금융감독원이 독점해 왔던 금융회사 검사 업무 가운데 전문성이 필요한 분야에 대한 외부 전문기관 위탁검사가 대폭 확대될 것으로 보인다. 금감원은 이 같은 방안을 포함한 자체 쇄신방안을 오는 16일 총리실 주도로 꾸려진 ‘금융감독 혁신 태스크포스(TF)’에 보고할 예정이다. 금융당국 관계자는 10일 금감원 혁신 방향과 관련해 “폐쇄적이라는 비판을 받고 있는 금감원 검사 업무에 대한 외부 개방을 크게 늘리겠다.”고 말했다. 과거 금감원의 외부 위탁검사는 보험대리점에 대한 생명보험·손해보험협회의 위탁 검사 정도에 머물렀다. 금감원 내부에서는 최근 현대캐피탈 해킹 사건과 농협 전산 장애 사고를 겪으며 역량 강화가 요구된 정보기술(IT) 분야나 고도의 전문성이 요구되는 파생상품 분야가 우선적인 외부 위탁검사 대상으로 검토되고 있다. 기술적인 발전 속도가 빠른 데다가 자체 검사 인력도 충분하지 않다는 점이 고려됐다. 역시 전문성이 요구되는 회계 분야도 외부 위탁 검사 대상에 오른 것으로 알려졌다. TF는 금감원 자체 쇄신안을 향후 논의의 기초로 삼겠다고 밝혀 외부 전문기관 위탁검사 확대 방안이 금감원 검사 업무 선진화 방안으로 받아들여질 가능성이 높다. 이와 함께 금감원은 부실 우려 금융회사에 대해 예금보험공사 및 한국은행과의 공동검사를 확대하는 방안도 보고할 것으로 알려졌다. 특히 예보와의 교차 검사와 예보의 단독 조사 활성화 방안이 강조될 것으로 보인다. 김석동 금융위원장은 지난 8일 기자간담회에서 “전문인력을 활용할 수 있는 방안은 여러 가지가 있다.”면서 “예를 들면 회계법인에 위탁해 금융회사 자산평가나 회계장부 정리를 점검하게 할 수 있다.”고 말했다. 앞서 금감원도 이명박 대통령 방문 직후 자체 쇄신안을 꺼내놓으며 “IT·파생상품 등 전문성이 필요한 부분의 경우 외부 위탁 검사를 실시하고, 검사반 구성 시 원내 회계·외환·리스크 전문가들이 공동 참여하는 방안을 추진하겠다.”고 언급한 바 있다. 홍지민기자 icarus@seoul.co.kr

　남자 프로배구 현대캐피탈의 새 사령탑에 하종화(42) 진주 동명고 감독이 선임됐다. 　현대캐피탈은 3일 하 감독에게 배구팀의 지휘봉을 맡기고 김호철 감독을 총감독으로 위촉하기로 했다고 발표했다. 김 감독은 8년간 현대캐피탈을 지휘해 왔으며, 2선으로 물러나 대외교류 업무 등을 맡는다. 　하 신임 감독은 1992년 현대캐피탈 전신인 실업배구 현대자동차써비스에 입단, 팀의 주포이자 국가대표 레프트로 한 시대를 풍미했다. 현역 때에는 ‘오빠부대’를 몰고 다녀 인기가 높았다. 2000년 현역에서 은퇴, 현대캐피탈에서 2년간 코치를 했고 2003년부터 모교인 진주 동명고에서 지도자 생활을 했다. 　구단 관계자는 “감독 후보군 중 지도자로서의 성과와 대외 이미지,배구계 안팎의 평판 등을 종합적으로 고려해 하 감독을 적임자로 골랐다.”고 밝혔다. 그는 “김 감독이 팀을 잘 이끌어왔지만 변화가 필요하고 새 분위기에서 도약을 모색하고자 하 감독을 영입했다.”고 설명했다. 　전남 해남에서 열리는 전국종별대회에 참가 중인 하 감독은 “한 번쯤 (현대캐피탈의) 감독이 되고 싶다는 욕심은 있었지만 기회가 생각보다 일찍 왔다.”고 소감을 밝혔다. 하 감독은 기본기를 바탕으로 한 공격적인 배구를 선보일 것으로 보인다. 　인터넷서울신문 event@seoul.co.kr

3·4디도스, 현대캐피탈 정보유출, 농협 전산망 해킹 등 줄지어 일어나는 보안사고로 사이버 대한민국의 체면이 말이 아니다. 초고속망과 스마트폰으로 정보화가 가속화되고, 소셜네트워킹으로 개인정보의 노출이 심각해지고 있는 터에, 믿었던 금융권마저도 어이없게 구멍을 드러내 더는 방치할 수 없는 수준에 이르고 있다. 정부는 금융권 특별감사를 실시하고 보안을 강화하겠다고 공언하지만, 한번 잃은 신뢰를 회복하기는 쉬울 것 같지 않다. 오히려 공격의 진원지와 배경도 정확히 분석하지 못하고 있어 불안만 증폭되고 있다. 범죄 조직이 연루된 해킹이 우려되고, 언제 어떤 사건이 터질지 조마조마하다. “범죄 조직이 해커와 손잡고 사건을 일으키기 시작했다.”라는, 상하이에서 만난 중국 해커의 이야기가 생각난다. 그러나 정보보호가 족쇄가 되어 정보화의 발목을 죌 수는 없다. 이제라도 상황을 정확히 분석하고 해결책을 찾아야 한다. 이를 위해 연이어 발생하는 해킹 사건들을 거울삼아 우리나라의 정보보호 환경을 점검해 보는 일이 급선무일 것이다. 우선 기업의 정보보호 환경이 열악하다. 많은 기업은 고객의 정보를 다룰 자격조차 갖추고 있지 않다. 정보보호에 관심조차 없는 기업이 많고, 대부분은 ‘설마병’에 걸려 있어 이웃은 당해도 ‘나’는 당하지 않을 것이라는 막연한 기대 심리를 갖고 있다. 현대캐피탈은 정보보호 인프라를 갖추고도 보안 관리의 부실로 호되게 당했다. 설마병의 결과다. 설마병이 치유된다 해도, 대부분 기업에서 보안 조직의 위상이 지나치게 낮아 문제가 된다. 주기적으로 비밀번호를 바꾸려면 ‘지시’보다는 ‘부탁’을 해야 할 지경이기 때문이다. 한 사람의 실수와 취약점이 전체를 흔드는 보안의 특성상 이는 적절치 않다. 정보보호 업무는 최고경영자(CEO)의 직속 부서에서 담당하거나 감사실에서 추진할 때 실효성이 있다는 주장이 설득력이 있어 보인다. 정부도 해킹 사건이 나면 특별 보안 점검을 하는 등 법석을 떠는 뒷북치기보다는 예방정책을 시행해야 한다. 국민의 재산권을 보호하고 사회 질서를 유지하는 차원에서 정보보호가 다뤄져야 한다. 특히, 해킹 탓에 경제생활과 직결된 금융권의 신뢰와 질서가 무너진다면 이는 단순히 금융권만의 문제가 아니라는 사실을 간과하지 말아야 한다. 그럼에도, 최근 몇 년 동안에 정부는 정보보호 인력을 양성하는 대학 연구센터의 수를 줄이고 한국전자통신연구원의 정보보호 기술본부를 해체했다. 우리의 정보보호 기술이 이미 수준급이어서 민간 기업의 개발력만으로도 충분하다는 것인지, 아니면 정보보호 기술을 포기하겠다는 것인지 진의를 판단할 수 없다. 문제는 정부가 정보보호 인력 양성과 연구 개발에서 후퇴하고 있다는 점이다. 정보보호의 가장 큰 문제는 소비자 자신이다. 정보 유출의 최종 피해자가 자신임에도 이를 심각하게 여기지 않는 소비자 정서가 문제가 된다. 지금까지 대규모 개인정보의 유출이나, 상당한 해킹 피해가 다수 있었음에도 해당 기업은 꿋꿋하게 존재한다. 기업은 해킹으로 입은 손실과 정보보호를 위한 투자 규모를 견주고 있다는 사실을 소비자는 기억해야 한다. 해킹이라는 시한폭탄을 안은 기관은 비단 금융권만은 아니다. 의료·국방·에너지 분야 등 거의 모든 분야에서 해킹은 심각한 결과를 초래할 수 있다. 의료정보의 대량 유출에 의한 사회 혼란, 스턱스넷에 의한 국가 기간 시설의 파괴, 해커에 의한 국가 기밀의 유출 등은 걷잡을 수 없는 피해를 일으킬 수 있다. 정보보호가 결여된 정보화는 지뢰밭을 걸어가는 것과 다름없다. 이제라도 각 기업의 정보보호 환경을 재정비하고 해킹과 맞서는 것이 절실한 과제다. 성장을 위해 마케팅에 투자한다면, 그 성장을 지속하려면 정보보호에 투자해야 한다. 하루빨리 완벽한 정보보호 환경을 조성하지 않으면, 어렵게 이룩한 기업도, 사회도 바닷가의 모래성처럼 무너져 버리게 될 것이기 때문이다. 그 성장을 지속하려면 정보보호에 투자해야 한다. 하루빨리 완벽한 정보보호 환경을 조성하지 않으면, 어렵게 이룩한 기업도, 사회도 바닷가의 모래성처럼 무너져 버리게 될 것이기 때문이다.

