모(43)씨는 “해외에서는 청소년들의 스마트 기기 사용을 금지하기도 하는데, 진짜 아이들을 위한 방향을 고민해 줬으면 좋겠다”고 말했다. 전문가들도 디지털 교과서의 도입 시기나 대상 학년을 다시 검토할 필요가 있다고 봤다. 박남기 광주교대 교육학과 교수는 “학습에 흥미가 없는 학생들은 교육효과가 달라질 수 있다. 아직 충분한 준비가 필요한 상황”이라고 짚었다. 반상진 전북대 교육학과 교수는 “효과가 입증되지 않은 디지털 교과서를 급하게 밀어붙이는 모습”이라며 “부작용이 발생할 것이라는 우려가 크다”고 말했다.

매일 아침 눈 뜨자마자 찾는 존재가 있다. 건강 상태 확인부터 물건 구매, 정보 검색, 길 찾기까지 해결해 주는 ‘손안의 비서’다. 나를 ‘세상’과 연결해 주지만 때로는 ‘사람’과 멀어지게 하는 이것. 바로 스마트폰이다. 스마트폰의 등장 후 삶은 빨라졌고 편해졌다. 부작용도 커졌다. 일상을 의지하니 인생까지 의존하게 될까 걱정이다. 스마트폰이 내 삶의 독이 되지 않으려면 어떻게 해야 할까. 이 질문에 정답은 없지만 해답을 찾으려는 시도는 많다. 서울신문은 스마트 기기 과의존을 경계해야 하는 이유, 스마트 기기를 건강하게 사용하려는 다양한 노력을 담아 ‘안녕, 스마트폰’을 4회에 걸쳐 연재한다. “야, 진짜 이렇게 빨리 뚫는다고? 1분 만에?”, “역시 우리 박사님!”, “오오~ 세준이가 가르쳐 준 대로 하니깐 유튜브 바로 되네.” 서울의 한 초등학교 5학년 교실. 학교에서 받은 교육용 태블릿PC ‘디벗’으로 유튜브 홈페이지에 접속한 아이들이 환호성을 질렀다. 디지털과 벗의 줄임말인 ‘디벗’은 서울 학생들에게 교육용으로 나눠주는 태블릿PC다. 지역과 학교마다 각기 다른 이름으로 보급된다. 애초에 교육용으로만 사용하도록 도입됐다. 당연히 유해 사이트나 학습용 외 게임이나 유튜브, 인스타그램 등의 사용은 차단된다. 하지만 태블릿PC의 관리자 권한 설정을 변경하는 방법과 우회 접속 웹주소 등 ‘디벗 공략법’을 찾아온 임세준(가명·11)군은 그날 친구들의 영웅이 됐다. 세준이는 해외에 서버를 둔 가상 사설망(VPN)에 접속해 웹브라우저를 실행한 뒤 소셜미디어(SNS)나 유튜브에 우회 접속하는 방법을 친구들에게 알려줬다. “어려운 것 없다니까. 이걸 설치한 다음, 이 홈페이지에서 다시 유튜브 주소를 치면 된다고.” 삼삼오오 모여있던 반 아이들은 수업 시간보다 더 집중해 세준이의 ‘꿀팁’을 따라 했다. 아이들은 “세준이처럼 디벗 뚫는 애들은 한 반에 1~2명 정도 있다”고 입을 모았다. 이미 각종 온라인 커뮤니티나 SNS에서도 ‘디벗 뚫기’, ‘디벗으로 게임하기’ 등으로 검색하면 교육용 태블릿PC로 유튜브를 보거나 게임을 할 수 있는 방법을 쉽게 찾을 수 있다. 일부 아이들은 태블릿PC의 펌웨어(하드웨어에 포함된 소프트웨어)를 초기화하거나 버전을 바꾸는 방식으로 아예 통제를 무력화시킨다. 대범하게 ‘해킹’ 프로그램을 설치하기도 한다. 