기자라는 직업을 갖고 있다 보니 주변에서 이런저런 질문을 많이 받는다. 질문의 유형은 대략 세 가지다. 하나는 ‘A양 염문설’과 같은 호사가들의 궁금증이다. 다른 하나는 유망한 주식·부동산 정보 등 재테크 목적의 질문이다. 보통 들은 대로, 아는 대로 “그건 사실과 다르대.” “대박주를 알면 내가 샀지.”라는 식으로 웃고 넘기고 만다. 하지만 어떤 사건이나 의혹의 실체적 진실이 질문의 대상이 되면 사정이 달라진다. 그냥 웃고 넘어갈 수가 없다. 정확히 모르거나 답변이 곤란하면 당혹스러워진다. ‘내가 명색이 기자인데….’하는 생각에 일종의 자책감마저 밀려온다. 최근에 그런 경험을 했다. “농협 전산망 해킹이 진짜로 북한이 한 짓이냐.”고 친구가 물어왔다. 지금은 그쪽 취재를 담당하지 않고 있어 안면 있는 보안 전문가에게 오랜만에 전화를 돌렸다. 하지만 들려오는 답은 수사당국의 얘기와 다르다. “검찰 발표만 믿고 북한으로 단정하기 어렵다.”는 것이다. 검찰이 두 차례 디도스 공격의 범인이 북한이고, 그 범인과 이번 범인이 같다고 했는데 증거도 공개하지 않은 채 그렇게 몰아가는 것은 ‘추론의 추론’일 뿐이라고 했다. 한 해커는 “IP는 DNA와 다르다.”고 했다. IP는 DNA와 달리 얼마든지 복제가 가능한 만큼 같은 IP가 발견됐다고 범인까지 같다는 논리는 성립하지 않는다고 했다. 문제는 이런 생각이 일부의 의견이 아니라 전문가들 사이에 일반화돼 있다는 것이다. 검찰로서는 억울할 수도 있다. 실제로 검찰의 말대로 보안기밀 때문에 속 시원히 공개하지 못하는 것을 외부에서 불신하고 매도하는 것일 수도 있다. 하지만 이는 그동안 권력의 의도에 따라 움직여 온 검찰의 원죄다. 검찰의 발표는 현 정권에 대한 ‘믿음의 눈’을 가진 사람들에게만 진실로 보여서는 안 된다. 국민들을 부활한 예수를 믿지 못해 상처에 손을 넣어봤던 예수의 제자 도마와 같은 사람들로 만들고 싶지 않다면 말이다. whoami@seoul.co.kr

하루가 다르게 발전하는 정보통신기술(ICT)은 사용자들에게 무한한 사용 편의성을 제공하고 있지만 개인정보의 유출 가능성도 높여 ‘양날의 칼’로 다가오고 있다. 특히 우리처럼 보안 의식이 기술발전 속도를 따라오지 못하는 상황에서는 개인정보 유출이 사회적으로 문제가 되곤 한다. 6일 관련 업계에 따르면 우리나라의 개인정보보호 수준은 꾸준히 개선되고 있다. 최근 세계경제포럼(WEF)이 발표한 세계 보안서버 보급률 순위 조사에서 우리나라는 조사대상 137개국 가운데 12위로 지난해보다 2계단 상승했다. 2008년과 2009년 순위는 각각 51위, 16위였다. 보안서버는 인터넷상에서 주민등록번호와 아이디 등 개인정보를 암호화해 전송, 해킹 등으로부터 개인정보를 보호하는 기본적인 수단이다. 개인정보보호를 위한 꾸준한 개선이 이뤄지고 있다는 뜻이다. 그러나 세계 최고 수준의 ICT를 감안하면 여전히 정보보호 수준은 걸음마 단계다. 특히 공공 부문일수록 문제가 심각하다. 행정안전부가 지난 2월 100개 공공기관의 개인정보 보호 수준을 현장 진단한 결과 중앙부처 및 시·도 등 56개 기관은 전년 대비 3.0점 상승한 94.3점으로 개선됐다. 반면 공사와 공단, 교육청 및 대학 등 44개 기관은 71.7점을 받아 개인정보 암호화 분야와 개인정보처리시스템의 접근·이용 분야의 개선이 필요한 것으로 나타났다고 밝혔다. 스마트폰과 무선랜(와이파이) 이용자가 크게 늘고 있다는 점은 개인 차원의 정보보호 측면에서는 악재다. 와이파이는 누구나 자유롭게 사용할 수 있는 ‘개방형’으로 설계된 만큼 태생적으로 보안에 취약하다. 이용자의 개인 정보를 수집하기 위해 위장 설치된 AP에 접속하면 개인 정보가 줄줄 새 나가는 것은 시간문제다. 최근 애플과 구글이 스마트폰의 위치 정보를 수집한 것도 와이파이 망을 통해서다. 이에 따라 개인정보 보호를 위한 관련 법 제정 움직임도 활발하다. 특히 오는 9월부터 시행되는 개인정보보호법은 국내 보안 수준을 크게 끌어올릴 것으로 기대되고 있다. 이두걸기자 douzirl@seoul.co.kr

송지선 MBC 스포츠플러스 아나운서의 트위터에 남겨진 자살암시 글은 당초 해커의 소행인 것으로 알려졌으나 본인이 직접 작성했던 것으로 밝혀졌다. 서울 서초경찰서 관계자는 7일 ”트위터가 해킹을 당한 것이 아니고 본인이 직접 글을 써 올린 것”이라고 말했다. 서초경찰서에 따르면 송 아나운서는 최근 우울증이 심해져 자신의 심정을 전하기 위해 트위터에 직접 글을 올렸다. 이날 새벽 4시50분쯤 송 아나운서의 트위터에 “저를 데려가 주실 수 없다면, 힘을 주세요. 너무 고통스럽습니다. 수면제 3알 째”란 글이 올라와 네티즌들을 깜짝 놀라게 했다. 이어 “하느님 저 좀 도와주세요. 뛰어내리려니 너무 무섭고. 목을 매니 너무 아파요. 나는 비 오는 창밖을 향해 작별인사 다 했어요. 이제 그만 편안해지게 해 주세요 제발”이라는 자살 암시글이 올라왔다. 이 글을 본 트위터리안들이 경찰에 신고, 이날 오전 5시19분쯤 119구조대가 송 아나운서의 집에 긴급 출동했다. 송 아나운서는 집에서 잠을 자고 있었다. 송 아나운서는 이날 오전 6시 50분쯤 “저 무사해요. 심려를 끼쳐 드려 죄송하다.”는 글을 올렸지만 그녀를 둘러싼 글들이 인터넷 커뮤니티를 후끈 달구고 있다. 일부 네티즌들은 송 아나운서의 자살 암시글이 올라온 시점보다 3시간 가량 앞선 오전 2시 8분 송 아나운서가 자신의 미니홈피에 스포츠 스타 A와의 관계에 대해 언급했다는 주장을 제기했다. 인터넷을 통해 퍼지고 있는 ‘송지선 다이어리’이라는 제목의 캡처사진과 글은 현재 송 아나운서의 미니홈피 배경과 일치한다. 송 아나운서는 MBC 스포츠플러스 야구전문 아나운서로 ‘베이스볼투나잇 야(野)’를 진행하고 있다. 인터넷서울신문 event@seoul.co.kr