서태지와 이지아의 비밀 결혼과 이혼 소식은 지난 한 주간 모든 미디어와 인터넷을 들끓게 한 이야깃거리였다. 두 사람의 소송 소식이 알려짐과 동시에 이들의 사생활 정보가 언론과 네티즌에 의해 빠른 속도로 밝혀지고 또 퍼져 나갔다. 두 사람이 미국에서 작성한 이혼 서류를 찾아낼 정도로 네티즌들의 정보 검색은 치밀하고 또 집요했다. 그리고 이제 사람들의 관심은 이들의 사생활 정보를 캐내는 것을 넘어 두 사람에 대한 대중적인 재판으로 옮겨 가고 있다. 사생활 털기와 여론재판은 타인의 사생활을 엿보고자 하는 대중의 욕망을 보여 주고 있을 뿐만 아니라 우리 사회를 움직이는 집단적 여론 몰이를 실감하게 한다. 정보기술의 발달로 정보의 투명한 공개에 대한 요구와 공공의 문제에 대한 의견 표출이 날로 늘어나고 있다. 4대강 개발, 행정수도 이전 문제, 미국산 쇠고기 수입과 같은 주요 정책 사안에서 연예인의 사생활 털기까지 정보의 공유와 전파, 확산이 활발하게 이루어지고 있다. 정보 공개는 우리 사회의 투명성을 증가시키고 국민의 알 권리를 보장할 뿐만 아니라 개인의 힘으로 해결할 수 없는 문제들을 사회의 구성원들이 머리를 맞대고 고민하여 함께 해결할 방법을 찾게 도와준다. 그런데 타인의 사생활을 무차별적으로 폭로하고 이에 대해 공격적인 표현들을 쏟아 내는 우리의 모습을 보고 있노라면 익명성의 뒤에서 행해지는 집단적 폭력을 우려하지 않을 수 없다. 악의적인 루머가 인터넷에 퍼지면 개인의 평판에 대한 피해는 막대하지만 사후의 어떠한 조치로도 한번 일어난 피해를 되돌리기는 힘들다. 게다가 인터넷에서는 거짓 정보나 선정적인 정보, 개인의 사생활과 관련된 정보가 일반적인 정보보다 더 빨리 확산되는 경향이 있다. 인터넷을 통해 모두가 연결된 오늘날의 정보사회는 개인이 사회에 가져올 수 있는 변화의 폭을 넓혀 주었지만 반대 급부로 사적인 공간을 폭로와 집단 여론 몰이에 그대로 노출시켰다. 신기술과 함께 주어진 정보의 무한한 활용 능력이 도리어 한 인간의 삶과 자유 그리고 사회의 질서에 대한 잠재적 위협으로 다가오고 있는 것이다. 공동체의 문제를 공평하게 다루기 위해 만든 법과 제도가 집단적 감성에 의해 형성된 여론에 밀려 제 기능을 발휘하지 못하는 것은 우리 사회가 이러한 위협을 적절하게 다루지 못하고 있다는 징후다. 그리고 이미 인류는 대중의 익명성과 집단의 미명 아래 행해졌던 반지성적 집단 행위가 불러일으킨 참화를 너무나 잘 알고 있지 않은가. 지난 20세기를 ‘극단의 세기’로 몰고 갔던 나치즘, 파시즘, 문화대혁명 같은 역사적 사건들은 집단의 광기가 정치지도자에 의해 어떻게 동원되고 악용될 수 있는지를 여실히 보여 주었다. 안타깝게도 이러한 위험성은 21세기에도 사라지지 않았으며, 정보기술의 발달은 우리 사회를 집단의 감성을 조작하고 이용하려는 악의적 유혹에 한층 더 취약하게 만들었다. 그러나 인터넷을 통한 사생활 폭로와 여론 몰이의 잔혹함을 경험하고 있는 우리 사회도 사적 정보의 노출과 관련된 문제를 점차 인식해 나가고 있는 것으로 보인다. 최근 애플이 스마트폰에 개인들의 위치 정보를 저장하고 이를 다시 자신들의 서버로 수집한다는 사실과 현대캐피탈의 고객 정보가 유출된 사실이 알려지자 이에 대한 큰 비판과 우려가 제기됐다. 타인의 사생활을 캐내고자 하는 욕구와 자신의 사생활을 가리고자 하는 상반된 욕구가 공존하는 상황이 현재 우리 사회의 자화상이다. 그렇다면 이제 남은 문제는 인간의 자연스러운 본능과 감정적 집단행동을 어떻게 다스릴 것인가이다. 지혜의 주체여야 할 대중이 집단적 광기에 매몰된 군중이 되지 않기 위해서는 인간 본성에 내재된 본능과 욕구가 긍정적으로 발현될 수 있는 환경이 필요하다. 이는 우리 사회가 인간의 기본적 권리와 사생활을 보호하는 제도적·문화적 토양을 기반으로 정보 활용의 공간을 기획할 때 가능할 것이다.

부산저축은행을 비롯한 7개 저축은행에서 영업 정지 전날 영업 시간이 지나 1000억원대가 부당 인출된 데 대해 국민들은 분노하고 있다. 분노는 부실한 감독을 한 금융 감독 당국으로 모아진다. 부당 인출은 정치적인 사안으로 일파만파 확산되고 있고, 검찰은 수사에 착수했다. 현대캐피탈 해킹, 농협 전산망 마비에 이어 제기된 저축은행 부당 인출로 인해 금융산업의 총체적 위기라는 지적이 나온다. 이명박 대통령이 26일 국무회의에서 김석동 금융위원장에게 “감독 기관의 직원 문제와 함께 근본 원인을 잘 챙겨야 한다.”고 강조한 것은 금융 감독 당국의 책임을 완곡하게 지적한 것으로 받아들여진다. 한나라당 부산 지역 의원들은 이날 국회 정무위 소회의실에서 권혁세 금융감독원장이 참석한 가운데 긴급 간담회를 갖고 금융 당국의 감독 부실을 강하게 질타했다. ●“국내 금융산업 전체의 위기” 허태열 국회 정무위원장은 “국내 금융산업 전체의 위기”라고 질타했으며, 김무성 원내대표는 “불법 인출된 돈을 환수 조치해 나머지 저축은행 피해자들과 나눌 수 있느냐.”고 따졌다. 민주당 소속 의원들도 금융위원회와 금감원을 항의 방문했으며, 야권은 국정 조사를 통한 진상 조사를 추진하기로 했다. 돈이 묶인 30만 저축은행 고객은 물론이고 5000만원 이상 예치했다가 돈을 떼인 1만여 예금자들은 저축은행 임직원들의 도덕적 해이보다는 이를 묵인한 금융 감독 당국에 분통을 터트린다. 국민들이 분노하는 것은 금융감독 당국이 사실상 두달 동안 손놓고 있지 않았느냐는 데 있다. 부산저축은행에는 영업 정지 전날인 2월 16일 금감원의 감독관이 3명이나 파견됐지만 ‘부당 예금 인출’을 지켜만 봤다. 밤 11시 30분까지 인출 사태가 계속됐다. 하지만 금감원은 저녁 8시 50분 “고객이 내방하지 않은 상태에서 직원들이 고객 예금을 무단으로 인출해 송금하고 있다.”며 이를 금지한다는 공문만 보냈을 뿐이다. 금감원은 그날 낮에 유동성 부족에 따른 영업 정지를 신청하러 서울에 온 부산저축은행 대표와 감사를 부산으로 돌려보냈다. 은행 내부의 의견 검토를 거친 뒤 임직원 동의서 등 필요 서류를 갖춰 다시 오라는 것이었다. 대표는 임직원들에게 부산 2, 대전 등 5개 계열 저축은행이 모두 영업 정지될 가능성이 있다고 알렸고 임직원들은 친인척과 지인들에게 전화를 걸어 예금 인출을 권유하기 시작했다. 영업 정지 정보가 사전에 유출될 가능성이 뻔히 보이는데도 금감원은 아무런 대응을 하지 않았다. 이에 대해 김장호 금감원 부원장보는 지난 25일 “(대표와 감사를 다시 영업점으로 돌려보낼 때 일어날 파장을) 왜 몰랐겠나. 감안이 됐을 거다.”라면서 “내부 직원들의 정보 접근성이 빨랐다.”고 설명했다. 금감원의 다른 관계자는 “금융기관 내부의 동의 절차 없이 대표의 뜻대로 영업 정지 신청을 받아들이면 금감원이 향후 법적 책임을 질 수도 있어 불가피한 조치였다.”고 해명했다. ●관계자 처벌 쉽지 않을듯 금감원은 부당 인출 관련자와 관련 계좌를 이미 지난 3월 검찰에 통보했다고 주장했다. 그렇다면 금융 당국은 부당 인출 사태를 알고도 두달 동안 문제제기를 하지 않았다는 얘기다. 이와 관련해 금감원은 27일부터 신응호 검사담당 부원장보를 부산에 보내는 등 부산저축은행의 5개 계열 저축은행에 대한 검사를 대폭 강화하기로 했지만 사후약방문이라는 지적이다. 금융 당국은 부당 인출된 돈을 환수하는 방안을 검토하고 있다고 밝히기는 했지만, 실제 환수 여부는 미지수다. 재산보전 조치를 취해야 하고 소송으로 이어질 수 있기 때문에 면밀한 검토가 필요하다는 게 금융 당국의 판단이다. 금융 당국의 관계자 처벌도 쉽지 않을 전망이다. 검찰 관계자는 “저축은행 직원들이 고객들에게 알려준 것은 공무원이 아니기 때문에 처벌하기 어렵다.”고 설명한다. 금융실명제법을 위반한 점이 확인되더라도 벌금만 내면 되기 때문에 형사처벌 대상은 아니다. 오달란·임주형기자 dallan@seoul.co.kr

