방송국 컴퓨터 일제히 ‘먹통’...은행업무 순식간에 ‘마비’
‘관심·투자·대응’ 없는 ‘3無’ 상태...불안요소는 여전
[토요경제=유지만 기자] 20일 오후 2시경 MBC, KBS, YTN 등 주요 방송사와 농협, 신한은행의 내부전산망이 마비되는 초유의 사태가 발생했다. 순식간에 일어난 상황에 방송시스템은 마비될 위기에 처했고, 농협과 신한은행, 제주은행의 업무기능은 정지됐다. 정부는 급히 합동조사단을 꾸려 조사에 착수했으나 사건의 해결에는 최대 몇 달 이상의 긴 시간이 필요할 것으로 보인다. 지금까지 밝혀진 내용으로는 공격 유형이 기존과는 다른 'APT(악성파일을 심어놓은 뒤 시간이 지나면 작동시키는 해킹공격)'라는 방식이 ‘유력한’ 수준이고, ‘어디서 공격했는가’를 밝히는 데 대해서는 전문가들조차 회의적인 전망을 내놓고 있다.
이번 사이버 테러는 2003년 '1·25' 인터넷 대란, 2009년 '7·7 디도스(분산서비스거부·DDoS)사건', 2011년 '3·4 디도스 공격'에 이은 네 번째 대규모 사이버 테러다. 앞서 세 번의 뼈 아픈 경험이 있음에도 피해 규모를 줄이거나 미리 막아내는 데 실패했다. 매번 ‘재발방지책 확립’등을 강조했음에도 같은 일이 반복되는 이유는 왜일까.
△ ‘소 잃어도 그때만’ 관심 보인 정부
먼저 보안의 중요성에 대한 지속적 관심을 보이지 않은 정부의 태도부터 지적할 수 있다. 사이버 테러 대응 관련 예산부터 줄었다는 것이 그 한 예이다. 21일 방송통신위원회와 관련 보안기업들에 따르면 올해 해킹, 바이러스 대응체계 고도화 사업에 책정된 예산은 158억원이었다. 지난 2009년 ‘7·7 디도스 대란’으로 혼란에 빠진 직후 2010년에 책정됐던 예산액이 384억원이었던 것에 비해 절반 이하로 줄어든 것이다. 한 전문가는 “매년 새로운 해킹 기법이 등장하고 그에 대응해야 하는 데 예산은 반토막이 나니 뭘 하고 싶어도 할 수가 없다”고 하소연했다.
실제로 정부의 사이버 테러 대응 관련 예산은 2010년을 정점으로 매년 하락했다. 2011년에는 173억원이었고, 2012년 168억, 2013년 158억으로 매년 삭감되기만 했다. 미국 오바마 행정부가 사이버 테러에 대비하기 위해 ‘사이버X-플랜’이란 사업을 추진하고 매년 예산을 늘리기로 결정한 것과는 정반대의 행보다. 보안업계 관계자는 “아마 이번에 이런 큰 사건이 터졌으니 부랴부랴 지원책을 마련하기는 할 것”이라고 에둘러 비판하며 “이번에도 반짝 관심에 그칠 것이란 회의적인 시각이 많다”고 말했다.
△ 지휘관 없는 ‘오합지졸’ 대응
이번 사태를 방지하지 못한 가장 큰 원인 중 하나로 지목되는 것이 바로 ‘컨트롤타워 부재’다. 현재 우리나라의 사이버테러 대응체제는 한 마디로 ‘거미줄’같이 얽혀 있다.
먼저 방송통신위원회와 한국인터넷진흥원에서 민간 분야를 담당하고 국가정보원과 국방부가 공공보안과 군사보안을 총괄하는 구조다. 경찰청과 대검찰청은 사이버테러 범죄수사를 전담한다. 또 은행 등 금융권은 금융감독원이 담당하는 등 사이버 테러 관련 업무가 여러 곳에 분담돼 있는 상태다. 각 기관에 업무다 분담되다 보니, 정작 사고가 터졌을 때 효율적인 대응을 하기가 사실상 불가능한 것이다.
관계자들은 과거 정보통신부가 이명박 정부 들어 없어지면서 컨트롤타워 기능이 마비됐다고 지적했다. 정보보안 학계 관계자는 “과거 정보통신부가 존재할 때는 일괄적인 대응이 가능했다. 그러나 이명박 정부 들어 (정보보호 업무가 분산돼)비효율적인 방법으로 역행한 것”이라고 지적하며 “상황발생시 한시적으로라도 일괄적 지휘를 할 수 있는 컨트롤타워가 반드시 필요하다”고 밝혔다.
△ 새 정부도 ‘불안요소’ 여전
임종인 고려대 정보보호대학원장은 방송 인터뷰에서 “보안 사고는 창과 방패의 싸움이다. 2003년 1·25 대란 이후 10년 동안 계속 공격을 받고 있는데 그에 대한 대비는 충분하지 못해서 우리가 이런 화를 자처하고 있다고 볼 수 있다”는 의견을 밝힌 바 있다. 장기적인 안목을 가지지 않고 일회성으로 추진된 보안 정책들이 지금의 대규모 사태를 초래한 것이라고 비판한 것이다.
새 정부 하에서도 불안요소는 여전하다. 정부조직은 개편되지만 보안업무가 분담된 것은 변화가 없기 때문이다. 정부조직개편안에 따르면 신설되는 미래창조과학부는 기존 방통위가 담당했던 민간보안 업무를 일부 가져올 뿐, 개인정보 보호는 여전히 방통위가 맡는다. 다른 보안담당 업무도 큰 변화가 없는 상황이다. 여전히 효율적인 대응과는 거리가 먼 셈이다.
전문가 인성 프로젝트가 없다는 것도 문제다. 지난 정부에서는 소프트웨어 관련 인력양성은 지식경제부에서 담당했고, 해킹 관련 대응정책은 방통위가 주관했다. 현 정부에서도 아직까지 구체적인 사이버 인력 양성 관련 정책 권한이 확정된 바 없다. 보안업계 관계자는 “인력 양성이 체계적이 못하게 되면 (사이버 테러)대응능력은 당연히 뒤로 처질 수 밖에 없다”고 지적했다.
이번 사태를 바라본 전문가들은 한목소리로 “지속적인 관심을 가지고 정책 추진과 투자 확대, 획일화된 대응 구조를 갖춰가야 한다”고 말한다. 보안업체 큐브피아의 권석철 대표는 “같은 방법으로 공공기관을 마비시켰다면 그 피해는 상상하기도 어려웠을 것”이라며 이번 사이버 테러 상황을 매우 심각하게 받아들여야 함을 강조했다.
[저작권자ⓒ 토요경제. 무단전재-재배포 금지]