중학교 2학년 아들을 둔 김모(51)씨는 “오후 10시 이후에는 디벗을 아예 사용할 수 없도록 설정돼 있는데, 반 아이 중 3분의 1은 설정을 무력화해서 새벽까지 게임을 한다고 들었다”고 전했다. 서울 성북구의 한 초등학교에 다니는 5학년 정모(11)양도 “아침에 스마트폰을 걷어가도, 수업 시간에 ‘디벗’을 받아서 바로 게임을 깔아서 하거나 유튜브를 보는 애들이 많다”고 했다. 코로나19 당시 비대면 수업 도구로 교육 현장에 보급되기 시작한 일부 스마트 기기가 SNS 감상과 게임용으로 사용되면서 학생들의 문해력 저하와 스마트 기기 중독 심화를 부추긴다는 우려가 커지고 있다. 대전·충북·경기 등 초3 이상 태블릿 100%…보관함은 상대적 저조 21일 서울신문이 정보공개청구를 통해 시도 교육청에서 받은 자료를 보면, 대전(120.1%), 충북(113.0%), 경기(107.4%) 등 3곳은 학생 수보다 스마트 기기가 더 많아 보급률이 100%를 넘어서는 것으로 나타났다. 서울(49.1%)을 제외한 16개 시도 교육청의 스마트 기기 보급률은 모두 50.0% 이상이었다. 전국적으로 보면, 지난해말 기준 초등학교 3학년부터 고등학교 3학년까지 전체 학생 수(443만 2257명) 대비 교육용 스마트 기기(350만 7823대) 보급률은 79.1%에 달했다. 서울 서초구에 사는 학부모 최모(48)씨는 지난해 2학기 학교에서 나눠준 ‘디벗’을 받은 뒤부터 중학교 2학년 아들과의 다툼이 부쩍 늘었다. 최씨는 “어쩔 수 없이 사준 스마트폰도 관리가 힘든데 ‘디벗’까지 들고 집에 오니 훈육할 거리가 2~3배 늘어났다”고 토로했다. 사교육으로 교육용 스마트 기기를 이미 경험한 일부 학부모들은 학습 효과에도 의문을 제기한다. 세 남매를 키우고 있는 조승호(50)씨는 “아이들은 오히려 종이 형태의 교과서나 문제집, 실제 수업이 더 집중이 잘 된다고 하더라”고 전했다. 학부모들은 교육용 스마트 기기를 학교 내에서만 쓸 수 있게 수업 후 반납하도록 해야 한다고 목소리를 높였다. 중학교 3학년 딸을 둔 황모(45)씨는 “수업 시간 외에는 아예 디벗을 사용할 수 없도록 학교 차원에서 보관해야 하는 것 아니냐”고 했다. 하지만 아이들이 스마트 기기를 가정으로 가져가게 할지 말지에 대한 교육청의 일괄적인 기준은 없다. 개별 학교가 알아서 정한다. 또 수업 시간 외 스마트 기기를 보관할 공간도 제대로 마련되지 않은 학교도 많다. 서울신문이 각 시도 교육청에 확인한 결과, 대전·강원·경기·경북 등 일부 지역을 제외하면 스마트 기기 보관함 설치는 턱없이 부족했다. 전체 학급수 대비 보관함 설치 비율을 보면, 서울은 7.6%, 전남은 21.7%, 광주는 30.8%, 세종 46.3% 등이었다. 경남 교육청은 “앞으로 보관함 설치를 추진할 예정”이라고 했고, 충남 교육청은 “보관함이 있긴 하지만, 보관함마다 보관 대수가 달라 보급률 계산은 불가능하다”고 말했다. 