저희는 요즘 무척 외롭답니다. 땟자국을 뒤집어쓰고 있거나 유리가 깨져 있거나, 세련되게 단장한 것들이라 해도 한쪽에 우두커니 서 있기 일쑤입니다. 우산을 챙기지 않은 이들의 비 긋는 노릇으로나 존재의 의미를 이어갈 따름입니다. 저희도 잘나가던 때가 있었습니다. 다 잊으셨겠지만 2001년만 해도 전국에 50만의 동료가 있었습니다. 저희들의 쓰임새는 숱한 시와 노래의 소재로 등장한 것으로도 짐작할 수 있습니다. 21년 전 ‘015B’의 객원가수 윤종신이 불렀던 ‘텅빈 거리’의 노랫말 ‘떨리는 수화기를 들고 너를 사랑해/눈물을 흘리며 말해도/아무도 대답하지 않고 야윈 두 손에/외로운 동전 두 개뿐’에는 저희를 즐겨 찾던 이들의 낭만과 회한, 감성이 오롯합니다. 하지만 지금은 걸까 말까 망설이며 만지작대던 동전의 감촉을 플라스틱 카드의 밋밋함이 대신하고 있을 뿐입니다. 무엇보다 이렇게 쓸쓸히 잊힌다는 사실이 더 견딜 수 없는 아픔입니다. 저희가 사라질 운명임을 부정하긴 어렵습니다. 3월 말까지 전국에 12만 2604대의 동료가 있는데 식당, 카페 등에서 설치해 운영하는 자급형을 뺀, 길거리의 저희 숫자는 8만 8000대입니다. 10년 전의 4분의1이 됐고 3449억원이던 매출도 지난해 512억원으로 7분의1 토막 났습니다. 지난 한 해 관리비로만 600억원을 쓰게 했으니 88억원의 손실을 끼쳐 천덕꾸러기도 이런 천덕꾸러기가 없습니다. 이용하는 이는 줄고 수십억원의 손실을 보는데도 저희를 없애지 않는 이유는 뭘까요. 누구나 휴대전화 한 대는 갖고 있다지만 아직도 저희를 필요로 하는 이들이 있기 때문입니다. 영국인 관광객 스튜어트는 “영국 휴대전화라 여기서 작동하지 않네요. (나처럼) 휴대전화가 안 된다면 (공중전화는) 필요하다고 생각해요.”라고 말했습니다. 서울 독산동에 사는 40대 신용불량자 박모씨는 “사기를 당해 전화도 뭐도 다 끊긴 상태입니다. 뭐라도 해서 먹고 살려고 일자리 센터를 통해 일을 알아보는데 나 같은 처지의 사람에게 아주 유용합니다.”라고 말했습니다. 저희를 관리하는 KT의 장인석 홍보실 대리 얘기를 들어볼까요. “경제 논리로 보면 공중전화는 없어지는 게 맞다고 생각할 수 있지만 소외된 계층에게는 공중전화가 아직도 중요한 통신수단입니다. 또 휴대전화를 잃어버리거나, 배터리가 다 되었을 경우에는 요긴한 대체 수단이 됩니다.” 저희를 즐겨 찾는 분들은 휴대전화를 사용하는 데 어려움을 겪는 고령자, 어린이, 유학생, 외국인 근로자 등과 학교, 군부대, 병원 등 특수지역 이용자들입니다. 실제로 수도권에서 많이 이용하는 지역을 살펴보니 동두천과 양주시, 서울 동대문구처럼 역이나 터미널 주변, 종합병원과 군부대 근처, 외국인 근로자가 모여 사는 곳이었습니다. 특히 3·11 동일본 대지진 직후 며칠 동안 저희 앞에 길게 늘어선 줄을 보면서 저희 쓰임새가 더 각인되는 계기가 됐습니다. 장 대리는 “무선 통신이 마비됐을 때 유선 서비스가 튼튼히 받쳐 줘야만 큰 혼란에 빠지지 않을 수 있습니다.”라고 말했습니다. 그렇게 능력이 대단하다던 북한의 해킹 공격으로 무선 통신망이 와해됐을 때 유선 통신망을 어느 정도 확보하고 있어야 한다는 얘기입니다. 물론 저희 숫자는 올해에도 줄어들 겁니다. 방송통신위원회의 보편적 서비스 개선안에 따라 3월 말의 8만 8000대를 연말에는 8만대로 줄일 계획이랍니다. KT는 그러면서도 쓰임새를 넓히는 쪽으로 계획하고 있습니다. 지난해 국토해양부가 주관한 마포구의 ‘U시티’ 프로젝트에서 선보인 것처럼 주변 상가나 길 안내는 물론 공연 및 문화 정보, 인터넷과 다국어 서비스 등을 갖춰 멀티 스테이션 기능을 하도록 하겠다는 것이지요. 또 앞으로는 지방자치단체의 ‘디자인 거리’와 가로 정비 사업에 발맞춰 디자인 측면을 강화해 도시의 상징물로 만들겠다는 구상입니다. 여기에 공익 목적의 옥외광고를 게재하도록 해 수익을 보전하는 식으로 탈바꿈하겠다는 셈법입니다. 어떠세요. 저희 사연 들으셨으니 퇴근 길, 가로등 불빛 아래 처연히 서 있는 저희를 한 번 더 돌아보실 거죠? 서봉원기자 murrow04@seoul.co.kr ●6일 오후 7시 30분 케이블 채널 서울신문STV ‘TV 쏙 서울신문’ 방영

“농협 전산망 해킹 사태는 북한 소행이라고 단정 짓기 어렵다.” 국방부 기무부대 고위관계자는 4일 농협 전산망 마비 사태의 배후와 관련, 북한 소행일 가능성이 높다는 검찰의 수사결과를 존중한다고 전제한 뒤 이렇게 말하며 신중한 반응을 보였다. 전날 검찰과 국가정보원이 ‘북한 정찰총국’을 배후로 지목했던 것과는 배치되는 입장이어서 논란이 예상된다. 이 관계자는 “기무부대에서 밝힐 사안은 아니지만, 아직 (북한 소행이라고) 확정 지을 때가 아니다.”라고 말했다. 검찰이 이번 사태의 배후로 북한을 추정했을 뿐 뚜렷한 물증을 내놓지 못한 상황을 감안한 발언으로 보인다. 군 보안 및 방첩, 정보전 지원 업무를 주요 임무로 수행하는 기무부대 역시 아직 정확한 해킹 경로와 배후를 밝혀내지 못했다는 뜻으로도 풀이된다. 그는 다만 “우리는 (전산장비, 전산능력 등의) 덩치가 크고, 북한은 덩치는 작지만 집약돼 있다.”면서 “용량은 비슷한 수준이어서 덩치 큰 쪽 입장에선 (공격받을까) 불안할 수밖에 없다.”며 추가 테러 가능성을 열어뒀다. 홍성규기자 cool@seoul.co.kr

검찰의 농협 전산장애 사건 수사가 마무리 국면에 접어들면서 4일 피해 고객들의 집단소송 움직임도 본격화되고 있다. 농협 전산장애 피해자들의 모임인 인터넷 카페 등은 소송 절차와 관련 법리 검토에 들어가며 집단소송 준비를 시작했다. 농협 측이 제시한 피해 보상액과 범위에 피해자들이 이견을 보이면서 소송이 불가피해진 것이다. 농협은 지난 2일 현재 1385건의 피해보상 민원이 접수됐고, 1361건에 대한 피해 보상을 끝냈다고 밝혔다. 지금까지 2000만원 정도를 보상했다. 농협은 연체이자 수수료, 세금 지연 납부에 따른 가산세 등에 대해 보상했다고 설명했다. 농협 관계자는 “손실 규모가 명확하지 않은 간접 피해의 경우 보상위원회 결정을 수긍하지 못한다면 소송으로 갈 수밖에 없다.”고 밝혔다. 농협의 보상지침을 따르지 않는 고객은 추가적인 금전적 손실과 번거로움을 감수하면서 피해를 개별적으로 입증해야 한다는 뜻이다. 개인정보 유출이나 소음피해 같은 집단적인 피해에 대해 보상을 요구해 온 기존의 집단소송에서 피해자들이 원고 목록 작성에 참여한 뒤 큰 수고를 기울이지 않아도 됐던 것과는 차이가 있다. 농협은 명확한 금전적 피해에 대해 우선보상을 하겠다는 입장이지만, 소비자들은 다양한 형태의 피해를 호소하고 있다. 피해 접수를 하고 있는 금융소비자연맹에는 “농협 카드를 연체해 신용등급이 순식간에 4단계나 떨어졌다.”거나 “사업을 하는데, 전산 마비로 월급통장 거래가 안돼 500만~600만원 정도 손해를 봤다.”는 사례가 접수됐다. 아파트 계약을 한 뒤 잔금을 치르지 못해 계약이 파기됐다는 주장도 나왔다. “나이트클럽에서 돈을 못 내 술값을 다음날 웨이터에게 직접 입금했다.”고 호소하는 이도 있다. 한편 이날까지 특별검사를 종료하려던 금융감독원은 오는 12일까지 시한을 연장하기로 했다. 지난달 18일부터 특별검사를 해온 금감원은 농협의 과실 부분을 확인하고, 앞으로 책임자 가리기에 나서기로 했다. 특히 IT본부분사가 금융 담당인 신용부문 대신 교육지원 부문에 배치된 점을 감안해 실질적인 책임자 규명에 나설 계획이다. 홍희경기자 saloo@seoul.co.kr