올해 금융권의 빅뱅으로 떠올랐던 대규모 인수합병(M&A)이 수면 밑으로 가라앉을 조짐이다. 부동산 프로젝트파이낸싱(PF)의 부실 여파와 농협의 전산망 마비 사태 등 금융권 내부 문제뿐만 아니라 정치 환경 등 외부 변수까지 겹치면서 안갯속에 빠져드는 형국이다. 25일 금융권에 따르면 KB금융과 우리, 신한, 하나 등 4대 금융지주사들은 최근 최고경영자(CEO) 인선 작업을 마무리짓고 본격적인 영업경쟁에 뛰어들 채비를 갖췄다. 금융당국도 올 초만 하더라도 짝짓기를 통한 ‘메가 뱅크론’에 한껏 힘을 실어주는 분위기였다. 이런 와중에 우리금융과 산은금융의 합병론, 정책금융공사와 수출입은행·무역보험공사 등 정책금융기관들의 통·폐합 가능성이 제기되기도 했다. 이에 따라 올해 가시적인 성과가 나타날 것으로 예상됐지만 각종 돌출 변수들이 튀어나오면서 점차 회의론이 고개를 들고 있다. 우선 하나금융의 외환은행 인수가 지지부진하면서 몸집 키우기가 바람직한가에 대한 의문이 제기되고 있다. 또 과당 경쟁에 따른 카드 위기론으로 금융지주사들의 외형 경쟁에도 제동이 걸렸다. 특히 저축은행 사태를 포함한 부동산 PF 부실, 현대캐피탈과 농협의 전산 보안 문제 등이 금융당국의 발목을 잡고 있다. 금융지주사들도 부동산 PF 등 ‘급한 불 끄기’에 투입되면서 여력이 줄어들었다. 민영화 미션을 부여받은 강만수 산은지주 회장도 최근엔 금융당국 수장을 맡고 있는 후배들에게 부담을 주지 않겠다며 민영화나 메가뱅크와 관련해 언급을 자제하고 있다. 산업은행은 최근 국회 정무위원회에 제출한 업무 보고에서 “지분 매각은 체질 개선 성과와 국내 금융산업 발전, 국내외 시장여건 등을 종합적으로 고려해 탄력적으로 추진할 계획”이라며 한발 물러났다. 김석동 금융위원장도 최근엔 “메가뱅크라는 말을 누가 지어냈느냐, 나는 그런 말을 한 적이 없다.”면서 “금융산업이 어떻게 효율적으로 작동할 수 있도록 재편하느냐가 관건”이라고 밝혔다. 게다가 일부 장관들이 ‘4·27 재·보선’ 이후 단행될 것으로 보이는 개각 과정에서 교체될 가능성도 없지 않으며, 내년 총선 등 정치 일정상 큰 그림을 그리기엔 시간이 촉박하다는 지적도 나온다. 은행권 관계자는 “내년에는 총선까지 있어 M&A에 나서기에는 여러모로 어려운 상황으로 빨려드는 분위기”라고 말했다. 김경두기자 golders@seoul.co.kr

현대캐피탈 고객정보 해킹 사건을 수사 중인 서울지방경찰청 사이버범죄수사대가 “대부업체와의 연관성을 수사하고 있다.”고 25일 밝혔다. 경찰은 그동안 ‘대부업체 연루’와 관련된 서울신문 보도<4월 12일자 1, 8면>를 부인하다 14일 만에 이를 공식 인정했다. 경찰은 또 필리핀에 체류 중인 것으로 알려진 해커 신모(37·미검)씨와 주범 정모(36·미검)씨에 대해 현지 경찰에 사법공조와 범죄인 인도를, 중국으로 출국한 국내 인출책 조모(47·미검)씨에 대해서는 인터폴에 공조수사를 요청하기로 했다. 서울청이 대부업체 수사에 나선 이유는 크게 두 가지. 우선 정씨의 전과 기록 등에 나타난 범행 수법과 과거 전력 때문이다. 정씨는 전문 해커 신씨를 끌어들여 이번 사건을 계획한 것으로 알려진 실질적인 주범이다. 조사결과 정씨는 현대캐피탈 사건처럼 과거에도 개인정보를 빼돌려 대부업체에 팔아넘긴 유사 전과가 있는 것으로 확인됐다. 경찰에 따르면 정씨는 2005년 미등록 대부업체를 운영하면서 인터넷 팝업창을 통해 고객정보 1만 3000여건을 입수, 이를 대부 중개업체에 팔아넘겨 6억원을 챙긴 전력이 있다. 경찰은 “정씨는 이 때문에 2006년 4월에 신용정보법 위반으로 처벌까지 받았다.”면서 “정씨와 신씨가 관련된 계좌의 입출금 내역을 확인하는 등 대부업체와의 연계 파악에 수사력을 모으고 있다.”고 덧붙였다. 공범의 진술도 이를 뒷받침한다. 검거된 국내 총책 허모(40)씨도 정씨와 대부업체가 연루됐을 개연성에 관해 진술한 것으로 알려졌다. 경찰 관계자는 “정씨 등이 대부업체의 의뢰를 받고 현대캐피탈을 해킹, 개인정보를 빼내 ‘협박용’과 ‘DB 장사용’으로 이용한 것이라고 추정하고 있다.”면서 “신씨나 정씨가 잡히면 구체적인 전모가 드러날 것으로 보고 검거에 총력을 기울이고 있다.”고 말했다. 이와 함께 경찰은 정씨가 검거된 허씨를 필리핀 클라크 등지에서 만나 범행을 모의한 정황을 포착, 구체적인 경위를 캐는 데 수사력을 집중하고 있다. 경찰 조사 결과 허씨와 조씨는 지난해 말부터 지난달까지 세 차례에 걸쳐 필리핀에서 정씨를 만나 역할을 분담하는 등 범행을 모의한 것으로 드러났다. 경찰은 “신씨가 현대캐피탈을 협박해 돈을 뜯어내고, 정씨는 신씨와 국내 인출책을 연결하는 역할을 맡았으며, 허씨는 국내 인출책으로 조씨 등 3명을 지휘했다.”면서 “이후 허씨는 해킹 발생 후 현대캐피탈이 범인 계좌로 입금한 1억원 가운데 3500여만원을 국내에서 인출, 이 가운데 1700만원을 정씨 여동생 계좌를 통해 필리핀에 있는 정씨에게 전달한 것으로 조사됐다.”고 설명했다. 백민경·김양진기자 white@seoul.co.kr