내년 AI디지털교과서 도입에 초3·4 기기 지급…‘기초 학력’ 우려도 앞으로 학교에서 스마트 기기를 사용하는 연령이 더 낮아지는 점도 우려가 커지는 대목이다. 교육부는 2022 개정 교육과정에 따라 내년부터 초3·4, 중1, 고1의 수학, 영어 등 과목을 시작으로 순차적으로 ‘인공지능(AI) 디지털 교과서’를 도입한다. 이렇게 되면 스마트 기기 사용 연령은 초등학교 3학년까지 낮아진다. 전북의 한 초등교사는 “스마트 기기, 디지털 교과서가 기초 학습력 신장이나 아이들 교육에 얼마나 도움이 될지 모르겠다”고 했다. 디지털 교과서는 다음달 검정을 거쳐 오는 11월 공개될 예정이다. 이주호 사회부총리 겸 교육부 장관은 지난 12일 국회 교육위 업무보고에서 “다양한 지적을 보완해 철저히 준비하겠다”면서 “(2028년까지) 3년 정도는 서책형 교과서와 AI 디지털 교과서를 병행하고 그 이후는 그때 결정할 것”이라고 말했다. 하지만 교육부의 디지털 교과서 도입과 교육용 스마트 기기 확대에 반발하는 학부모들은 국회 ‘국민동의청원’ 사이트에서 “도입을 유보해달라”는 청원을 제기했다. 이 청원은 지난달 27일 5만명 이상의 동의를 받았다. 한 교육청이 개최한 ‘AI디지털 교과서 학부모 설명회’에서 만난 학부모 이모(43)씨는 “해외에서는 청소년들에게 스마트 기기 사용을 금지하기도 하는데, 진짜 아이들을 위한 방향을 고민해줬으면 좋겠다”고 말했다. 전문가들도 디지털 교과서의 도입 시기나 대상 학년을 다시 검토할 필요가 있다고 봤다. 박남기 광주교대 교육학과 교수는 “학습에 흥미가 없는 학생들은 교육효과가 달라질 수 있다. 아직 충분한 준비가 필요한 상황”이라고 짚었다. 반상진 전북대 교육학과 교수는 “효과가 입증되지 않은 디지털 교과서를 급하게 밀어붙이는 모습”이라며 “부작용이 발생할 것이라는 우려가 크다”고 말했다.

공항을 비롯해 방송·금융·의료 등 인프라를 한꺼번에 마비시킨 ‘글로벌 IT 대란’의 원인으로 보안 플랫폼 크라우드스트라이크의 업데이트 패치 오류가 지목되고 있다. 전 세계적으로 2만곳 이상 고객을 가진 크라우드스트라이크가 배포한 업데이트 패치가 마이크로소프트(MS) 윈도 운영체제(OS)와 충돌한 탓에 이를 사용하던 서버와 PC가 화면에 ‘죽음의 블루스크린’을 띄우며 작동을 멈췄다는 것이다. 19일(현지시간) 로이터 통신 등에 따르면 크라우드스트라이크는 이날 오전 보안 소프트웨어 ‘팰컨 센서’(Falcon Sensor)의 업데이트에 문제가 생겨 충돌이 발생하고 있다고 고객들에게 알렸다. MS도 클라우드 서비스에 문제가 발생했다고 별도로 공지했다. 팰컨 센서는 해킹 위협을 막기 위한 보안 프로그램이다. 네트워크에 연결되는 서버나 PC 등 개별 컴퓨터 장치인 ‘엔드포인트’마다 별도로 설치돼 구동한다는 점에서 ‘엔드포인트 탐지·대응’(EDR) 소프트웨어로 분류된다. 