농협 전산망 마비 사태를 북한 정찰총국의 치밀한 사이버 테러로 결론 내린 검찰이 해외 IP의 실제 이용자와 경로를 규명하는 것이 필수적이라고 보고 관련 국과의 공조수사에 착수했다. 서울중앙지검 첨단범죄수사2부(부장 김영대)는 농협 서버운영 시스템 삭제 명령의 발원지인 한국IBM 직원 노트북에 접속 흔적을 남긴 해외 IP 27개가 소재한 국가에 수사 협조를 요청했다고 4일 밝혔다. 문제의 노트북에서 나온 IP의 소재지는 중국과 타이완, 브라질, 우크라이나, 이탈리아, 미국 등 모두 13개국이다. 검찰은 사이버 범죄에 대한 효과적 대응과 국제공조 수사를 위해 대검찰청 첨단범죄수사과에 설치된 ‘24시간 네트워크’를 통해 해당 국가에 IP의 실소재지를 파악해 줄 것을 요청한 상태다. 검찰은 이들 IP가 실제 그 나라에 근거지를 둔 것으로 확인되면 관련 전산자료를 넘겨받아 분석할 방침이다. 향후 검찰의 수사 방향은 해당 IP가 이번 사태에서 어떤 역할을 했는지, 실사용자의 신원은 무엇인지 등을 파악하는 데 집중될 것으로 전망된다. 강병철기자 bckang@seoul.co.kr

정부는 3일 농협 전산망에 대한 해킹이 북한 정찰총국에 의한 사이버테러라는 검찰 수사 결과 발표와 관련, “도발이며 규탄받아 마땅하다.”고 밝혔다. 통일부 대변인은 논평을 통해 “북한이 그간 우리 동서해역에서 반복해 시도해 온 위성 위치정보시스템(GPS) 교란행위나 이번 민간 금융기관의 전산망 해킹 등의 행위는 우리 사회에 대한 도발이며 규탄받아 마땅하다.”고 지적했다. 통일부는 “북한이 이러한 무분별한 사이버 테러 행위를 즉각 중단할 것을 강력히 촉구한다.”고 덧붙였다. 통일부 당국자는 “오늘 논평 외에 현재로서는 북측에 항의서한 등을 보낼 계획은 없다.”고 말했다. 윤설영기자 snow0@seoul.co.kr

소니의 플레이스테이션 네트워크(PSN)에서 7700만건의 개인정보가 유출된 지 1주일도 지나지 않아 이번에는 소니의 미국 게임 자회사 시스템이 해킹을 당해 약 2460만건의 고객정보가 유출된 것으로 나타났다. 전 세계 1억명의 정보가 유출될 가능성이 제기되고 있는 실정이다. PC용 온라인게임을 제공하는 소니의 미국 게임 자회사인 소니 온라인 엔터테인먼트(SOE)는 “지난달 16~17일 해커의 불법 침입을 받아 약 2460만건의 고객 정보가 유출됐을 가능성이 있다.”고 발표했다고 니혼게이자이신문이 3일 보도했다. 더욱이 이번에 유출된 고객 정보에는 약 1만 2700개의 신용카드와 직불카드 번호가 포함된 것으로 알려져 심각성을 더했다. 소니는 지난 1일 오후(현지시간)에 시스템 오류를 발견했으나 하루 지난 2일에야 사고 사실을 밝혔다. 유출 우려가 있는 신용카드 정보 중 약 4300건이 일본 카드 정보로 알려졌다. 신용카드 정보는 지난 2007년에 저장해 놓은 데이터베이스에서 유출됐을 가능성이 있다고 소니 측은 설명했다. SOE는 온라인 게임 서비스와 페이스북용 게임을 일시적으로 중단하기로 했다. SOE 관계자는 “이번에 발견된 시스템 이상이 ‘해커의 또 다른 공격’ 때문이 아니라 지난달에 벌어진 공격과 관련된 것”이라고 설명했다. 니혼게이자이신문은 소니가 지난달 7700만건의 개인정보 유출 사고를 조사하느라 미국 자회사에서 발생한 해킹 공격을 막지 못했을 가능성이 높은 것으로 보고 있다고 전했다. 소니는 지난달 26일 게임과 영화, 음악 등을 인터넷으로 전송하는 PSN과 ‘큐리오시티’가 해커로부터 공격을 받아 총 7700만건의 개인 정보가 유출됐을 가능성이 있다고 발표했다. 회원들의 이름과 주소, 생년월일, 암호 등이 노출됐을 가능성이 높은 것으로 알려졌다. 도쿄 이종락특파원 jrlee@seoul.co.kr

지난달 발생한 사상 초유의 농협 금융전산망 마비 사태는 북한의 소행으로 결론이 났다. 북한 정찰총국 소속 해커들이 장기간 치밀하게 준비한 뒤 실행한 ‘사이버테러’라는 것이 검찰이 내린 결론이다. 서울중앙지검 첨단범죄수사2부(부장 김영대)는 3일 이 사건이 2009년 7·7디도스(DDoS·분산서비스거부) 및 지난 3·4디도스 공격 주체와 같은 집단의 소행으로 ‘북한이 관여한 사이버테러’라고 밝혔다. 검찰에 따르면 농협 서버 삭제 명령이 내려진 한국IBM 직원 노트북은 지난해 9월 4일쯤 악성코드에 감염돼 ‘좀비PC’(해커가 원격제어하는 PC)가 됐으며, 해커들은 7개월 가까이 이 노트북을 집중 모니터링했다. 그러다 지난달 12일 오전 8시 20분쯤 공격명령 파일이 설치됐고, 같은 날 오후 4시 50분쯤 원격제어 방식으로 삭제 명령이 실행됐다. 특히 악성코드 중에는 도청 프로그램도 포함돼 있어 해커들은 삭제 명령 실행 당일에 농협 측의 반응과 피해 규모까지 모두 도청했던 것으로 조사됐다. 또 이들은 정보 유출용 해킹 프로그램인 ‘백도어’(backdoor)와 ‘키로깅’(key logging)을 통해 최고관리자 비밀번호까지 빼냈다. 검찰은 해당 노트북 ‘맥 주소’(MAC Address·랜카드 고유 식별 번호)를 북한 측이 관리하고 있었고, 악성코드 유포 경로와 작동 방식이 과거 사건과 비슷하며, 공격에 사용된 IP주소 한 개가 3·4디도스 때와 동일하다는 점 등을 근거로 이 사건을 북한의 소행으로 보고 있다. 하지만 검찰은 중국에서 암약하는 해커들이 농협 서버를 해킹했을 수도 있다고 보고 IP 추적 등 관련 수사를 계속할 계획이다. 김승훈·강병철기자 bckang@seoul.co.kr