현대캐피탈과 농협의 전산사고로 해커에 대한 관심이 높아지고 있다. 일부 청소년들에게 이들은 동경의 대상이 되기도 한다. 보안이 철저하다는 정부나 대기업 등의 전산망을 제집처럼 드나들며 해킹을 하기 때문이다. 하지만 해커 하면 컴퓨터에 매달려 사는, 사회성이 부족한 이른바 ‘오타쿠’(마니아)로 보는 어두운 그림자도 드리워져 있다. 또 해킹 기술을 통해 협박과 금전적 이득을 취하는 범죄자들도 적지 않다. 하지만 해커라고 모두 범죄자는 아니다. 해킹 기술을 악용해 금전적 이득을 노리는 ‘블랙 해커’가 있다면 이들을 막는 ‘화이트 해커’가 있다. 보안을 뚫으려는 ‘창’(블랙 해커)과 이를 저지하려는 ‘방패’(화이트 해커) 간의 보이지 않는 전쟁도 치열하다. 해커도 등급이 있다. 다른 사람이 개발한 해킹 프로그램을 사용하는 초보 수준 해커는 ‘스크립트 키디’(script kiddie)라 하며, 중간급 수준은 ‘위저드’(wizard)로 독자적으로 해킹 툴이나 보안 솔루션을 개발한다. 최고 보안이 적용된 정부·기업의 전산망을 뚫을 수 있는 최정상급 해커는 ‘구루’라고 불린다. 농협 서버를 뚫은 블랙 해커는 ‘구루급’으로 분류된다. 국내 해커는 ‘스크립트 키디’ 최소 1000여명, 위저드급 800여명, 구루급 50~100여명으로 추산된다. 화이트 해커는 범죄와 거리가 멀다. 보안 동아리에서 해킹 기술을 연구하고 기업의 보안 취약성을 분석하는 순기능을 한다. 실제 웹사이트가 아닌 가상 환경에서 해킹 기법을 익힌다. 미국 라스베이거스에서 열리는 세계 최대 해커협의회인 데프콘(DEFCON)을 비롯한 국내외 해킹 대회에 참가하는 등 대한민국 해커로서 자부심을 키운다. 국제해킹방어대회인 ‘코드게이트 2009’에서 최연소 우승자로 화제를 모은 박찬암(23)씨. 그는 국내외 해킹대회에서 6차례나 우승한 구루급이다. 현재 인하대 컴퓨터공학과 재학생이자 보안 전문업체인 소프트포럼의 보안기술팀장이다. 그는 “(알려진 것과는 달리) 해커들을 보면 활달하고 사회성이 뛰어나다.”고 말한다. 문제는 블랙 해커. 하지만 국내에서는 해커에 대한 보수 등이 열악해 화이트 해커도 ‘검은 유혹’을 받는다. 이는 박 팀장도 마찬가지. 경쟁 기업에 대한 디도스(분산서비스거부) 공격과 DB 해킹까지 의뢰가 다양하다. 그는 최대 3억원을 제안받기도 했다. 국내 화이트 해커 양성과 윤리 교육을 하는 해커 대학의 김태순 이사도 5000만원을 제시하며 악성코드를 제작해 달라는 의뢰를 받은 적이 있다. 경찰에 신고했지만 끝내 의뢰자는 붙잡지 못했다. 조직폭력배들이 한 온라인 기업의 해킹을 요구한 경우도 있었다. 국내에서 ‘작업 해커’를 확보하지 못하면 중국 해커를 매수한다. 한국과 중국의 블랙 해커들이 웹·시스템·네트워크로 각각 공격 역할을 분담해 공조하는 현상이 나타나고 있다. 김 이사는 “이들은 기업체의 DB나 가입자 정보 해킹부터 디도스 공격을 예고하고 돈을 요구하는 사례들이 파악되고 있다.”고 말했다. 화이트 해커들은 우리 기업들의 ‘위기관리’에 문제가 있다고 우려한다. 블랙 해커들의 협박에 많은 기업들이 돈으로 무마하거나 해킹 자체를 은폐한다고 지적한다. 안동환기자 ipsofacto@seoul.co.kr [용어클릭] ●해커 블랙 해커는 개인적인 목적을 노려 악의적으로 해킹을 일삼는 이들을 말한다. 반면 화이트 해커는 순수하게 학업과 연구 등을 위해 해킹을 하는 정보 보안 전문가를 뜻한다. 과거에는 해커가 유능한 컴퓨터 프로그래머를 뜻했고, 불순한 의도를 가진 해커를 크래커(cracker)라 부르기도 했다.

농협 전산대란과 현대캐피탈 정보유출 등 연이은 사이버테러로 ‘해커’에 대한 관심이 집중되고 있다. 사이버전쟁 시대에서 국내 사이버 보안의 현주소와 해커들의 성취욕, 나름의 윤리의식 등에 대해 현직 해커(22)에게 들어봤다. 그는 신분과 위치 노출을 극도로 꺼려 전화 인터뷰조차 사양했다. 설득 끝에 그를 잘 아는 전직 화이트 해커 출신의 보안업체 대표(33)를 통해 이메일 인터뷰를 했다. 그는 “최첨단을 달리는 디지털 시대에, 아날로그적인 가치가 해결책”이라며 “정보 보안에서 가장 중요한 것은 유비무환의 자세와 윤리의식”이라고 강조했다. 다음은 그와의 일문일답. →‘농협사태’를 일으킨 해커들을 어떻게 보나. -보안이 생명인 금융권 전산망이 뚫렸다는 것에 대해 해커들도 놀라워하고 있다. 이유야 어쨌든 은행의 전산망이 망가졌다는 것은 애초부터 기본적인 보안조치가 잘못돼 있었다는 것을 의미한다. 내부자에 대한 정보 보안도 중요한데 이를 소홀히 한 게 아닌가 싶다. 사고가 터지고 나면 그제야 허겁지겁 해결책을 논한다는 게 문제다. 평소 체계적인 보안관리에 철저해야 한다. →해커로서 공격에 성공하고, 실패했을 때의 느낌은. -공격에 성공했을 때는 정말로 많은 것을 얻는다. 이미 알고 있던 기술 이외에 다른 꼼수나 공격기법 도출 등 해킹은 숨바꼭질과 같다. 성공하면 마치 성(城)을 점령한 장군 같은 희열을 느낀다. 실패란 없다. 끈기가 있고 체력이 되면 성공할 때까지 (공격을) 계속한다. →해커도 다양화됐다던데. -요즘은 워낙 분야가 넓어져 해커 혼자 모든 것을 담당할 수 없다. 그래서 웹, 파일분석, 암호화, 시스템 해킹 등 분야별로 수준 높은 해커들이 있다. 각자 전문 분야가 생긴 셈이다. 해커는 크게 두 종류가 있다. 완성된 프로그램을 사용하는 초보 수준의 ‘스크립트 키드’가 있다. 진짜 프로는 방화벽 등의 분석을 통해 프로그램을 짜서 침투한다. →국내 금융권 및 대기업 서버의 보안 수준은. -보통 메인 홈페이지의 보안 수준은 높지만, 관련 계열사 사이트 등은 대부분 취약하다. 때문에 초절정 고수의 해커에게는 ‘식은 죽 먹기’로 보인다. 또 메인 홈페이지의 보안 수준이 높다고 해도 기존에 알려지지 않은 공격기법이나 새로운 취약점이 발견되면 언제든지 뚫릴 수 있다. →스마트폰 보안 대란도 지적되는데. -스마트폰은 PC 기능을 축소해 놓은 ‘주머니 속의 PC’다. 스마트폰도 이미 보안 문제에 상당히 노출돼 있다. 디도스(DDoS)에 이용되거나 스마트폰의 개인정보 유출, 국제전화 과금 등 기본적인 보안 문제부터, 시스템 자체의 취약점을 이용한 모바일 대란이 발생할 공산이 매우 높다. 일부 해커들은 스마트폰 해킹 시나리오를 충분히 그려볼 수 있고, 앞으로 그것을 실행할 확률이 높다. →화이트 해커를 꿈꾸는 청소년에게 조언한다면. -사이버윤리를 기본적으로 갖춘 해커가 되라고 말하고 싶다. 청소년 시절 과시 욕구가 크기 때문에 윤리의식 없이 해킹을 공부했다가는 자신도 모르게 해킹사고의 주인공이 될 수도 있다. 한번 빠지면 영원히 빠져나오지 못하며, 사회적으로 매장당한다. 이영준기자 apple@seoul.co.kr

“말이 좋아 사이버 보안 전문가지, 하는 일이나 처우는 날품팔이 막노동자 수준입니다. 나이는 40줄에 접어들었는데 아직도 하도급 용역으로만 전전하고 있으니….” 김진우(가명)씨는 요즘 백수다. 일감이 없다. 올 초까지 그는 한 은행 전산망 재구축에 용역으로 투입돼 보안 관련 작업을 했다. 하지만 계약이 끝나면서 출근할 곳을 잃었다. 그런 김씨에게 얼마 전 옛 직장 동료가 솔깃한 제안을 해 왔다. 미국에 서버를 둔 국내 도박사이트가 있는데 거기에 침투해 회원 리스트를 빼내고 서버를 다운시키면 이전 연봉의 4배를 주겠다고 했다. “거절은 했지만 솔직히 아쉬움이 전혀 없는 것도 아니에요. 어차피 불법 도박사이트인데 우리한테 당하더라도 신고도 못 할 텐데 하는 생각도 들고….” 최근 농협과 현대캐피탈 등 금융기관의 보안망이 해커들에게 무방비로 뚫린 가운데 정보기술(IT)업계의 고질적인 다단계 하도급 구조와 이에 따른 열악한 처우가 취약한 보안 인프라의 주범이라는 지적이 나오고 있다. 유능한 보안 전문가들이 생활고 때문에 음지의 해커로 전락하고, 일부는 직장을 찾아 국내를 떠나는 결과로 이어지기 때문이다. IT업계는 대기업-중견기업-중소기업-영세업체로 이어지는 협력업체의 먹이사슬이 어느 업종보다 길고 복잡하다. 삼성SDS, LG CNS, SK C&C 등 대기업을 정점으로 1차, 2차, 3차로 하도급 발주가 켜켜이 이어진다. 그러다 보니 아래 단계로 내려갈수록 IT 인력들의 근무 여건과 처우가 악화된다. 그 결과는 용역 등 비정규직 고용으로 이어지고 있다. 은행 인사담당자는 “자체적으로 보안 전문 인력을 고용하면 1인당 7000만원 이상 주어야 하지만 외주를 주면 1인당 3000만원이면 충분하니 외부 인력을 쓰는 게 당연하지 않겠느냐.”고 했다. 심지어 국가 인터넷정책을 총괄하는 한국인터넷진흥원(KISA)의 경우도 사이버 보안을 담당하는 인터넷 침해 대응 센터 인력 131명 중 29%(38명)만 정규직이고 71%(93명)는 비정규직이다. 이영상 경찰청 사이버테러대응센터장은 “보안 전문가들에 대한 적절한 대우가 선행돼야만 이들이 나쁜 길로 빠져드는 것을 막을 수 있다.”고 말했다. 유영규기자 whoami@seoul.co.kr