평소 이 팰컨 센서 프로그램은 MS가 제공하는 클라우드(애저·Azure)에 기반해 본사 시스템과 연결된 상태로 운영된다.그러나 업데이트는 서버나 PC 단위에서 이뤄지는 탓에 이번 사태가 발생했다. 컴퓨터별로 업데이트된 프로그램이 이미 MS 윈도와 충돌해버린 상태에서는 원격으로 네트워크에 접속해 문제를 해결하는 것이 불가능한 만큼 엔드포인트 고객들이 각자 오류에 대응해야 한다. 크라우드스트라이크는 이날 공지에서 각 사용자가 컴퓨터를 윈도 ‘안전 모드’ 혹은 ‘복구 모드’로 부팅해 특정 파일(C-00000291*.sys)을 삭제한 뒤 재부팅할 것을 해결책으로 제시했다. 크라우드스트라이크는 이번 사태에 대해 “보안 사고나 사이버 공격이 아니다”라며 충돌 문제를 해결한 새 업데이트 파일을 배포했다. 윈도가 아닌 애플의 맥(Mac) 혹은 리눅스 OS는 이번 업데이트로 인한 문제가 없다고 덧붙였다. 조지 커츠 크라우드스트라이크 최고경영자(CEO)는 미국 NBC 방송 인터뷰에서 “고객과 여행객 등 이번 사태로 영향을 받은 모두에 깊이 사과드린다”며 “일부 시스템은 자동으로 복구되지 않기 때문에 (문제 해결에) 시간이 걸릴 것”이라고 말했다. 로이터는 전 세계적으로 수백만대의 컴퓨터에 팰컨 센서가 깔린 것으로 추정된다고 추정했다. 보안 전문기업 사이버아크의 오머 그로스먼 최고정보책임자(CIO)는 “충돌이 엔드포인트에서 발생했기 때문에 문제 해결도 엔드포인트 별로 수동으로 이뤄져야 한다”고 설명했다. 그러면서 “이 과정에는 며칠이 걸릴 것”이라며 “글로벌 수준에서 극적인 피해가 발생했다”고 지적했다. 공항, 은행 등 주요 인프라가 한 회사의 클라우드 서비스를 사용하는 탓에 이같이 작은 보안 업데이트 오류 하나에도 동시다발적인 대형 마비 사태가 벌어졌다는 점도 주목된다. 클라우드 서비스는 이를 사용하는 개별 회사로선 유지·관리 비용을 절감한다는 장점이 있지만 중앙 시스템에서 문제가 생기면 피해 규모와 범위가 걷잡을 수 없이 커질 수 있는 구조적 위험이 있기 때문이다. 특히 이 서비스를 제공하는 회사가 MS와 같이 시장 지배력이 큰 회사라면 해킹과 같은 사이버 공격이 아니더라도 피해는 전 세계적으로 발생하게 된다.

생성형 인공지능(AI) 기술이 일반화되면서 ‘딥페이크’(AI 기반 인간 이미지합성기술) 해킹 공격 등이 새로운 사이버 위협으로 등장했다. 딥페이크로 구현된 화상회의에 속아 340억원의 거금을 송금한 사례도 있었다. SK쉴더스(구 ADT캡스)는 2일 서울 중구 페럼타워에서 ‘2024 상반기 보안 트렌드 및 안전한 AI 활용을 위한 보안 전략 공개’ 미디어 세미나를 통해 올해 상반기 유형별 침해사고 통계를 공개했다. 이날 발표는 국내 최대 규모의 화이트해커 전문가 그룹인 SK쉴더스 ‘이큐스트’(EQST)가 상반기에 직접 경험한 사고 사례와 연구 결과를 토대로 분석한 내용을 바탕으로 진행됐다. 특히 이큐스트는 주목받고 있는 AI 거대언어모델(LLM)의 취약점을 이용한 공격 3가지를 시연하면서 보안 대책을 발표했다. 