농협 전산망 마비 사태를 3주 동안 수사한 검찰은 이 사건을 ‘북한 정찰총국이 주체가 돼 치밀하게 준비한 사이버 테러’라고 결론지었다. 과거 7·7 디도스(DDoS·분산 서비스 거부), 3·4 디도스 공격 대란 때와 같은 결론이다. 검찰은 국가정보원이 축적한 자료를 바탕으로 이와 같이 판단했다. 하지만 여기에는 농협의 허술한 보안도 한몫한 것으로 드러났다. 3일 검찰 등에 따르면 농협 사태를 북한 소행으로 보는 가장 주요한 근거는 농협 서버 삭제 명령이 내려진 한국IBM 직원 노트북의 ‘맥 주소’(MAC Address·랜카드 고유 번호)가 북한 측에서 관리하는 ‘좀비PC’ 맥 주소 목록에 포함돼 있다는 사실이다. 국정원은 지난해 9월쯤 북한이 국내에 대대적으로 악성코드를 유포하고, 여기에 감염된 좀비PC들의 맥 주소를 목록으로 정리·관리해 왔다는 사실을 포착했다. 국정원은 해당 목록을 입수해 보관해 왔는데, 이번 사건에 활용된 노트북 맥 주소가 이 목록에 포함돼 있었던 것이다. 또 동일 집단이 아니고서는 불가능할 정도로 비슷한 수법으로 같은 프로그램이 활용됐다는 것도 중요한 정황 증거다. 검찰 관계자는 이를 두고 “수법이 같다는 건 사람의 필적이 같은 것과 비슷한 이치”라고 표현했다. 우선 악성코드를 ‘A로 시작하는 45자의 암호키’를 사용해 숨겨둔 수법이 이전과 똑같았고, 공격에 활용한 인터넷 프로토콜(IP) 주소 1개는 3·4 디도스 때와 완전히 일치하는 것으로 조사됐다. 여기다 일부 악성코드는 3·4 디도스 때와 이름이 같았고, 삭제 명령 대상이 된 30여 개 파일 확장자도 7·7 디도스 때와는 93%, 3·4 디도스 때와는 100% 일치했다. 이번 공격이 상당한 규모의 인적·물적 지원 없이는 불가능한 범죄라는 점도 검찰이 북한의 소행이라고 추정하는 간접적인 이유다. 그러나 검찰은 이번 사건을 북한이 주도했다는 ‘확실한 증거’는 제시하지 못했다. 검찰은 한국IBM 직원의 노트북에서 27개 해외 IP를 발견했으나, 어느 IP를 통해 삭제 명령이 내려졌는지는 특정하지 못했다. 또 7·7 디도스, 3·4 디도스 사건 당시 “북한 개입으로 추정한다.”는 결론을 내리고서는 이번에 다시 그 사건들과의 공통점을 근거로 북한 소행으로 결론내리는 것에 대해 논리성이 떨어진다는 비판을 피할 수 없을 것으로 보인다. 또 국정원이 해당 악성코드 유포 사실을 지난해 9월 확인해 치료 작업에 들어갔는데도 주요 금융기관인 농협의 서버 관리 컴퓨터가 반년 넘게 치료되지 않았다는 점도 의문이다. 검찰은 향후 추가 범죄가 발생할 가능성도 있다고 보고 있다. 검찰은 이와 함께 이번 사건에서는 농협의 허술한 보안 정책도 한 원인이 됐다고 밝혔다. 농협 직원의 컴퓨터라면 반드시 깔려 있어야 하는 보안 프로그램이 한국IBM 직원의 노트북에는 깔려 있지 않았고, 해당 직원은 서버 관리용 노트북으로 자유롭게 인터넷 서핑이나 웹하드 자료 다운로드를 즐겼다. 강병철기자 bckang@seoul.co.kr

농협 전산 장애를 촉발한 원인으로 북측의 사이버 테러 도발이 지목된 가운데 주대준 한국과학기술원(카이스트) 부총장은 3일 “청와대를 중심으로 국가 전체를 컨트롤하는 사이버 보안시스템 구축이 시급하다.”고 지적했다. 주 부총장은 “농협 전산망을 공격한 주체가 누구인지에 관계없이 우리가 사이버 테러를 당했다는 것은 명백한 사실”이라면서 “수력·전력·교통 등 국가 기반 시설망이 사이버 테러에 노출될 경우 상상할 수 없는 피해가 올 것”이라고 경고했다. 주 부총장은 6공화국 시절부터 현 정부까지 20여년간 청와대 경호실에서 사이버 보안 체제를 구축했다. 지난 2008년 대통령실 경호처 경호차장으로 정년 퇴직한 뒤 카이스트 사이버보안연구소장으로 사이버 해킹 탐지 원천 기술 개발과 후학 양성에 전념하고 있다. →2009년 7·7디도스 공격 뒤 사이버 테러가 고도화되고 있다. -삼풍백화점이나 성수대교 붕괴는 세월이 지나도 생생하다. 눈에 보이기 때문이다. 디도스 공격과 같은 사이버 테러는 실감하기 어렵다. 사이버 테러가 동시다발적으로 국가 기간산업망까지 무력화시킬 수 있는 파괴력을 갖고 있음에도 경각심이 일어나지 않는 이유다. 해킹을 당하고도 모르는 경우도 많다. 전문가들이 ‘폴스 네거티브 에러’(False Negative Error)라고 하는 상황이다. 최근 해커들은 특정 사이트를 관찰하다가 특정 시간대에 악성코드를 유포한다. 그 순간 사이트에 접속한 모든 개인용컴퓨터(PC)는 좀비PC가 된다. 사이트에 접속만 해도 좀비PC가 양산되는 것이다. →국내 PC가 유독 악성코드 공격에 취약한 이유가 있는가. -역설적으로 우리나라만큼 정보기술(IT) 분야가 활성화된 곳이 없기 때문이다. 고속 인터넷망이 전국에 퍼져 있으니 해커의 먹잇감이 되는 것이다. 이탈리아에 가면 관광객이 몰리니 지갑을 훔치기 쉬운 것처럼, 사이버환경이 발달되어 있으니 해커가 노릴 수밖에 없다. 최근 민간 부문의 2000여개 사이트를 조사한 결과 10% 이상의 홈페이지에 악성코드가 숨겨져 있었다. 내로라하는 대기업 홈페이지도 포함됐다. 해커의 공격이 갈수록 거세지는 것도 사실이다. 20여년 전 청와대 재직 시절에 이미 보안을 위해 내부망과 외부망을 분리했다. PC 한 대를 인터넷과 인트라넷으로 분리하는 것인데, 이 방법은 이제 큰 의미가 없다. 인터넷을 사용할 때 침투한 악성코드가 인트라넷으로 침투되기 때문이다. 물리적으로 PC를 분리해서 사용할 수 있는데, 최근 유럽에서는 인트라넷만 연결되는 PC에 유지보수업체가 꽂은 USB에서 악성코드가 묻어 들어간 사례가 발견됐다. →대책은 없는가. -지난해 주요 20개국(G20) 정상회의 당시 모니터링 시스템이 좋은 예가 될 수 있다. 당시 카이스트 사이버보안연구센터와 서울경찰청이 공조해 악성코드를 실시간으로 분석하고 바로 삭제하는 모니터링 시스템을 가동해 효과를 봤다. 악성코드가 발견되면 백신을 투입해 치료하는 현재 방식으로는 나날이 발전하는 해커의 공격을 당해내기 어렵다. 안철수연구소의 V3 백신이 국내를 벗어나면 힘을 못 쓰는 현실을 인정하고, 연구개발과 투자에 만전을 기해야 한다. →개인과 기관의 방어만으로는 한계가 있어 보인다. -대부분의 조직이 자신의 시스템을 잘 만들면 보안 문제가 해결된다고 생각한다. 하지만 금융시스템만 해도 인증 시스템이 따로 있고, 고객 서비스가 따로 있다. 모두 연결되어 있으니 정문만 막아서 될 문제가 아니다. 쪽문·옆문·뒷문 모두 지켜야 한다. 하청업체나 아웃소싱 업체와 인력 관리에 만전을 기해야 한다. 장기적인 대책 마련을 위해서는 국가 사이버보안수준 자체를 높여야 한다. 그러려면 컨트롤타워 구축이 시급하다. 백악관에는 오바마 정부 들어서 국가사이버안보조정관이 신설됐다. 청와대에는 이를 담당할 인력이 없는데, 담당 비서관 등을 만들어야 한다. 정부 조직 내에도 산업기밀과 금융기밀을 총괄할 수 있는 기관 신설이 시급하다. 사이버 테러에 따른 사회적 비용을 생각해 보라. 관공서나 금융업체가 공격당했을 때도 위험하지만 수력·원자력·전력·교통시스템 등 국가 기간망이 공격을 받을 경우 추산할 수 없을 정도의 혼란과 재난이 닥칠 수 있다. 홍희경기자 saloo@seoul.co.kr

