- 국군 사이버사령부는 2019년 2월 사이버작전사령부로 부대 이름을 바꿔 달았다.
사이버작전사령부가 ‘사찰 장비’로 의심 되는 수집 센서를 일선 부대에 전력화하기로 하자, 군(軍) 검찰이 내사(內査)에 착수한 것으로 31일 알려졌다. 《월간조선》이 9월호에 보도한 <사이버司 사찰 가능 장비 도입 논란> 기사가 나간 후, 내사가 이뤄진 것이라 귀추가 주목된다.
《월간조선》 9월호 기사 바로가기
복수의 군 관계자와 보안 업체 관계자들의 말을 종합하면, 군 검찰은 문제의 수집 센서인 ‘A 장비’를 도입한 경위를 파악하기 위해 입찰에 응했다가 탈락한 업체를 상대로 조사를 벌인 것으로 확인됐다.
한 업체 관계자는 30일 “얼마 전 군 검찰 관계자가 찾아와 응찰과 입찰 과정에서 어떤 의혹이 제기 됐었는지 구체적으로 묻고 갔다”며 “사업 발주처인 사이버사령부에 대한 조사도 이뤄지고 있는 것으로 안다”고 전했다.
사이버司가 낸 사업에 '안랩'이 시행 업체로 선정
사이버사령부는 지난 5월 6일 ‘네트워크 위협 분석체계 구축’에 관한 사업 공고를 냈다. 총 56억원을 투입해 156대의 수집 센서를 장성급 이상 78개 부대에 설치하겠다는 게 사업의 요지였다.
사이버사령부는 해당 사업의 취지에 대해 “알려진 공격행위에 대한 패턴 기반 탐지·차단 체계의 한계를 극복하기 위한 군내(軍內) 알려지지 않은 공격행위 식별이 가능한 분석 체계 필요”라고 밝혔다.
이 사업에는 LIG시스템, 현대HDS, GSITM, 신한DS, 안랩 등 총 9개 업체가 컨소시엄을 구성해 입찰에 참여했다. 그 결과 지난 6월 중순 ‘안랩’이 사업 시행 업체로 최종 선정됐다. 안랩은 기술 점수 84.42점, 가격 점수 9.18점으로 합계 93.6점을 얻었으며, 낙찰가는 48억9500만원이었다(국가종합전자조달 ‘나라장터’ 참조). 사이버사령부는 안랩이 제안한 수집 센서를 오는 12월까지 78개 부대에 전력화할 계획이다.
사이버사령부는 해당 사업의 취지에 대해 “알려진 공격행위에 대한 패턴 기반 탐지·차단 체계의 한계를 극복하기 위한 군내(軍內) 알려지지 않은 공격행위 식별이 가능한 분석 체계 필요”라고 밝혔다.
이 사업에는 LIG시스템, 현대HDS, GSITM, 신한DS, 안랩 등 총 9개 업체가 컨소시엄을 구성해 입찰에 참여했다. 그 결과 지난 6월 중순 ‘안랩’이 사업 시행 업체로 최종 선정됐다. 안랩은 기술 점수 84.42점, 가격 점수 9.18점으로 합계 93.6점을 얻었으며, 낙찰가는 48억9500만원이었다(국가종합전자조달 ‘나라장터’ 참조). 사이버사령부는 안랩이 제안한 수집 센서를 오는 12월까지 78개 부대에 전력화할 계획이다.
'안랩'이 제안한 수집 센서는 사찰용으로 분류되는 '풀 패킷 장비'
입찰에 참여했던 업체 관계자들은 안랩이 제안한 수집 센서에 의구심을 나타내고 있다. 사이버사령부가 요구했던 사양과 전혀 다른 장비를 제안했음에도 낙찰이 됐다는 이유에서다. 논란이 되고 있는 수집 센서는 모(某) 회사가 개발한 ‘A 장비’다.
업계 관계자들의 말을 종합하면, 이 장비는 네트워크 송수신 과정에서 오가는 모든 정보를 상대의 승인 없이 실시간으로 확인 가능하다고 한다. 카카오톡 메시지 송수신은 물론, 파일 전송, 문자메시지, 이메일 등을 광범위하게 들여다볼 수 있다는 것이다.
사실상 해킹은 물론 도·감청이 가능한 ‘사찰(査察) 기능’이 탑재돼 있다는 주장이다. 이런 이유로 A 장비는 수사기관에서 포렌식용으로 주로 쓰인다. 그것도 법원의 영장을 득(得)한 후에 사용할 수 있게끔 엄밀한 통제가 이뤄진다. 따라서 A 장비를 군내(軍內)에서 운용하는 건 부적합하다고 업계 관계자들은 입을 모은다.