현대캐피탈과 농협에서 잇따라 대형 전산사고가 발생하면서 우리 사회의 보안 시스템이 전반적으로 열악하다는 현실이 다시 한번 드러났다. 특히 두 사건 모두 해커가 개입된 것으로 추정되면서 국가적 차원에서 ‘해커 전쟁’에 대비해야 한다는 목소리가 커지고 있다. 한국의 대표적 보안업체인 안철수연구소의 김홍선(51) 대표는 지난 20일 “해커들은 이미 글로벌 범죄 조직으로 성장했지만 이에 대처하는 우리 기업들의 보안 의식은 너무도 취약하다.”고 우려했다. 다음은 김홍선 대표와의 일문일답. →최근 발생한 일련의 전산 사고들 사이에 공통점이 있다면. -분산 서비스 거부(디도스) 공격부터 현대캐피탈, 농협 사태 모두 전 세계 모든 PC들이 초고속 인터넷(브로드밴드)으로 네트워크화되면서 해커들이 특정 PC에 접근하기가 더욱 쉬워지고 있다는 점을 잘 보여준다. 네트워크를 통해 원하는 PC에 들어올 수 있는 통로가 넓어져 이젠 중국인 해커가 아프리카에 서버를 둔 채 동남아에서 노트북 한대만 들고 한국의 금융기관을 해킹할 수 있는 시대가 됐다. 국내 정보 당국이 용의자를 찾더라도 인터폴 등과 협의해 해당 국가의 도움을 받으려고 하면 이미 자취를 감춘 지 오래다. →현대캐피탈이나 농협 같은 금융기관을 해킹할 수 있는 이들이 국내 혹은 세계에 얼마나 된다고 보나. -그 정도 수준의 해커들은 추정이 불가능할 정도로 많다. 영화에서 해커들이 1~2명 단위로 숨어 다니며 정부 등 거대 조직을 상대로 정의롭게 싸우다 보니 해커들을 ‘나홀로 움직이는’ 신비한 존재쯤으로 여기는 이들이 많다. 정부 관계자들조차 그렇게 보기도 해 놀라기도 한다. 하지만 해커들 대부분은 (마피아처럼) 전 세계에 걸친 글로벌 조직의 구성원으로 일한다. 해킹은 국제 조직의 주요한 범죄가 됐다. →해커들은 어떤 식으로 돈을 버나. -주로 동유럽과 중국 및 동남아, 아프리카, 브라질 등에 거대 조직들이 밀집해 있는데, 통상 이들은 크게 세 가지 방식으로 수익을 창출한다. 하나는 해킹을 원하는 일반인들에게 자신들이 개발한 해킹 프로그램을 판다. 동유럽의 한 해킹 조직이 개발한 ‘제우스’라는 프로그램은 한개에 3000달러(약 330만원)가 넘는 고가에 팔린다. 두 번째는 금융기관 등을 해킹해 정보를 빼낸 뒤 해당 업체를 협박해 돈을 갈취한다(현대캐피탈 사례가 대표적). 세 번째는 해킹을 원하는 조직을 위해 대신 일해 주고 사례금을 받는다(농협 사례도 이 경로로 이뤄졌을 것으로 추정). 일종의 아웃소싱인데 해킹 계약을 따내기 위한 글로벌 조직들의 ‘수주전’(戰)도 치열하다. →이들이 벌어들이는 수익은 얼마나 되나. -해커들이 지하 경제에서 활동하다 보니 정확한 계산은 힘들다. 하지만 우리가 생각하는 것 이상으로 엄청난 돈을 버는 것은 분명하다. 국내외를 막론하고 금융기관은 해킹당한 사실이 알려지면 신뢰도에 치명적인 타격을 입는다. 때문에 해커들이 달라는 대로 거액을 주고 넘어가는 경우가 대부분이다(실제 농협도 2008년 이미 한 차례 해킹을 당했지만 이를 숨겨 온 사실이 검찰 조사로 드러났다). 금융기관이 아니어도 기업 운영에 불법적인 요소가 많은 곳은 조사받는 것 자체를 꺼리게 된다. 해커들도 이를 알고 무리한 요구를 하는데 기업 입장에선 어쩔 수 없이 현금을 주고 덮고 간다. →그렇다면 국내 기업 가운데 현대캐피탈이나 농협 말고도 이미 해커들에게 해킹을 당한 뒤 돈으로 무마하고 넘어간 곳들이 있었다는 뜻인가. -(잠시 뜸을 들이더니) 그 질문에는 답하지 않겠다. →최근 전직 해커 한명이 언론 인터뷰를 통해 “6개월이면 어떤 은행도 다 뚫을 수 있다.”고 밝혀 화제가 됐다. 결국 기업들이 아무리 보안에 투자해도 마음먹고 덤벼드는 해커들은 못 막아 낸다는 의미로 해석된다. -(여러 번 웃으며) 요즘 언론에 ‘전직 해커’라는 이들이 자주 나오던데 나도 한번 만나보고 싶다. 난 그 해커의 말에 동의하지 않는다. 아무리 뛰어난 해커라 해도 사전에 철저히 보안 시스템을 2중, 3중으로 갖춘 ‘준비된 기업들’은 절대 뚫을 수 없다. 전 세계 해커들이 노리는 구글이나 아마존, 페이스북 등은 어떻게 지금까지 건재할 수 있었겠나. 만에 하나 이를 모두 뚫고 들어올 수 있는 능력이 있더라도 이런 시스템을 뚫게 되면 반드시 흔적을 남길 수밖에 없게 돼 있다. →끝으로 해킹과 관련해 우리 사회에 당부하고 싶은 것이 있다면. -10년째 같은 얘기를 반복해야 하는 우리 현실이 참 안타깝다. 해커들은 우리가 상상하는 것보다 훨씬 치밀하게 범죄를 준비한다. 우리나라에서 보안 검색이 가장 까다롭다는 한 기업에서는 아이러니하게도 오너 등 고위층이 들어갈 때 (일행인 척) 따라 들어가면 아무 검색도 받지 않고 출입할 수 있다. 해커들은 이런 사회공학적 배경까지도 모두 분석해 일을 진행한다. 하지만 우리 기업들의 보안 의식은 낮아도 너무 낮다. 국내 굴지의 한 기업에서는 쉬는 시간마다 직원들이 회사 공장 시스템을 돌리는 메인 컴퓨터로 인터넷 서핑이나 쇼핑을 하다 악성코드에 감염돼 가동이 중단되기도 했다. 보안 시스템 설치 당시 설정해 준 비밀번호를 한 차례도 바꾸지 않고 몇 년씩 쓰다 사고를 당하는 대기업도 많다. 무엇보다 보안 문제는 정보기술(IT) 담당자가 아닌 최고경영자(CEO)가 챙기는 풍토가 마련돼야 한다. 글 류지영기자 superryu@seoul.co.kr 사진 류재림기자 jawoolim@seoul.co.kr ●김홍선 대표는 ▲1960년 서울 ▲서울대 전자공학과(학·석사) 및 미국 퍼듀대(박사) ▲미국 텍사스주립대 연구원, 삼성전자 컴퓨터사업부 선임연구원, 시큐어소프트 대표이사 등 ▲정진기언론문화상, 미국 퍼듀대 최고의 동문상, 과학기술창의상 등 수상

지난달 발생한 ‘3·4 디도스’(DDos·분산 서비스 거부) 사태에 이어 현대캐피탈, 농협 등의 금융권 보안 사고까지 잇따라 터지면서 해킹을 막을 수 있는 전문 인력인 ‘화이트 해커’에 대한 관심이 높아지고 있다. 화이트 해커란 코드 분석 등 해킹 기술을 악용해 이익을 취하려는 ‘블랙 해커’들과 달리 해킹 기술을 연구해 ‘방패’를 만드는 보안 전문가를 말한다. 현재 국내에 화이트 해커 그룹은 10여개로 500여명 정도가 활동하는 것으로 알려져 있다. 개인 해커들은 그보다 훨씬 더 많을 것으로 추정된다. 아직 우리나라에서는 보안 전문가를 체계적으로 키우는 시스템이 부족하다 보니 화이트 해커의 중요성이 더욱 클 수밖에 없다. 그럼에도 화이트 해커에 대한 사회적 처우는 무척 열악한 실정이다. 현재 국내에 정보 보호 관련 학과가 개설된 곳은 포항공대, 아주대, 상명대, 동국대 등 10여곳에 불과하다. 일부 보안 기관들이 해킹 방어 대회 등에서 입상한 화이트 해커들을 전문 인력으로 채용하기도 하지만 그 수가 많지 않다. 해킹 툴을 직접 만들 만큼 상당한 실력이 있더라도 직장 경력이나 석사 이상 학력 등 ‘스펙’이 없으면 취업이 쉽지 않기 때문이다. 어렵게 일반 회사에 들어가더라도 보안 회사 대부분이 영세해 연봉이 낮은 데다 대기업에 들어가더라도 보안업무를 비핵심 사업으로 간주해 일반 직원들보다 급여를 적게 지급하기도 한다. 한 보안업계 전문가는 “선진국의 경우 해커의 처우가 좋고 수입도 보장돼 화이트 해커로 살아갈 수 있지만 국내에서는 열악한 근무 환경과 검은돈의 유혹 때문에 어둠의 길로 쉽게 들어서게 된다.”고 말했다. 류지영기자 superryu@seoul.co.kr