3·4디도스, 현대캐피탈 정보유출, 농협 전산망 해킹 등 줄지어 일어나는 보안사고로 사이버 대한민국의 체면이 말이 아니다. 초고속망과 스마트폰으로 정보화가 가속화되고, 소셜네트워킹으로 개인정보의 노출이 심각해지고 있는 터에, 믿었던 금융권마저도 어이없게 구멍을 드러내 더는 방치할 수 없는 수준에 이르고 있다. 정부는 금융권 특별감사를 실시하고 보안을 강화하겠다고 공언하지만, 한번 잃은 신뢰를 회복하기는 쉬울 것 같지 않다. 오히려 공격의 진원지와 배경도 정확히 분석하지 못하고 있어 불안만 증폭되고 있다. 범죄 조직이 연루된 해킹이 우려되고, 언제 어떤 사건이 터질지 조마조마하다. “범죄 조직이 해커와 손잡고 사건을 일으키기 시작했다.”라는, 상하이에서 만난 중국 해커의 이야기가 생각난다. 그러나 정보보호가 족쇄가 되어 정보화의 발목을 죌 수는 없다. 이제라도 상황을 정확히 분석하고 해결책을 찾아야 한다. 이를 위해 연이어 발생하는 해킹 사건들을 거울삼아 우리나라의 정보보호 환경을 점검해 보는 일이 급선무일 것이다. 우선 기업의 정보보호 환경이 열악하다. 많은 기업은 고객의 정보를 다룰 자격조차 갖추고 있지 않다. 정보보호에 관심조차 없는 기업이 많고, 대부분은 ‘설마병’에 걸려 있어 이웃은 당해도 ‘나’는 당하지 않을 것이라는 막연한 기대 심리를 갖고 있다. 현대캐피탈은 정보보호 인프라를 갖추고도 보안 관리의 부실로 호되게 당했다. 설마병의 결과다. 설마병이 치유된다 해도, 대부분 기업에서 보안 조직의 위상이 지나치게 낮아 문제가 된다. 주기적으로 비밀번호를 바꾸려면 ‘지시’보다는 ‘부탁’을 해야 할 지경이기 때문이다. 한 사람의 실수와 취약점이 전체를 흔드는 보안의 특성상 이는 적절치 않다. 정보보호 업무는 최고경영자(CEO)의 직속 부서에서 담당하거나 감사실에서 추진할 때 실효성이 있다는 주장이 설득력이 있어 보인다. 정부도 해킹 사건이 나면 특별 보안 점검을 하는 등 법석을 떠는 뒷북치기보다는 예방정책을 시행해야 한다. 국민의 재산권을 보호하고 사회 질서를 유지하는 차원에서 정보보호가 다뤄져야 한다. 특히, 해킹 탓에 경제생활과 직결된 금융권의 신뢰와 질서가 무너진다면 이는 단순히 금융권만의 문제가 아니라는 사실을 간과하지 말아야 한다. 그럼에도, 최근 몇 년 동안에 정부는 정보보호 인력을 양성하는 대학 연구센터의 수를 줄이고 한국전자통신연구원의 정보보호 기술본부를 해체했다. 우리의 정보보호 기술이 이미 수준급이어서 민간 기업의 개발력만으로도 충분하다는 것인지, 아니면 정보보호 기술을 포기하겠다는 것인지 진의를 판단할 수 없다. 문제는 정부가 정보보호 인력 양성과 연구 개발에서 후퇴하고 있다는 점이다. 정보보호의 가장 큰 문제는 소비자 자신이다. 정보 유출의 최종 피해자가 자신임에도 이를 심각하게 여기지 않는 소비자 정서가 문제가 된다. 지금까지 대규모 개인정보의 유출이나, 상당한 해킹 피해가 다수 있었음에도 해당 기업은 꿋꿋하게 존재한다. 기업은 해킹으로 입은 손실과 정보보호를 위한 투자 규모를 견주고 있다는 사실을 소비자는 기억해야 한다. 해킹이라는 시한폭탄을 안은 기관은 비단 금융권만은 아니다. 의료·국방·에너지 분야 등 거의 모든 분야에서 해킹은 심각한 결과를 초래할 수 있다. 의료정보의 대량 유출에 의한 사회 혼란, 스턱스넷에 의한 국가 기간 시설의 파괴, 해커에 의한 국가 기밀의 유출 등은 걷잡을 수 없는 피해를 일으킬 수 있다. 정보보호가 결여된 정보화는 지뢰밭을 걸어가는 것과 다름없다. 이제라도 각 기업의 정보보호 환경을 재정비하고 해킹과 맞서는 것이 절실한 과제다. 성장을 위해 마케팅에 투자한다면, 그 성장을 지속하려면 정보보호에 투자해야 한다. 하루빨리 완벽한 정보보호 환경을 조성하지 않으면, 어렵게 이룩한 기업도, 사회도 바닷가의 모래성처럼 무너져 버리게 될 것이기 때문이다. 그 성장을 지속하려면 정보보호에 투자해야 한다. 하루빨리 완벽한 정보보호 환경을 조성하지 않으면, 어렵게 이룩한 기업도, 사회도 바닷가의 모래성처럼 무너져 버리게 될 것이기 때문이다.

정부가 내년 총선과 대선 등 정치일정에 따라 예산을 동반하는 선심성 법률이 늘어날 것으로 보고 일방적 입법 추진을 방지하는 노력을 강화하기로 했다. 내년 나라 살림은 ‘2단계 서민희망 예산’으로 편성, 일을 통해 빈곤에서 벗어나는 ‘일 친화적 복지체계’를 갖추기로 했다. 기획재정부는 28일 국무회의에서 이런 내용을 담은 내년 예산안 편성지침과 기금운용 계획안 작성지침을 의결하고 이달 말까지 각 부처에 통보할 예정이라고 밝혔다. 재정부는 균형 재정 회복의 기틀을 마련하기 위해 ‘정부 입법정책협의회’를 강화, 예산을 수반하는 법률의 일방적 추진을 적극 예방하기로 했다. 올해부터 시행되는 지방자치단체 보조사업 존치평가(보조금 일몰제)를 통해 성과가 미흡한 사업은 없애거나 예산을 깎을 방침이다. 내년에도 총지출 증가율을 총수입 증가율 보다 2~3%포인트 낮게 설정해 운용하기로 했다. 정부는 매년 관리대상수지(재정) 적자를 줄여 2013~2 014년에는 균형재정을 달성한다는 목표다. 그러나 내년에 4대강 사업 등 국정과제 마무리에 대한 지출소요 확대와 취득세 인하 보전, 구제역 매몰지 상수도 확충 등 돌발 요인이 발생해 상황이 녹록지 않은 상태다. 내년 예산 배분은 ▲일과 사람 중심의 삶의 질 선진화▲녹색 성장과 미래대비▲국민안전 및 국격 제고 등을 중심으로 지원하기로 했다. 이에 따라 올해 예산에 중점을 뒀던 보육과 특성화고, 다문화 가족 등 서민희망 3대 과제를 완결(1단계)하고 서민과 취약계층에 대한 맞춤형 지원(2단계)을 보강할 방침이다. 장애인 등 취약계층별 맞춤형 일자리 제공을 확대하고 취약계층을 중심으로 보육서비스가 확충된다. 일본 대지진과 금융회사 해킹 등을 계기로 국민안전에 대한 투자도 확대된다. 북한의 국지도발에 대응하는 전력투자를 강화하고 지진과 홍수 등 대형 재난에 대비한 예방투자가 확대된다. 전경하기자 lark3@seoul.co.kr