본지 확인 결과 A 장비는 크기가 작아 이동(移動)이 자유로워 언제 어디서든 사용할 수 있음을 알 수 있었다. 마음먹기에 따라선 청와대·국회·언론사에 설치해 사찰 용도로 악용할 수 있다고 업계 관계자들은 강조했다.
사실상 해킹은 물론 도·감청이 가능한 ‘사찰(査察) 기능’이 탑재돼 있다는 주장이다. 이런 이유로 A 장비는 수사기관에서 포렌식용으로 주로 쓰인다. 그것도 법원의 영장을 득(得)한 후에 사용할 수 있게끔 엄밀한 통제가 이뤄진다. 따라서 A 장비를 군내(軍內)에서 운용하는 건 부적합하다고 업계 관계자들은 입을 모은다.
본지 확인 결과 A 장비는 크기가 작아 이동(移動)이 자유로워 언제 어디서든 사용할 수 있음을 알 수 있었다. 마음먹기에 따라선 청와대·국회·언론사에 설치해 사찰 용도로 악용할 수 있다고 업계 관계자들은 강조했다.
“입찰에서 (A 장비) 배제했어야”
이에 대해 사이버사령부 측의 입장을 요약하면 “안랩이 제안한 A 장비에서 사찰로 악용될 수 있을 만한 기능은 뺀 채 납품된다”는 것이다. 이에 대해 사이버 보안 전문가 B씨는 다음과 같이 지적했다.
“그럼 그간의 입찰 과정은 뭐가 되는 겁니까. 안랩을 제외한 나머지 8개 업체는 당초 사이버사령부가 제안한 사양에 맞춰 입찰에 나섰는데, 낙찰된 A 장비는 그와 정반대 사양입니다. 뭔가 앞뒤가 안 맞지 않습니까. 그렇다면 아예 입찰에서 (A 장비를) 배제했어야 하는 게 맞죠.”
사업에 응찰했던 업체 관계자 C씨는 지난 5월 14일 해당 사업과 관련해 열린 사업설명회에 참석한 이다. C씨는 당시 사업설명회에서 있었던 일화를 언급했다.
“사업설명회 당시 사이버사령부 측 관계자는 사찰용으로 쓰일 수도 있는 ‘풀 패킷(full packet) 장비’를 언급하며 ‘풀 패킷 관제 가능 사양은 제안하지 말라’고 공식적으로 언급했습니다. 그럼에도 풀 패킷 장비로 분류되는 A 장비를 내놓은 안랩을 사업 시행자로 선정한 것입니다. 사이버사령부가 왜 기존에 설명한 내용과 다른 제안을 한 업체(안랩)를 선정했는지 아직도 이해가 안 갑니다.”
“사업설명회 당시 사이버사령부 측 관계자는 사찰용으로 쓰일 수도 있는 ‘풀 패킷(full packet) 장비’를 언급하며 ‘풀 패킷 관제 가능 사양은 제안하지 말라’고 공식적으로 언급했습니다. 그럼에도 풀 패킷 장비로 분류되는 A 장비를 내놓은 안랩을 사업 시행자로 선정한 것입니다. 사이버사령부가 왜 기존에 설명한 내용과 다른 제안을 한 업체(안랩)를 선정했는지 아직도 이해가 안 갑니다.”
본지가 입수한 '안랩'의 제안서
본지는 안랩이 이 사업과 관련해 사이버사령부에 제출한 ‘제안서’ 전문을 추가로 입수했다. ‘풀 패킷 사양을 제안하지 말라’고 했던 사이버사령부의 당초 입장과 달리, 안랩은 제안서에 “네트워크 풀 패킷을 실시간으로 분석할 수 있는 기능 우위의 차세대 네트워크 보안 솔루션 제안”이라며 “100% 풀 패킷 캡처”라고 썼다.
 |
| 안랩이 사이버사령부에 제출한 제안서의 일부. (업체명은 블라인드 처리) |
안랩이 사찰용으로 의심 받을 수 있는 풀 패킷 장비인 A 장비를 사이버사령부에 제안했다는 얘기다. 사업 발주처인 사이버사령부도 이 같은 사실을 사전에 인지(認知)했었다는 뜻이 된다.
사이버司는 제안서 평가 제대로 했나?
사이버사령부의 제안서 평가 과정이 석연치 않았음을 방증하는 녹취록도 입수했다. 제안서 평가 심사위원과 한 업체 관계자와의 통화 내용이다.
<제안서 평가위원: 예, 아니 이걸 점수 다 해놓고 나니까 나중에 그걸 가지고 오더라고.
업체 관계자: 정성·정(량) 점수 평가 다 해놓고 나니까?
제안서 평가위원: 그쵸. 이미 다 했는데.
업체 관계자: 이미 다 한 상태에서?