현대캐피탈과 농협의 전산사고로 해커에 대한 관심이 높아지고 있다. 일부 청소년들에게 이들은 동경의 대상이 되기도 한다. 보안이 철저하다는 정부나 대기업 등의 전산망을 제집처럼 드나들며 해킹을 하기 때문이다. 하지만 해커 하면 컴퓨터에 매달려 사는, 사회성이 부족한 이른바 ‘오타쿠’(마니아)로 보는 어두운 그림자도 드리워져 있다. 또 해킹 기술을 통해 협박과 금전적 이득을 취하는 범죄자들도 적지 않다. 하지만 해커라고 모두 범죄자는 아니다. 해킹 기술을 악용해 금전적 이득을 노리는 ‘블랙 해커’가 있다면 이들을 막는 ‘화이트 해커’가 있다. 보안을 뚫으려는 ‘창’(블랙 해커)과 이를 저지하려는 ‘방패’(화이트 해커) 간의 보이지 않는 전쟁도 치열하다. 해커도 등급이 있다. 다른 사람이 개발한 해킹 프로그램을 사용하는 초보 수준 해커는 ‘스크립트 키디’(script kiddie)라 하며, 중간급 수준은 ‘위저드’(wizard)로 독자적으로 해킹 툴이나 보안 솔루션을 개발한다. 최고 보안이 적용된 정부·기업의 전산망을 뚫을 수 있는 최정상급 해커는 ‘구루’라고 불린다. 농협 서버를 뚫은 블랙 해커는 ‘구루급’으로 분류된다. 국내 해커는 ‘스크립트 키디’ 최소 1000여명, 위저드급 800여명, 구루급 50~100여명으로 추산된다. 화이트 해커는 범죄와 거리가 멀다. 보안 동아리에서 해킹 기술을 연구하고 기업의 보안 취약성을 분석하는 순기능을 한다. 실제 웹사이트가 아닌 가상 환경에서 해킹 기법을 익힌다. 미국 라스베이거스에서 열리는 세계 최대 해커협의회인 데프콘(DEFCON)을 비롯한 국내외 해킹 대회에 참가하는 등 대한민국 해커로서 자부심을 키운다. 국제해킹방어대회인 ‘코드게이트 2009’에서 최연소 우승자로 화제를 모은 박찬암(23)씨. 그는 국내외 해킹대회에서 6차례나 우승한 구루급이다. 현재 인하대 컴퓨터공학과 재학생이자 보안 전문업체인 소프트포럼의 보안기술팀장이다. 그는 “(알려진 것과는 달리) 해커들을 보면 활달하고 사회성이 뛰어나다.”고 말한다. 문제는 블랙 해커. 하지만 국내에서는 해커에 대한 보수 등이 열악해 화이트 해커도 ‘검은 유혹’을 받는다. 이는 박 팀장도 마찬가지. 경쟁 기업에 대한 디도스(분산서비스거부) 공격과 DB 해킹까지 의뢰가 다양하다. 그는 최대 3억원을 제안받기도 했다. 국내 화이트 해커 양성과 윤리 교육을 하는 해커 대학의 김태순 이사도 5000만원을 제시하며 악성코드를 제작해 달라는 의뢰를 받은 적이 있다. 경찰에 신고했지만 끝내 의뢰자는 붙잡지 못했다. 조직폭력배들이 한 온라인 기업의 해킹을 요구한 경우도 있었다. 국내에서 ‘작업 해커’를 확보하지 못하면 중국 해커를 매수한다. 한국과 중국의 블랙 해커들이 웹·시스템·네트워크로 각각 공격 역할을 분담해 공조하는 현상이 나타나고 있다. 김 이사는 “이들은 기업체의 DB나 가입자 정보 해킹부터 디도스 공격을 예고하고 돈을 요구하는 사례들이 파악되고 있다.”고 말했다. 화이트 해커들은 우리 기업들의 ‘위기관리’에 문제가 있다고 우려한다. 블랙 해커들의 협박에 많은 기업들이 돈으로 무마하거나 해킹 자체를 은폐한다고 지적한다. 안동환기자 ipsofacto@seoul.co.kr [용어클릭] ●해커 블랙 해커는 개인적인 목적을 노려 악의적으로 해킹을 일삼는 이들을 말한다. 반면 화이트 해커는 순수하게 학업과 연구 등을 위해 해킹을 하는 정보 보안 전문가를 뜻한다. 과거에는 해커가 유능한 컴퓨터 프로그래머를 뜻했고, 불순한 의도를 가진 해커를 크래커(cracker)라 부르기도 했다.

농협 전산망 마비와 현대캐피탈 해킹 사고 등 대형 금융사고가 잇따라 터지면서 금융기관에 대한 조사 기능을 보강해야 한다는 목소리가 커지고 있다. 국회에서 16개월째 처리되지 않고 있는 한국은행법 개정안을 시급히 논의해야 한다는 지적이 나오고 있다. 20일 국회와 한은 등에 따르면 한은에 제한적인 금융기관 조사권을 부여하는 한은법 개정안은 2009년 12월 초 국회 기획재정위원회를 통과했으나 법사위는 16개월째 논의를 진행하지 않고 있다. 국회 정무위원회가 지난해 2월 한은의 금융기관 조사권 부여에 제동을 거는 내용이 담긴 금융위원회 설치 법률 개정안을 국회에 제출하면서 맞불을 놓았기 때문이다. 한은과 금감원에 이어 두 상임위 간 감정대립에 가까운 힘겨루기 양상이 빚어지고 있다. 한나라당 법사위 간사인 주성영 의원 측은 “법사위에서 여러 번 중재를 하고 기관 간 의견 조정을 촉구했지만 잘되지 않고 있다.”며 “상충하는 두 법안에 대한 기재위와 정무위 간 의견 조율이 이뤄지지 않으면 한은법 개정 안건을 상정하기 어렵다.”고 말했다. 농협의 전산 사고가 발생한 지난 12일 한은 전산망도 마감 시간이 오후 5시 30분에서 7시 10분으로 1시간 40분가량 연장되는 등 사태의 여파가 은행권 전반으로 확산될 기미가 있었다. 금융 전문가들은 농협과 현대캐피탈 사태의 재발을 막기 위해서는 한은법 개정을 통해 금융기관에 대한 ‘2중의 감시망’을 구축해야 한다고 지적한다. 즉, 금융기관의 리스크 관리 등에 대한 금감원의 검사와는 별도로 한은이 지급결제 시스템과 통화안정 제도와 관련된 규정에 문제가 있는지 여부 등을 수시로 파악하고 보완해야 한다는 얘기다. 장기적으로는 한은에 2금융권에 대한 조사 권한을 부여해야 한다는 주장도 나온다. 현재 한은은 제2금융권에 프로젝트 파이낸싱(PF) 대출 관련 자료 제출 등을 요구할 권한이 없다. 한은 내부에서는 지난해 4월 ‘금융안정보고서’와 11월 ‘상호저축은행의 자산건전성’ 자료에서 저축은행 사태를 경고했으나, 비은행금융기관을 검사하거나 제재할 권한이 없어 사태 확산을 막는 데 한계가 있었다는 자성론도 있다. 특히 금감원 출신 감사가 있는 금융기관의 경우 금감원에 전적으로 검사를 맡기기보다 한은의 공동 검사 등 견제가 필요하다는 지적도 있다. 하지만 복수감독 체제를 강화하기보다 현재 체제를 제대로 운영하는 것이 더 바람직하다는 반론도 만만치 않은 상황이다. 김경두기자 golders@seoul.co.kr