이큐스트는 가상자산 탈취와 딥페이크 해킹 공격 등이 올해 상반기에 화제가 됐다고 밝혔다. 지난 1월에는 전 세계적으로 사용되고 있는 ‘Ivanti VPN 솔루션’에서 제로데이 취약점이 발견돼 다양한 산업 분야에서 피해를 보았다. 2월에는 중국 정부 지원을 받는 것으로 알려진 ‘볼트 타이푼’이 미국의 주요 인프라 내부망을 공격했다는 사실이 밝혀졌다. 특히 딥페이크로 구현된 화상회의에 속아 340억원의 거금을 송금한 사례도 있었다고 이큐스트는 설명했다. 3월에는 공개 소스 ‘ZX Utils’에서 백도어가 발견됐고, 4월에는 LLM에 의해 작성된 악성 스크립트가 사용된 악성 메일 공격이 발생했으며, 5월에는 블록체인 기반의 게임 플랫폼이 해킹돼 300억원의 가상자산을 도난당하는 사건도 있었다.이큐스트가 분석한 업종별 침해사고 발생 통계에 따르면 국내에서는 금융업을 대상으로 한 침해사고가 20.6%로 가장 높은 비중을 차지했다. 반면 국외에서는 러시아, 이스라엘 등 국제 분쟁으로 인해 정부와 공공기관을 대상으로 한 공격이 26.7%로 가장 높은 순위를 차지했다. 유형별 사고 발생 통계로는 취약점 공격이 45%로 가장 많이 발생했다. VPN, 라우터 등 네트워크 장비를 이용한 지능형 지속 위협(APT) 공격 때문으로 조사됐다. 인간의 심리를 이용해 기밀을 탈취하는 수법인 ‘소셜 엔지니어링’ 공격도 26%로 뒤를 이었다. 특히 이큐스트는 생성형 AI가 급속도로 발전하면서 AI가 가져올 수 있는 보안 위협에 관한 연구 결과도 발표했다. 우선 프롬프트 인젝션은 악의적인 질문을 통해 AI 서비스 내 적용된 지침이나 정책을 우회해 본 목적 이외의 답변을 끌어내는 취약점이다. 악성코드 생성이나 마약 제조 피싱 공격 등에 악용될 수 있다.두 번째로 불완전한 출력 처리 취약점은 LLM이 생성한 출력물을 시스템이 적절하게 처리하지 못할 때 발생한다. 이는 다른 2차 공격으로 이어질 수 있다는 점에서 위험도가 높다. 예를 들어 공격자가 원격 접속 코드 실행 요청이 포함된 내용을 챗봇에 질문하고 챗봇이 원격 접속 코드를 실행하게 되면 공격자가 AI LLM 운영 서버에 접속해 중요 정보를 탈취할 수 있게 되는 방식이다. 마지막으로 이큐스트는 개인정보가 포함되거나 애플리케이션의 권한 관리가 미흡해 생길 수 있는 민감정보 노출 취약점을 분석하며 데이터베이스(DB) 정보를 탈취하는 공격을 시연했다. LLM 모델을 학습시킬 때 민감 정보 필터링이 미흡한 경우 LLM이 생성하는 답변에 학습된 민감정보가 출력될 수 있다는 점에서 학습 데이터에 가명 처리를 하거나 데이터를 검증하는 등의 추가적인 보완책이 필요하다고 이큐스트는 강조했다. 김병무 정보보안사업부장(부사장)은 “전 산업 분야에 AI 기술 접목이 확산하면서 이를 노린 보안 위협이 현실화하고 있어 이에 대한 체계적인 대비가 필요하다”고 했다.