소니의 플레이스테이션 네트워크(PSN) 가입자 7700만명의 정보가 해킹으로 대량 유출되면서 2006년 PSN 서비스가 시작된 이래 최악의 피해를 낳고 있다. 업계 전문가들은 27일(현지시간) 지난 수년간 발생한 해킹 가운데 최악의 사건 가운데 하나인 이번 해킹으로 소니가 수십억 달러에 이르는 손실을 볼 수 있다고 지적했다. 소니의 PSN과 큐리오시티가 해커의 침입을 받은 것은 지난 17~19일로, 소니는 해킹 직후 두 서비스 모두 폐쇄했다. 해킹으로 장기간 접속장애가 발생한 것도 전례 없는 일이다. 이번에 해킹당한 사용자는 세계 59개국에 분포해 있으며, 미주 지역 3600만명, 유럽 3200만명 등이며 나머지 900만명은 아시아에 있는 것으로 나타났다. 데이터 보안업체 등은 지난해 해킹 사건에서 데이터 건당 피해액이 318달러였던 점을 감안하면 소니의 피해액이 240억 달러(약 26조원)를 웃돌 수 있다고 보고 있다. 소니컴퓨터엔터테인먼트코리아에 따르면 소니의 PSN으로 게임을 즐기는 국내 이용자는 하루 평균 5만~8만명에 이른다. 특히 한국 방송통신위원회는 플레이스테이션 네트워크와 큐리오시티의 국내 이용자 가운데 대다수가 청소년으로, 게임 구매에 사용한 신용카드 정보 등 금융정보가 유출됐을 가능성을 우려하고 있다. 방통위 관계자는 “소니사에 대해 개인정보 유출 경위 및 유출된 정보, 암호화 저장 여부 등 관리 실태를 확인할 계획”이라고 밝혔다. 해커들이 실제로 신용카드 정보를 빼내 갔다면, 이번 사건은 사상 최대 금융정보 절도 사건으로 기록될 전망이다. 소니를 공격한 해커의 정체는 정확히 밝혀지지 않았다. 지난 4월 소니에 선전포고를 한 해커집단 ‘어노니머스’(Anonymous)가 용의자로 유력하게 거론됐지만 이들은 사이트를 통해 “이번 사고와 어노니머스는 무관하다.”고 일축했다. PSN은 비디오 게임기인 플레이스테이션 사용자가 영화나 음악, 게임을 내려받거나 운영체제(OS)를 업데이트할 수 있게 해 주는 전산망이다. 큐리오시티는 영화·음악 콘텐츠를 웹으로 연결해 소니 TV인 브라비아TV나 블루레이 재생기를 통해 이용할 수 있는 서비스를 말한다. 소니는 최근 PSN 고객 정보를 큐리오시티와 통합했다. 박찬구·안동환기자 ckpark@seoul.co.kr

“난, 스마트폰 집에 두고 왔어.” 어느 주말, 골프장으로 가는 길에 카풀을 하려고 서울시내 모처에 모였을 때 어느 고위 공무원이 들려 준 말이다. 의아해하는 동반자 3명에게 이 공무원은 “스마트폰이 편리하긴 하지만 위치 추적을 당한다는 말이 있어서….”라고 설명했다. 스마트폰을 가진 다른 공무원의 표정이 묘하게 일그러졌다. 이를 반영하듯 국내 모 정보기관은 직원들에게 ‘보안성’을 이유로 아예 스마트폰을 지급하지 않는다. 모바일시대를 맞아 통신기기에 의한 개인정보 누출이 국내외에서 현실화되고 있다. 국내의 한 광고대행사는 스마트폰 사용자 80여만명의 정보를 불법으로 확보, 영업에 활용했다. 소니의 플레이스테이션 네트워크(PSN)도 해킹당해 7700만명의 고객 정보가 유출됐다. 국내 PSN 이용자 23만명이 피해를 당한 것으로 추정된다. 그런가 하면 네덜란드에서는 일반화된 자동차 내비게이션을 통해서도 차량 운행 정보가 줄줄 새는 것으로 확인됐다. 실제로 국내 스마트폰 사용자의 위치 정보 2억 1000만여건을 무단으로 수집한 광고 대행업체 E사 등 3곳과 김모(39)씨 등 업체 대표 3명이 경찰에 입건됐다. 서울경찰청 사이버범죄수사대는 27일 스마트폰 애플리케이션을 통해 개인정보를 불법으로 확보한 김씨 등을 위치정보의 보호 및 이용 등에 관한 법률 위반 혐의로 불구속 입건했다. 이들은 이런 개인정보를 이용해 맞춤형 광고를 제공하는 방식으로 6억 5000만원을 챙겼다. 김씨 등은 버스노선 안내서비스, 택시요금 사기 방지, 오목, 음악감상 등 스마트폰 앱 1451개를 제작해 무료로 배포했다. 스마트폰 사용자들이 이런 앱을 T스토어와 안드로이드 마켓, 애플 앱스토어 등에서 내려받아 설치했다. 스마트폰에 설치된 앱을 실행하면 사용자의 각종 개인정보가 자사의 서버에 자동으로 전송된다. 스마트폰을 꺼 놓아도 정보는 계속 전송된다. 이런 수법으로 스마트폰 사용자 80여만명에게서 수집한 위치정보는 2억 1000여만건에 이르는 방대한 분량이다. 누출된 정보는 위성항법장치(GPS)와 휴대전화의 고유 식별번호(MAC)인 주소, 신호를 주고받는 와이파이(WiFi)와 기지국의 아이피(IP), 이동 경로 등이 망라돼 있다. 경찰 관계자는 “포털사이트 등의 지도서비스를 통하면 언제든 누가 어디에 있는지 1m 오차 범위 안에서 확인이 가능하다.”고 말했다. PSN과 큐리오시티 온라인 서비스의 고객정보 누출 가능성이 제기됐다. 소니 대변인 패트릭 세이볼드는 27일(현지시간) 회사 블로그를 통해 “외부 침입자가 고객의 이름과 주소, 국가, 이메일 주소, 생일, PSN·큐리오시티 비밀번호 등 정보를 획득한 것으로 보인다.”고 밝혔다. 방통위 관계자는 “PSN과 큐리오시티 온라인 서비스를 이용하는 회원들은 2차 피해를 막기 위해 같은 비밀번호를 사용하는 다른 웹사이트에서도 비밀번호를 바꿔야 한다.”고 말했다. 안동환·백민경기자 white@seoul.co.kr

부산저축은행을 비롯한 7개 저축은행에서 영업 정지 전날 영업 시간이 지나 1000억원대가 부당 인출된 데 대해 국민들은 분노하고 있다. 분노는 부실한 감독을 한 금융 감독 당국으로 모아진다. 부당 인출은 정치적인 사안으로 일파만파 확산되고 있고, 검찰은 수사에 착수했다. 현대캐피탈 해킹, 농협 전산망 마비에 이어 제기된 저축은행 부당 인출로 인해 금융산업의 총체적 위기라는 지적이 나온다. 이명박 대통령이 26일 국무회의에서 김석동 금융위원장에게 “감독 기관의 직원 문제와 함께 근본 원인을 잘 챙겨야 한다.”고 강조한 것은 금융 감독 당국의 책임을 완곡하게 지적한 것으로 받아들여진다. 한나라당 부산 지역 의원들은 이날 국회 정무위 소회의실에서 권혁세 금융감독원장이 참석한 가운데 긴급 간담회를 갖고 금융 당국의 감독 부실을 강하게 질타했다. ●“국내 금융산업 전체의 위기” 허태열 국회 정무위원장은 “국내 금융산업 전체의 위기”라고 질타했으며, 김무성 원내대표는 “불법 인출된 돈을 환수 조치해 나머지 저축은행 피해자들과 나눌 수 있느냐.”고 따졌다. 민주당 소속 의원들도 금융위원회와 금감원을 항의 방문했으며, 야권은 국정 조사를 통한 진상 조사를 추진하기로 했다. 돈이 묶인 30만 저축은행 고객은 물론이고 5000만원 이상 예치했다가 돈을 떼인 1만여 예금자들은 저축은행 임직원들의 도덕적 해이보다는 이를 묵인한 금융 감독 당국에 분통을 터트린다. 국민들이 분노하는 것은 금융감독 당국이 사실상 두달 동안 손놓고 있지 않았느냐는 데 있다. 부산저축은행에는 영업 정지 전날인 2월 16일 금감원의 감독관이 3명이나 파견됐지만 ‘부당 예금 인출’을 지켜만 봤다. 밤 11시 30분까지 인출 사태가 계속됐다. 하지만 금감원은 저녁 8시 50분 “고객이 내방하지 않은 상태에서 직원들이 고객 예금을 무단으로 인출해 송금하고 있다.”며 이를 금지한다는 공문만 보냈을 뿐이다. 금감원은 그날 낮에 유동성 부족에 따른 영업 정지를 신청하러 서울에 온 부산저축은행 대표와 감사를 부산으로 돌려보냈다. 은행 내부의 의견 검토를 거친 뒤 임직원 동의서 등 필요 서류를 갖춰 다시 오라는 것이었다. 대표는 임직원들에게 부산 2, 대전 등 5개 계열 저축은행이 모두 영업 정지될 가능성이 있다고 알렸고 임직원들은 친인척과 지인들에게 전화를 걸어 예금 인출을 권유하기 시작했다. 영업 정지 정보가 사전에 유출될 가능성이 뻔히 보이는데도 금감원은 아무런 대응을 하지 않았다. 이에 대해 김장호 금감원 부원장보는 지난 25일 “(대표와 감사를 다시 영업점으로 돌려보낼 때 일어날 파장을) 왜 몰랐겠나. 감안이 됐을 거다.”라면서 “내부 직원들의 정보 접근성이 빨랐다.”고 설명했다. 금감원의 다른 관계자는 “금융기관 내부의 동의 절차 없이 대표의 뜻대로 영업 정지 신청을 받아들이면 금감원이 향후 법적 책임을 질 수도 있어 불가피한 조치였다.”고 해명했다. ●관계자 처벌 쉽지 않을듯 금감원은 부당 인출 관련자와 관련 계좌를 이미 지난 3월 검찰에 통보했다고 주장했다. 그렇다면 금융 당국은 부당 인출 사태를 알고도 두달 동안 문제제기를 하지 않았다는 얘기다. 이와 관련해 금감원은 27일부터 신응호 검사담당 부원장보를 부산에 보내는 등 부산저축은행의 5개 계열 저축은행에 대한 검사를 대폭 강화하기로 했지만 사후약방문이라는 지적이다. 금융 당국은 부당 인출된 돈을 환수하는 방안을 검토하고 있다고 밝히기는 했지만, 실제 환수 여부는 미지수다. 재산보전 조치를 취해야 하고 소송으로 이어질 수 있기 때문에 면밀한 검토가 필요하다는 게 금융 당국의 판단이다. 금융 당국의 관계자 처벌도 쉽지 않을 전망이다. 검찰 관계자는 “저축은행 직원들이 고객들에게 알려준 것은 공무원이 아니기 때문에 처벌하기 어렵다.”고 설명한다. 금융실명제법을 위반한 점이 확인되더라도 벌금만 내면 되기 때문에 형사처벌 대상은 아니다. 오달란·임주형기자 dallan@seoul.co.kr