농협 전산망 파괴는 고도로 훈련된 전문 프로그래머에 의해 발생했다. ‘어떤 프로그래머가 왜, 어떤 경로를 통해’ 바이러스를 문제의 노트북에 심었는지 궁금증이 증폭되고 있다. 검찰 수사도 이 점에 초점을 맞출 것으로 보인다. ① “유사 수법·전문가 중국에 많아” 농협 전산망 마비는 전대미문의 프로그램(바이러스)에 의해 발생했다. 파일 삭제 명령어가 방화벽을 통과하는 과정에서 정상 지시어로 인식되도록 프로그래밍됐다. 바이러스를 정상 명령어로 교묘하게 포장해 2중, 3중의 방화벽을 뚫고 들어가 전산망을 파괴한 것이다. 수사 당국 관계자는 “이 정도 기술력을 가진 전문 프로그래머는 중국에 있다.”면서 “중국 소재 전문 프로그래머와 국내 프로그래머가 공모했을 가능성도 있다.”고 지적했다. 금융 당국 관계자는 “증권사 서버 다운 등 농협과 유사한 사례가 중국에서 발생한 적이 있다.”면서 “사법 당국에 체포돼 처벌받은 사람들을 보면, 이 정도 전문가급은 대개 중국에 있다.”고 전했다. ② “수개월 준비… 거절당하자 범행” 농협 전산망을 파괴한 이들이 농협 측에 돈을 요구했는지도 관심사다. 농협 측은 강력히 부인하고 있다. 하지만 일각에서는 전문 프로그래머들이 농협 전산망 해킹을 수개월 전부터 공모한 뒤 농협 측에 돈을 요구했다 거절당하자 사전에 노트북에 심어 놓은 해킹 프로그램을 그대로 가동했을 것이라는 주장이 나오고 있다. 수사 당국 관계자는 “해외 해커들이 현대캐피탈 사건처럼 국내 금융권에 해킹 등의 협박을 하며 돈을 요구한 적이 있다.”면서 “농협도 해커에게서 돈을 달라는 요구를 받았을 가능성이 있다.”고 말했다. ③ 내부소행·외부침입·국내외 공모說 바이러스가 노트북에 장착된 경로도 의문이다. 검찰 안팎에서는 ▲내부자 소행 ▲내·외부자 공모 ▲전문 프로그래머들 소행 등 세 가지 관측이 나오고 있다. 내부자 소행은 농협 측이 주장하고 있다. 삭제 명령어 조합으로 봤을 때 내부자가 아니면 불가능하다는 것이다. 한 보안 전문가는 “상당히 훈련된 프로그래머가 전산망 파괴 프로그램을 짰다. 농협 전산망 시스템을 훤히 꿰뚫지 않고서는 도저히 설계할 수 없는 프로그램”이라면서 “외부에서 바이러스를 노트북에 심었다기보다는 내부 전문가의 소행일 가능성이 높다.”고 설명했다. 내·외부자 공모설도 농협 전산망을 정확하게 들여다볼 수 있는 내부자가 없고서는 이번과 같은 프로그램을 만들 수 없다는 데서 비롯됐다. 전문 프로그래머설은 원격 제어 시스템 등 농협 전산 센터와 연결된 외부 연결망을 통해 노트북을 원격 조정했다는 것이다. 검찰은 내부자 소행, 내·외부자 공모, 전문 해커 소행 등 모든 가능성을 열어 놓고 수사하고 있다. 김승훈·강병철기자 hunnam@seoul.co.kr

18일 농협이 “거래 내역 유실이나 개인정보 유출은 없다.”고 단언했지만 우려는 여전하다. 농협의 전산복구 작업이 22일까지 ‘진행형’이기 때문이다. 그동안 복구 과정에서 무사하다던 카드 거래 내역이 일부 유실된 채 발견됐듯이 새로운 돌발변수가 나타날지 안심할 수 없는 상태다. ●거래내역 유실땐 피해규모 파악 못해 농협의 전체 서버 553개 가운데 275개가 훼손되면서 거래 내역 유실에 대한 우려는 그대로 남는다. 농협 IT본부 분사 관계자는 “카드 거래 내역은 100% 복구가 가능하다.”고 단언했지만, 금융자료가 관련됐기 때문에 한건이라도 유실되면 농협이나 고객에게 피해가 발생하기 때문이다. 제대로 복구되지 않는다면, 정확한 피해 규모조차 파악하기 어렵고 금융권의 신뢰도는 떨어질 수밖에 없다. 개인정보 유출이 없었는지에 대해서도 논란이 여전하다. 농협 측은 ▲노트북에서 들어간 명령어에 정보유출 명령어가 없이 파일삭제 명령어만 있었다는 점 ▲개인정보를 보관한 HP 서버가 공격받지 않았다는 점을 들어 정보 유출이 없었다고 설명했다. 하지만 농협은 파일삭제 명령이 중계 서버인 IBM 서버를 표적으로 삼은 게 아니고, 다른 서버에 대해서도 침투 기미를 보였다는 설명을 덧붙였다. 서버 공격자의 의도나 목표는 오리무중이다. 범행 의도에 대한 의문도 유출에 대한 우려를 부채질한다. 검찰과 금융 당국은 이번 사건의 성격을 치밀하게 계획된 범죄로 규정했다. 그렇다면 해킹을 대가로 금품을 요구한 현대캐피탈 사건처럼 반대 급부가 나타나는 게 상식적이다. 농협 측 설명대로 “단순히 삭제 명령을 내렸다.”고 하면 해명되지 않는 부분이 남는 셈이다. ●금감원·한은, 농협 과실여부에 초점 피해보상 범위를 어디까지 둘 것인지는 앞으로 큰 논란이 될 전망이다. 농협 측은 “수수료 등 금전적 피해뿐 아니라 전산 장애로 인해 발생한 신용불량 정보를 다른 금융기관과 협의해 삭제되도록 하겠다.”고 약속했다. 이에 대해 금융권 관계자는 “신용평가기관이나 농협의 상대가 된 다른 금융기관이 신용등급을 복귀시키는 데 합의해 줄지 장담할 수 없다.”고 일축했다. 무엇보다 개인이 자신의 신용등급을 잘 알지 못하는 상태이기 때문에 피해가 발생했는지를 모르고 지나갈 수도 있다고 금융권 관계자는 설명했다. 복잡다단한 문제가 얽혀 있지만, 이날 서울 양재동 농협 IT본부 분사를 찾아 검사에 착수한 금융감독원과 한국은행은 일단 농협의 과실 여부에 초점을 맞추기로 했다. 금감원은 특별검사에서 농협의 전산 관련 내부통제 시스템에 문제가 있었는지, 농협이 전자금융거래법이나 관련 감독 규정을 제대로 지켰는지, 협력업체 관리에 만전을 기했는지를 점검한다. 한은은 농협 전산장애로 인해 한은 금융망이나 소액결제 시스템에 문제가 발생할 가능성이 없는지를 조사할 계획이다. 홍희경기자 saloo@seoul.co.kr

현대캐피탈과 농협 전산사고로 정보기술(IT) 서비스를 전적으로 외부에 의존하는 아웃소싱에 대한 한계론이 대두되면서 국내 IT 서비스 업체들이 속앓이를 하고 있다. 특히 공정거래위원회가 일부 대기업 IT 서비스 업체에 대한 ‘일감 몰아주기’ 의혹을 조사하겠다고 나서면서 후폭풍을 우려하고 있다. 18일 업계에 따르면 현대캐피탈은 이번 전산사고를 계기로 24시간 사내 IT 보안만을 담당하는 전담팀을 조직 내부에 신설하는 것을 검토하고 있다. 금융권 가운데 첫 번째 시도다. 현재 현대캐피탈은 정보보안팀, IT실 등에서 IT 보안에 대한 업무를 분담하고 있다. 전산시스템 관리는 그룹 계열사인 시스템통합(SI) 업체 ‘현대오토에버’에 맡겨 왔다. 현대캐피탈이 계열사라는 이유만으로 시스템 관리 경험이 부족한 업체에 전산망 관리를 맡겼다가 대형 사고를 자초했다는 지적이 나오면서 이번 사건을 계기로 사내 보안업무를 특화할 필요성을 느꼈다는 게 업계의 분석이다. 농협중앙회도 전산장애 관련 대책 브리핑에서 “재발방지를 위해 IT 업무 운영 실태를 자체 점검한 뒤 인프라와 시스템을 재구축하겠다.”면서 “내부 시스템 보안관리를 강화하기 위해 인력 확대를 병행하겠다.”고 강조했다. 농협은 전산장애를 일으킨 명령들이 서버관리 업체인 한국 IBM 직원의 노트북에서 내려진 만큼 보안 서비스에 대한 아웃소싱의 한계를 절감하고 현대캐피탈과 마찬가지로 IT 보안 전담 조직 신설을 염두에 둔 것으로 알려졌다. 때문에 삼성SDS, LG CNS, SK C&C 등 국내 IT 서비스 업체들은 이번 사태로 지금껏 이어져 온 계열사 일감 몰아주기 및 저가 하도급 관행에 제동이 걸리지 않을까 전전긍긍하고 있다. 당장 이렇다 할 대안이 없다 보니 단기 수익성 악화가 불을 보듯 뻔하기 때문이다. 이날 공정거래위원회는 현대캐피탈의 전산 시스템을 관리하는 현대오토에버에 대한 조사에 착수한다고 밝혔다. 재벌 계열사에 대한 ‘일감 몰아주기’에 대해 조사하기 위해서다. 실제로 지난해 현대오토에버의 전체 매출 가운데 현대차그룹이 차지하는 비중은 95.34%에 달한다. 다른 대기업들의 IT 서비스 계열사 역시 상황은 크게 다르지 않다. 여기에 은행 등 금융권을 중심으로 “하나부터 열까지 모든 IT 서비스를 대행한다.”는 이른바 ‘토털 아웃소싱’ 개념을 선도해 온 한국IBM이 농협 전산 시스템 마비라는 초유의 사태에 연루되자 업계는 그야말로 망연자실해하는 모습이다.. 류지영기자 superryu@seoul.co.kr