제안서 평가위원: 예>
업체 관계자: 정성·정(량) 점수 평가 다 해놓고 나니까?
제안서 평가위원: 그쵸. 이미 다 했는데.
업체 관계자: 이미 다 한 상태에서?
제안서 평가위원: 예>
요약하면 제안서 평가위원들이 제안서 평가(정성·정량평가)에 따른 점수를 배점한 후, 사이버사령부 관계자가 새로 책정한 점수를 가져왔다는 것이다. 즉 제안서 평가 사후(事後), 사이버사령부 측이 임의로 점수를 다시 매겼다는 주장이다.
제안서 평가 기간이 의심스럽다는 주장도 있다. ‘사업 공고문’에 따르면, 제안서 평가기간은 “20. 6. 17(수) ~ 6. 19(금)”으로 총 3일간이었다. 이번에 본지가 새로 입수한 녹취록에는 이와 상반되는 내용이 있다. 사이버사령부 관계자의 육성이 담긴 녹음파일에는 “당일 하루만 했고, 9시30분에 시작해 (오후) 4시30분, 5시 전에 끝난 걸로 알고 있다”고 돼 있다. 이를 근거로 업체 관계자들은 ‘제안서 평가가 졸속으로 이뤄졌다’고 의심하고 있다.
軍, 2년 전 안랩이 사이버司로부터 수주한 또 다른 사업도 조사 중
업체 관계자들에 따르면, 군 검찰은 2018년 안랩이 사이버사령부로부터 수주했던 사업에 대한 내사도 진행하고 있다고 한다. 사이버사령부는 2018년 10월, 총 사업비 49억원에 달하는 ‘지능형 전군 통합 보안 관제 체계 구축사업’ 공고를 낸 적이 있다. 이때도 안랩이 사업 시행자로 최종 낙찰됐다. 그러나 안랩이 내놓은 제품이 규격에 미달한다는 사실이 드러났다.
사업 규격 기능 미비 및 보안 적합성 검사 미충족으로 이듬해 3월 말까지 제품에 대한 검수가 지연됐다고 한다. 국군안보지원사령부(옛 국군기무사령부)가 실시하는 보안 적합성 검사도 미충족한 상태에서 그해 4월 3일 검수 완료가 진행됐다고 한다. 안랩은 검수 지연에 따른 3억원의 페널티를 물었다.
사업 규격 기능 미비 및 보안 적합성 검사 미충족으로 이듬해 3월 말까지 제품에 대한 검수가 지연됐다고 한다. 국군안보지원사령부(옛 국군기무사령부)가 실시하는 보안 적합성 검사도 미충족한 상태에서 그해 4월 3일 검수 완료가 진행됐다고 한다. 안랩은 검수 지연에 따른 3억원의 페널티를 물었다.
이와 관련해 B씨는 “군 검찰은 2018년 사업 역시 석연치 않다고 판단해 수사에 나섰고, 얼마 전 조사를 완료한 것으로 안다”며 “조만간 이에 대한 수사 결과도 나올 것 같다”고 말했다.
사이버司의 입장은?
한편 사이버사령부 관계자에게 이 같은 주장을 확인하기 위해 31일 전화와 문자 메시지를 발송했으나, 14시 현재 아무런 답변이 없는 상태다.
사이버사령부 관계자는 지난 달 본지에 "(안랩 컨소시엄이) A 장비가 풀 패킷인 걸 알고 (사찰 등) 문제가 되는 기능에 대해선 (입찰할 때) 제안하지 않은 걸로 안다. 그래서 그 기능은 빠진 채 (사이버사령부에) 납품된다"고 밝혔었다. 입찰 과정, 시행 업체 선정 등에 있어 문제가 없었다는 얘기다.
사이버사령부는 2018년 안랩과의 사업에 대해선 “당시 안랩이 부적합 판정을 받은 건 아니었다"며 "사업을 진행하다 늦어진 것뿐"이란 입장을 보였다. 사령부 관계자는 안랩이 그에 대한 지체상금(遲滯償金·페널티)을 물은 건 사실이다. 지체상금은 협상이 되고 나서 납기(納期)를 못 지켰을 때 못 지킨 기간만큼 내는 돈이다. 지체상금을 물었다고 해서 부적격 업체가 되는 건 아니다"라고 말했다.
안랩 측에도 지난 8월 11일 전화를 걸어 사이버사령부 사업과 관련한 입장을 물었다. 안랩 측은 8월 13일 “문의하신 건은 계약 조건에 따라 정보공개가 불가능하다”며 “말씀하신 사항은 저희의 계약 상대방에게 문의를 해주시는 것이 좋겠다”는 입장을 알려왔다.
글=조성호 월간조선 기자.