지난해 7월부터 인터넷뱅킹에서 공인인증서를 사용할 의무가 사라졌다. 이런 사실을 아는 이는 많지 않다. 스마트폰뱅킹을 비롯한 대부분의 전자거래에서 공인인증서를 여전히 요구하고 있다. 공인인증서를 사용하지 않게 된다면 은행 사이트에 접속했을 때 액티브X를 통해 은행이 요구하는 자체 보안 프로그램을 내려받는 과정이 없어지게 된다. 그동안 액티브X는 마이크로소프트(MS) 전용 브라우저인 인터넷익스플로러(IE)에서만 구동되기 때문에 소비자들의 브라우저 선택권이 제한되며, 보안업계 전반의 발전을 해친다는 지적이 있었다. 오픈웹의 김기창 고대법대 교수와 이민화 전 기업호민관이 논의를 주도했고, MS 운영체제가 아닌 맥 운영체제를 쓰는 아이폰이 보급되면서 결국 공인인증서 사용 의무가 폐지됐다. 김인성 IT칼럼니스트는 25일 서울신문과 가진 인터뷰에서 여기에 더해 공인인증서 체제가 보안 측면에서도 취약하다고 지적했다. 2009년 분산서비스거부(디도스) 공격부터 최근 농협 전산장애 사태까지 국내 보안사고에서 툭하면 서버가 공격을 당하는 이유가 여기에 있다는 것이다. 김 칼럼니스트는 “외국의 보안이 기관 사이트를 통제해 서버 관리에 만전을 기하는 식이라면, 국내는 기관 사이트의 허점을 방치한 채 개인만 통제하는 식”이라면서 “공인인증서로 사용자들은 불편해지지만, 사이트 보안은 전혀 이뤄지지 않고 있다.”고 강조했다. 이 상태로는 보안 분야에 돈을 아무리 쏟아부어도 보안업체의 배만 불릴 뿐 근본적인 해결은 안 된다고 했다. →농협 전산장애 사고를 전후해 피싱사이트가 출현했다. 사고 원인은 수사를 지켜봐야겠지만, 피싱사이트의 발빠른 움직임에 혀를 내둘렀다. -피싱사이트를 통해 고객 정보를 빼내는 것은 중국 쪽 해커집단의 돈벌이 수준이 된 지 오래다. 인터넷뱅킹을 하려고 하면 은행에서 보안 프로그램을 다운받게 한다. 해커들은 유사 사이트를 만들고 보안프로그램으로 위장한 바이러스를 다운받게 한다. 이렇게 해서 좀비가 된 PC가 국내에 100만대 이상으로 추정된다. 좀비PC들은 해커의 명령이 떨어지면 특정 사이트에 한꺼번에 접속을 시도, 마비시킨다. 트래픽이 집중돼 서비스가 불가능해지면 해커는 돈을 요구하고, 속도가 생명인 게임업체들은 대부분의 경우 이 협상에 응할 수밖에 없다. 우리의 보안은 보안이 아니다. →유독 우리가 국제 해커들의 먹잇감이 되는 이유가 있는가. -국내 인터넷의 보안시스템이 세계 표준과 다르기 때문이다. 근본적으로 해외 사이트가 스스로의 안전성을 증명하는 체계라면, 국내는 개인들이 사이트에 접속할 때 본인이 맞다는 것을 사이트에 증명해야 한다. 예를 들어 웹메일인 지메일(gmail) 사이트에 접속하면, 사이트 주소가 http://에서 https://(안전전송규약·SSL)로 바뀐다. 뒤에 붙는 s는 이 사이트가 정확한 사이트이니 믿고 이용하라는 표시로, 공인인증기관이 증명해 주는 신호이다. https://를 보고 사용자들은 추가 소프트웨어를 다운받을 필요 없이 안심하고 거래를 할 수 있다. 한국의 보안 방식은 이와는 달리 사이트는 안전하다고 일단 가정을 하고, 개인 사용자에게 자기들만의 보안 프로그램·키보드 해킹방지 프로그램·바이러스 백신 등을 다운받게 한다. 이것도 모자라 공인인증서를 요구한다. 액티브X를 다운받는 동안 사용자 컴퓨터는 보안에 완전히 취약한 상태가 된다. 시작 단계에서부터 보안이 무너져 있는 것이다. →안전연결은 국내만 채택을 안 한 것인가. -대부분의 국가에서 채택했다. 1990년대 중반까지 미국은 보안방식으로 복잡한 암호화 기법을 쓰지 못하게 했고, 해독 불가능한 암호화 방식은 수출도 금지했다. 그래서 우리가 독자적으로 만든 게 공인인증서다. 이후 해외에서는 사용자가 웹사이트에 보안접속을 시도하면 웹브라우저가 인증기관에 의뢰해 이상이 없다는 답을 받고 안전전송 규약을 허용하는 체제가 자리잡았다. 국내는 이를 받아들이지 않고, 개인에게 부담을 더 지우는 쪽으로 보안이 발전했다. 은행과 같은 기관이 서버관리를 제대로 하고 있는지 감시하는 곳은 없다. 이게 툭하면 보안사고가 일어나고, 서버 공격이 이뤄지는 이유다. 다른 문제도 있다. 우리 상황에서 보안업체들은 은행이나 공공기관에 납품 경쟁을 벌인다. 이 시장을 확보하면, 개인은 선택권을 갖지 못한 채 일방적으로 사이트 방침에 따라 다운로드를 해야 한다. 해외는 웹브라우저에 기본 보안 프로그램이 장착되고, 개인이 브라우저를 선택하는 구조이다. 그래서 기본적으로 보안 프로그램이 싸고, 그러면서도 개인 고객을 대상으로 성능 경쟁이 계속된다. →아이폰 도입과 함께 한 차례 공인인증서 폐지운동이 있었다. -결론적으로 스마트폰 도입 뒤에도 공인인증서 체제는 살아남았다. 이것은 새로운 문제로 이어질 수 있다. 예컨대 제2금융권은 스마트폰의 새로운 버전에서 구동시킬 공인인증서 보안체제를 개발할 자금이 부족할 것이다. 결국 이들은 보안을 외주에 맡기거나 스마트폰뱅킹 시장에 진출하기 어려울 것이다. 만일 국제 표준방식을 채택했다면, 2금융권 업체도 투자비용 없이 스마트폰뱅킹 시장에 진입할 수 있을 것이다. 국제 표준방식은 과거의 소프트웨어 뿐 아니라 미래의 어떤 플랫폼에서도 지원이 되도록 만들어져 있다. 스마트폰 운영체제 새 버전이 나왔다고 보안업체가 추가 개발 비용을 요구할 근거가 사라진다. →공인인증서 보안 체제 때문에 우리가 잃는 것이 또 있는가. -이 방식은 전체적으로 우리나라 전자상거래를 죽이고 있다. 물건을 하나 사는데 다른 나라와 달리 공인인증서를 요구하니 어떻게 물건을 팔 수 있겠나. 온라인에서는 오프라인처럼 해외진출을 할 때 막대한 투자를 하기보다 언어만 바꿔서 손쉽게 이동할 수 있어야 하는데, 한국만의 특수한 보안 방식은 이것을 불가능하게 한다. 커다란 세계 시장을 곁에 두고 중소기업들이 굶어 죽고 있다. 수출탑을 수여할 정도로 수출에 목 매는 나라에서 온라인 시장의 개방에 대해서는 왜 이런 모습인지 모르겠다. 홍희경기자 saloo@seoul.co.kr ■ 김인성 IT칼럼니스트는 ▲46세 ▲서울대 컴퓨터공학과 졸업 ▲리눅스 시스템으로 초기 엠파스 사이트 구축 ▲전 리눅스원 개발이사 ▲현 KT 계열 네트워크 장비업체 컨설팅 ▲저서 ‘한국IT산업의 멸망’, ‘리눅스 디바이스 드라이버’(공동번역), 잡지 ‘마이크로소프트웨어’에 칼럼 연재