올해 1월 초 미국에서 개최된 소비자가전전시회(CES 2024)에서 ‘기술혁신상’을 수상한 TSID의 ‘비고정값 사용자 식별/검증/인증 시스템’이 ‘1등급 보안 GS 인증’ 검증을 통과해 국가 공인 인증을 획득했다. GS는 ‘Good Software’의 약자로 소비자와 기업이 우수한 소프트웨어(SW) 제품을 믿고 쓸 수 있도록 일련의 시험 테스트 과정을 거쳐 일정한 수준의 품질을 갖춘 SW 제품에 국가가 부여하는 인증제도다. 문서심사만으로 인증을 부여하는 여타 인증제도와 달리 실제 운영환경으로 테스트베드를 갖추고 프로그램, 제품설명서, 사용자 매뉴얼, 보안성 등 철저한 제품 시험을 통해 품질을 인증한다. 또 ISO 국제 표준에 따라 SW의 기능 적합성, 성능 효율성, 사용성, 신뢰성, 보안성 등을 종합 평가하고 그 품질을 국가가 인증한다. GS 인증은 조달청 계약 체결 및 나라장터 등록, 공공기관의 GS인증 제품 우선구매 대상 지정 등의 필수 기준으로 공공시장 활로 개척의 중요 분기점으로 여겨진다. GS 인증 1등급 제품은 정부 기관 및 공공기관 가· 나·다급에서 사용해도 된다는 국가 공인 인증으로, 법령에 의해 도입 공무원의 업무 면책이 보장된다. TSID(Time Sync Identification)는 수학적 암호화 기법으로 일회성 식별코드를 자동 생성해 서버로 되돌려 보내는 쓰리 스텝 인공지능(AI) 기술이다. 비밀번호나 생체정보 같은 개인정보(고정값)가 없어 서버에 저장되지 않으며 생성된 식별코드도 사용 후 사라져 해킹으로부터 안전하다. TSID 장애인인증센터는 문화체육관광부 국립장애인도서관과 서비스 협약을 체결했고 장애인인권센터, 킥보드 충전 숨 스테이션 앱, 조선일보 월간조선 뉴스룸에 적용돼 안전하게 사용되고 있다. TSID는 “키값 관리가 필요 없는 최초의 기술”이라며 “기존 인증은 온라인만 가능했지만 ‘비고정값 사용자 식별/검증/인증 시스템’은 온·오프라인 모두 가능하다”고 설명했다. 키값 관리가 필요 없다는 것은 계정 접속 권한(아이디·비밀번호) 탈취가 불가능해 개인정보 유출이나 해킹, 도용 등의 사고를 근본적으로 차단할 수 있다는 뜻이다. 특히 TSID 인증센터는 2022년 11월 1일부터 올해 4월까지 필드 테스트 결과 세계 각국 해커와 북한 해커로부터 약 200만건 이상 공격을 받았음에도 공격 흔적만 남았을 뿐 모두 실패한 것으로 전해졌다. TSID는 한국인터넷진흥원(KISA)의 ‘신기술 신속확인’ 기술로 검증돼 산업통상자원부가 주관하는 신기술(NET) 인증도 획득해 정부 우선구매제품으로 조달청에 등록하는 절차를 진행하고 있다. ‘비고정값 사용자 식별/검증/인증 시스템’이 탑재되면 가짜 URL이나 복제된 홈페이지로 개인정보를 해킹하는 ‘파밍(Pharming)’도 차단된다. 회사 관계자는 “아이디나 비밀번호 없이 비고정값 알고리즘으로 인증되는 신기술이라 국가 공인 인증 평가항목이 없어 인증을 받기까지 우여곡절이 많았다”면서 “때로는 사기꾼으로 모함까지 받는 등 위기도 있었지만, GS 인증 1등급을 획득하며 돌파구를 찾게 됐다”고 전했다. TSID에 따르면 서울시, 강남구, 서초구 등 공공기관과 도입 논의가 시작됐고, 금융기관과 대기업의 도입 문의가 이어지고 있다. TSID는 한국을 비롯해 미국, 중국, 유럽연합, 일본, 인도, 베트남 등에서도 국제특허를 획득했고, 2021년 6월 미국 대통령상을 수상해 주목을 받았다. 특히 DB손해보험과 재보험사의 검증을 통과해 만약 해킹·도용 피해가 발생해도 인증기술 최초로 보상받을 수 있는 보험상품도 마련됐다. TSID㈜의 윤승권 대표는 “TSID는 기원전 450년쯤부터 약 2500년 동안 사용된 아날로그 방식의 ‘고정값’ 암호체계를 5G 시대에 가장 적합한 ‘양방향 비고정값 사용자 식별/검증/인증’ 암호체계로 바꾸는 데 성공했다”면서 “초연결 사회 도래를 앞두고 안전하고 편리한 인증 시스템이 없어 고민하던 많은 분야에서 가장 주목받을 수 있는 기술이 세상에 나온 것“이라고 강조했다.