농협 전산망에 2중, 3중으로 설치된 방어벽이 뚫린 것으로 알려졌다. 이 같은 방어벽이 뚫린 것은 처음 있는 일이다. 관계당국은 상당한 수준의 전문가들이 저지른 소행일 가능성에 주목하고 있다. 수사당국은 치밀하게 계획된 범죄 쪽에 무게를 두고 수사력을 모으고 있으며, 농협은 ‘고의적인 사이버테러’라고 규정지었다. 정부의 고위 관계자는 18일 “주센터와 백업센터의 파일이 함께 지워진 점에 주목한다.”면서 “이 정도 일은 몇명이 저지를 수 없다. 100명 이상의 초(超)전문가들의 소행”이라고 말했다. 농협 측은 브리핑에서 “전산장애를 일으킨 삭제 명령이 상당히 치밀하게 계획되고, 고도의 경험이 있는 사람이 작성한 명령어의 조합”이라면서 “고도의 기술을 가진 전문가에 의한 고의적인 사이버테러”라고 규정했다. 이어 “파일 삭제 명령만 내리고 카피(복사) 등 특정정보 유출 명령은 없었다.”면서 “외부에서 특정한 정보를 얻을 목적으로 하는 일반적인 해킹과는 다르다.”고 설명했다. 농협 측은 또 “전산장애를 일으킨 명령어는 공격당한 275대의 중계서버뿐 아니라 다른 서버도 침투하려고 했다.”고 강조한 뒤 파일 삭제를 통해 무력화를 시도할 정도로 원한을 가질 만한 내부 직원이 있었느냐는 질문에는 “최근 해고당한 직원은 없다.”고 밝혔다. 관계자는 “중계시스템에는 2중, 3중의 방어장치가 돼 있어 내부인도 접근이 어렵다.”면서 “하지만 이 방어장치가 뚫렸다.”고 말했다. 이와 관련, 정부 소식통은 “방어장치가 뚫린 것은 국내에서 처음 있는 일이며 상당한 전문가 집단이 아니면 뚫기가 어렵다.”면서 국내 공모자가 있을 가능성이 높다고 말했다. 이에 따라 중국을 무대로 한 조직 개입 가능성을 제기했다. 서울중앙지검 첨단범죄수사2부는 농협 전산망 마비는 과실이 아닌 범죄라는 쪽에 무게를 두고 수사를 진행하고 있다. 검찰은 또 내부자 소행에 무게를 두고 농협 서버관리 협력업체인 한국 IBM 직원 등 2~3명을 출국금지 조치했다. 검찰은 현대캐피탈 고객정보 해킹 유출사건과의 연관성도 조사 중인 것으로 알려졌다. 금융감독원과 한국은행도 이날 농협을 대상으로 한 공동검사에 착수했다. 홍희경·강병철기자 saloo@seoul.co.kr

현대캐피탈 개인정보 해킹 사건을 수사 중인 서울지방경찰청 사이버범죄수사대가 아직도 핵심 용의자인 해커 신모(37·미검)씨의 행방을 찾지 못하고 있다. 4년 전 놓친 신씨를 또 검거하지 못하는 게 아니냐는 우려도 나온다. 경찰은 해커를 통해 협박에 나섰던 국내 연결책 허모(40)씨를 폭력행위 등 처벌에 관한 법률상 공갈 혐의로 구속영장을 신청하고 공범 유모(39)씨를 구속했다고 밝혔다. 허씨는 지난해 말 7~8년 전부터 알고 지내던 정모(36·미검)씨를 필리핀에서 만나 ‘유명 해커가 있는데 2000만원을 주고 유명회사 개인정보를 해킹해 협박하면 큰 돈을 벌 수 있다.’는 말을 듣고 돈을 건네는 등 범행을 도운 혐의를 받고 있다. 그러나 허씨는 국내 연결책일 뿐 이번 사건의 핵심 용의자인 신씨와 정씨의 행방은 오리무중이다. 신씨는 과거 포털사이트 ‘다음’과 KT 홈페이지에 침입하는 등 여러 차례 해킹 범죄를 저지른 뒤 2007년 필리핀으로 달아났다. 경찰 조사 결과 허씨는 지난달 말 정씨가 언급한 신씨에게 돈을 지급하려고 조모(47·미검)씨로부터 20 00만원을 빌려 정씨에게 건넸다. 이어 해킹을 한 뒤 현대캐피탈이 입금한 1억원을 인터넷 뱅킹으로 이체했다. 돈을 국내에서 찾은 ‘인출책’은 허씨와 조씨, 신원이 드러나지 않은 조씨 애인 등 3명이다. 필리핀에서는 정씨가 돈을 찾아갔다. 그러나 10여명의 인원이 동원된 조직적인 사건인 데다 국내 인출책들이 해외에서 수차례 해커 신씨 측을 통해 범행계획을 세웠다는 점에서 단순 협박사건이라는 경찰의 설명은 납득하기 어렵다는 지적이 나온다. 한편 경찰은 현대캐피탈 내부 직원이 해킹에 연루됐는지 여부를 조사하는 과정에서 퇴사 직원 김모(36)씨가 경쟁업체로 이직했다는 사실을 확인했다. 경찰은 김씨가 경쟁업체에서 전산 개발 업무를 맡으면서 현대캐피탈 내부 시스템에 무단 침입해 정보를 빼내는 등 정보통신망법 위반 혐의가 있다고 보고 입건해 조사하고 있다. 또 김씨의 부탁을 받고 업무용 시스템 화면을 캡처한 자료를 건네는 등 영업비밀 유출을 도운 현대캐피탈 직원 김모(45)씨와 보험사 직원 등 5명도 부정경쟁방지법 위반 혐의로 입건했다. 백민경기자 white@seoul.co.kr

현대캐피탈의 해킹과 농협의 전산망 마비는 ‘남의 일’이 아니다. 전문가들은 금융권의 총체적인 정보기술(IT)보안 부실이 대형사고로 이어졌으며, 다른 은행 등에서도 언제든 되풀이될 수 있다고 경고한다. 보안 의식, IT 투자, 인력 육성 등에 소홀한 게 금융권의 현실이었다. 한해 1조~2조원의 순이익을 내고 있는 은행권이 몇 푼 아끼려다 고객 신뢰라는 가장 큰 자산을 잃을 판이다. 17일 금융감독원에 따르면 지난해 국내 인터넷뱅킹 거래 액수는 1경 3265조 6150억원으로 집계됐다. 현금 자동입출금기(ATM)를 통한 거래 금액은 714조 6940억원이며, 폰뱅킹 692조 5570억원, 모바일뱅킹이 133조 7110억원으로 전자금융을 통한 거래가 폭발적으로 늘어나고 있는 추세다. ●인터넷뱅킹 거래액 1경 3265조 하지만 IT 보안 투자에는 인색했다. 전체 금융권의 인터넷뱅킹 시스템 구축 등 IT에 대한 투자 규모는 2009년 1조 2000억원이었지만 지난해는 39%나 줄어든 7700억원에 그쳤다. 특히 농협은 IT 보안 분야에 2009년 71억 5000만원을 투입했지만 지난해는 시스템 구축이 완료됐다는 이유로 무려 23억 5000만원을 삭감한 것으로 알려졌다. 그나마 예산의 대부분이 인건비로 들어갔다. ●은행 등 보안예산 3~4%대 그쳐 금융권은 전산 시스템을 관리할 인력 투자에도 소홀했다. 우리나라의 은행 IT 인력은 2000년 4100여명에서 2009년엔 3876명으로 6.3% 줄었다. 같은 기간 은행 전체 인원이 8.2% 늘어난 것과 대조된다. 18개 주요 은행의 IT 보안 담당자는 121명에 불과하다. 은행 관계자는 “비용 절감을 이유로 저렴한 하드웨어와 소프트웨어 등을 도입하면서 정작 복구 작업이 지연되고 원인 분석마저 안 되는 경우가 있다.”고 말했다. 은행권 IT 예산 중 보안 예산은 3.4%로 금융감독원의 권고 수준 5%에 못 미친다. IT 부서 근무자 중 보안 담당은 2.9%(2010년 8월 기준)로 더 낮다. 농협의 인력과 예산은 모두 2.0%로 업계 평균치에도 못 미친다. 실제로 대규모 금융지주사들은 전산망 관리를 시스템 자회사에 맡기고, 자회사들도 2·3차 하도급을 통해 전산 보안을 수준 이하의 업체에 맡기고 있는 실정이다. 특히 서버 관리와 핵심 지급 결제 프로그램 등 금융 전산망의 핵심 업무마저 아웃소싱을 하다 보니 사고 가능성이 커지고 사고 수습도 쉽지 않다는 것이다. 현재 은행권 본사의 IT 인력 대부분은 주로 IT 전략과 프로그램 개발에 집중하고 있다. 또 금융지주사들이 계열사 IT 인력을 한곳에 모으는 것도 지나친 편의주의적 발상이라는 지적이 나온다. 은행이나 증권, 보험 등의 비즈니스 속성이 다른데도 무리하게 관련 인력들을 한곳에 집중시켜 전문성을 떨어뜨리고, 이 때문에 사고가 터지면 피해가 더 확대될 수 있다. 김경두기자 golders@seoul.co.kr