현대캐피탈 고객정보 해킹 사건을 수사 중인 서울지방경찰청 사이버범죄수사대가 “대부업체와의 연관성을 수사하고 있다.”고 25일 밝혔다. 경찰은 그동안 ‘대부업체 연루’와 관련된 서울신문 보도<4월 12일자 1, 8면>를 부인하다 14일 만에 이를 공식 인정했다. 경찰은 또 필리핀에 체류 중인 것으로 알려진 해커 신모(37·미검)씨와 주범 정모(36·미검)씨에 대해 현지 경찰에 사법공조와 범죄인 인도를, 중국으로 출국한 국내 인출책 조모(47·미검)씨에 대해서는 인터폴에 공조수사를 요청하기로 했다. 서울청이 대부업체 수사에 나선 이유는 크게 두 가지. 우선 정씨의 전과 기록 등에 나타난 범행 수법과 과거 전력 때문이다. 정씨는 전문 해커 신씨를 끌어들여 이번 사건을 계획한 것으로 알려진 실질적인 주범이다. 조사결과 정씨는 현대캐피탈 사건처럼 과거에도 개인정보를 빼돌려 대부업체에 팔아넘긴 유사 전과가 있는 것으로 확인됐다. 경찰에 따르면 정씨는 2005년 미등록 대부업체를 운영하면서 인터넷 팝업창을 통해 고객정보 1만 3000여건을 입수, 이를 대부 중개업체에 팔아넘겨 6억원을 챙긴 전력이 있다. 경찰은 “정씨는 이 때문에 2006년 4월에 신용정보법 위반으로 처벌까지 받았다.”면서 “정씨와 신씨가 관련된 계좌의 입출금 내역을 확인하는 등 대부업체와의 연계 파악에 수사력을 모으고 있다.”고 덧붙였다. 공범의 진술도 이를 뒷받침한다. 검거된 국내 총책 허모(40)씨도 정씨와 대부업체가 연루됐을 개연성에 관해 진술한 것으로 알려졌다. 경찰 관계자는 “정씨 등이 대부업체의 의뢰를 받고 현대캐피탈을 해킹, 개인정보를 빼내 ‘협박용’과 ‘DB 장사용’으로 이용한 것이라고 추정하고 있다.”면서 “신씨나 정씨가 잡히면 구체적인 전모가 드러날 것으로 보고 검거에 총력을 기울이고 있다.”고 말했다. 이와 함께 경찰은 정씨가 검거된 허씨를 필리핀 클라크 등지에서 만나 범행을 모의한 정황을 포착, 구체적인 경위를 캐는 데 수사력을 집중하고 있다. 경찰 조사 결과 허씨와 조씨는 지난해 말부터 지난달까지 세 차례에 걸쳐 필리핀에서 정씨를 만나 역할을 분담하는 등 범행을 모의한 것으로 드러났다. 경찰은 “신씨가 현대캐피탈을 협박해 돈을 뜯어내고, 정씨는 신씨와 국내 인출책을 연결하는 역할을 맡았으며, 허씨는 국내 인출책으로 조씨 등 3명을 지휘했다.”면서 “이후 허씨는 해킹 발생 후 현대캐피탈이 범인 계좌로 입금한 1억원 가운데 3500여만원을 국내에서 인출, 이 가운데 1700만원을 정씨 여동생 계좌를 통해 필리핀에 있는 정씨에게 전달한 것으로 조사됐다.”고 설명했다. 백민경·김양진기자 white@seoul.co.kr

애플이 단말기에 축적하고 있다는 사용자 위치정보가 가장 심각한 논란을 일으키는 대목은 이 모든 민감한 정보가 사용자들이 모르는 상태에서 암호화되지 않은 채 저장돼 있다는 점이다. 문제의 위치정보는 데이터베이스 파일 형태로 돼 있으며, 1초 단위로 저장돼 있다. 아이폰 운영체계인 iOS4를 내놓을 때부터 위치정보를 단말기에 축적하기 시작했기 때문에 10개월 동안 어느 곳을 언제 얼마나 방문했는지 모조리 확인 가능하다는 것을 뜻한다. 구매자 입장에서는 아이폰4를 구입하는 순간부터 지금까지의 움직임이 1초 단위로 고스란히 자신의 아이폰4에 저장돼 있고, 분실할 경우 타인에게 언제 어디를 갔었는지 고스란히 노출될 수 있다는 말이 된다. 아이폰 사용자들이 개인용컴퓨터(PC)와 동기화를 통해 애플 전용 온라인장터인 아이튠즈 등을 이용한다는 점을 감안하면 사용자들의 컴퓨터에도 위치정보가 고스란히 담겨 있을 가능성이 농후하다. 아이폰이 단말기 위치정보를 수집해 본사에 전송한다는 것 자체는 아이폰 사용설명서에도 나오는 것으로 전혀 새로울 것이 없다. 하지만 위치정보가 단말기나 동기화된 PC에 암호화되지도 않은 채 저장돼 있다면 얘기가 달라진다. 해커가 PC를 해킹함으로써 결과적으로 아이폰에 저장된 위치정보를 악용할 가능성이 있으며 자칫 걷잡을 수 없는 사생활 침해로 이어질 수 있다. 단말기를 분실하거나 도둑맞았을 경우에도 동일한 문제가 발생할 수 있다. 애플이 말 그대로 ‘의도적’으로 위치정보를 수집했는지는 첨예한 관심사지만 아직 애플이 별다른 답변을 내놓지 않으면서 논란은 계속되고 있다. 크리스천 사이언스 모니터(CSM)는 위치정보 축적 문제를 처음 제기했던 컴퓨터 전문가 앨러스데어 앨런과 피트 워든은 “우리는 왜 애플이 그 데이터를 수집했는지 모르지만 그것은 확실히 의도적이었다.”고 밝혔다고 지난 22일 보도했다. 보도에 따르면 업체들이 사용자 위치정보에 눈독을 들이는 것은 행태기반 맞춤형 서비스 등 상업적 활용 가능성 때문이다. 특정 거리를 자주 지나가는 사용자에게 그 거리에 있는 레스토랑 광고를 보내는 방식처럼, 위치정보는 그 자체로 ‘돈’이 된다는 것이다. 강국진기자 betulo@seoul.co.kr