지능형 홈네트워크 설비 해킹 예방, 보안점검 지원·교육 인터넷진흥원, 아파트 보안 자율점검 선도지역 ‘경기도’ 선정최근 아파트에 월패드(통합 주택 제어판)뿐만 아니라 현관 잠금장치, 커튼, 조명, 가스 밸브, 침입 감지장치 등 인터넷과 연결해 외부에서 제어할 수 있는 장치가 늘어 관리 소홀로 인한 해킹 우려도 커지고 있다. 이에 따라 경기도는 공동주택 서버 해킹 방지를 위한 지능형 홈네트워크 설비 보안점검 및 교육 등을 추진한다고 28일 밝혔다. 도는 지난 2021년 단지 서버 해킹으로 월패드에서 불법 촬영한 세대의 사생활 영상이 유출된 사고 이후 지능형 홈네트워크 설비가 설치된 아파트를 대상으로 관리 실태에 대한 표본조사를 실시했다. 조사 결과에 따라 관련 대책으로 지능형 홈네트워크 유지관리 표준 업무지침서를 제작해 도내 전 공동주택에 배포하고 제도개선 사항 11건을 건의했다. 또, 올해 과학기술정보통신부 산하 한국인터넷진흥원(KISA)의 ‘아파트 보안 자율점검 지원사업’ 선도 지역으로 선정됐다고 밝혔다. 아파트 보안점검은 아파트에 설치된 지능형 홈네트워크 설비의 해킹 예방을 위해 아파트 스스로 점검하고 문제점을 조치할 수 있도록 지원하는 사업이다. 선도 지역은 보안점검, 교육 등을 무료로 우선 지원받는다. 도는 아파트 보안점검 지원사업과 연계해 공동주택 기술자 문단을 통한 무료 기술 자문을 제공할 계획이다.

국방부와 군 고위급 인사들의 개인 이메일이 해킹 공격을 당해 경찰이 수사 중이다. 20일 관계당국에 따르면 경찰청 안보수사국은 최근 차관급을 포함한 국방부 고위공무원과 군 장성들의 개인 이메일 해킹 피해를 파악하고 조사에 착수했다. 경찰 관계자는 “군 관계자들을 상대로 한 북한의 해킹 활동과 관련해 수사 중”이라며 “아직 수사가 진행 중이라 구체적인 해킹 대상과 피해 규모는 밝히기 어렵다”고 말했다. 이번 사건은 개인 이메일 계정이 해킹당한 것으로, 군 서버에 대한 사이버 공격과는 무관한 것으로 알려졌다. 경찰은 이들 군 관계자와 유사한 방식으로 외교안보 전문가 등 내국인 총 100여명의 개인 이메일이 해킹당한 사실을 파악하고 수사 중이다. 지금까지 외부 노출이 적은 군 인사들의 개별 피해 사례는 있었지만, 고위직 100여명 이상이 조직적으로 해킹 피해를 당한 것은 처음이다. 국방부는 “경찰 조사에 협조 중”이라며 “당사자들에게 개인 메일 보안 조치를 강화하라는 지침을 통보했다”고 밝혔다. 한편 ‘김수키’ 등 북한 해킹조직은 우리 군과 외교안보 당국, 전문가 등 주요 인사들의 이메일 계정을 탈취하는 사이버 공격을 지속하고 있다. 지난달 경찰청 안보수사국은 김수키를 포함해 라자루스, 안다리엘 등 북한의 3대 해킹조직이 국내 방산기술 탈취를 목표로 국내 방산업체 10여곳에 전방위적인 해킹 공격을 가했다는 수사 결과를 발표했다.