⊙ 지나친 아웃소싱에 IT 인력 홀대하는 금융社… “한 번은 터질 시한폭탄”
⊙ 해킹전문가 A씨 “타깃만 정확하게 알면 어느 은행이든 해킹 가능… 100% 안전한 網은 없다”
⊙ “전자금융거래 비율은 세계 최고 수준, 보안관리 인력 수는 최저 수준”
(임종인 고려대 정보보호대학원장)
⊙ 해킹전문가 A씨 “타깃만 정확하게 알면 어느 은행이든 해킹 가능… 100% 안전한 網은 없다”
⊙ “전자금융거래 비율은 세계 최고 수준, 보안관리 인력 수는 최저 수준”
(임종인 고려대 정보보호대학원장)
- 최원병 농협중앙회 회장이 지난 4월 14일 서울 중구 농협 본관에서 전산장애 사태와 관련, ‘대국민 사과문’을 발표하고 임원들과 함께 고개 숙여 사과하고 있다.
지난해 12월 한국씨티은행 전산망 마비, 지난 4월 8일 현대캐피탈 고객정보 유출, 최근 농협 전산망 마비 등 대형 금융 전산시스템 사고가 잇달아 발생했다. 특히 농협 전산망 마비는 누가 어떤 경로로 침투했는지 정황이 곧바로 나오지 않아 고객들의 불안감이 커졌다.
농협은 지난 4월 12일 오후 5시30분부터 13일 밤까지 약 20시간 동안 모든 금융거래가 ‘셧다운’됐다. 창구의 입·출금은 물론 자동화기기(ATM)와 인터넷뱅킹도 모두 멈췄다. 사상 최악의 금융전산 사고에 고객 3000만명은 큰 혼란에 빠졌지만, 농협은 원인조차 파악하지 못했고 결국 검찰과 금융감독원 등이 본격 조사에 들어갔다.
검찰과 농협에 따르면, 농협 전산망에 연결된 한국IBM 직원의 노트북 컴퓨터가 중계 서버에서 ‘시스템 파일 삭제 명령’을 실행시켰고, 명령 후 5분 동안 275개의 서버에서 데이터가 삭제됐다. 농협은 고객 개인정보와 금융거래 원장을 보호하기 위해 주요 업무시스템 거래를 전면 차단했다.
농협, 시중은행들의 보안시스템과 큰 차이 없어
해킹에 의한 외부 침입과 내부 사고의 의혹이 제기된 가운데, 농협 IT본부 정종순 분사장은 “550여 명의 인력 중 이러한(모든 파일 삭제) 권한을 가진 사람은 아무도 없다”며 “서버 공급사(社)인 한국IBM에서도 최상위 등급인 사람만 내릴 수 있는 명령”이라고 밝혔다. 해당 노트북의 관리자인 한국IBM 직원은 근무경력에 문제가 없는 데다 해킹범죄 전력도 없어 범행 가능성이 작은 것으로 알려졌다.
외부 해킹이든 내부자 소행이든, “한 번은 터질 ‘시한폭탄’이 터졌다”는 게 IT(정보기술)업계 관계자들의 공통된 의견이다. 해커 출신으로 현재 한 IT기업 보안팀에 근무 중인 A씨는 “농협의 보안 수준이 다른 시중은행이나 금융기관에 비해 특별히 심각한 것은 아니다”라며 “은행 대다수가 소프트웨어(SW) 구축과 보안 등 IT 분야를 아웃소싱(외주)하는 데다 대부분 저(低)예산을 이유로 투자를 꺼리기 때문에 완벽한 시스템을 구축하는 것은 현실적으로 불가능하다”고 밝혔다. ‘갑·을(甲乙)’에서 ‘병·정(丙丁)’ 관계로 이어지는 하도급 계약 환경은 외부 협력업체에 의한 보안사고 발생 확률이 높을 수밖에 없다는 것이다.
그는 몇 해 전 농협 관계사의 보안 관련 프로젝트에 참여한 경력이 있다. 당시 농협은 외부와 차단된 폐쇄망으로 시스템이 구축돼 외부 해킹이 쉽지 않았다고 한다. 이는 국내 다른 은행들도 공통적으로 적용하는 방식이다. 하지만 협력업체 직원들이 사용하는 PC가 악성코드 등에 감염될 경우엔 속수무책 당할 수밖에 없다고 한다.
A씨는 “검찰의 수사결과가 나오면 정황이 밝혀지겠지만, 현재까지 알려진 사실만으로도 다양한 시나리오가 나올 만큼 금융업계 보안 시스템에 구조적인 문제가 있다”고 했다. 그의 설명에 따르면, 협력업체 직원의 PC에 스턱스넷(Stuxnet·제어시스템 악성코드) 등 변종 악성코드가 침투해 중앙전산망을 무력화시킬 수 있다. 아무리 폐쇄망으로 시스템 보안을 철저히 해도, 외부 컴퓨터가 연결되는 순간 무용지물이 된다는 것이다.
악성코드는 쉽게 이용할 수 있는 해킹 수법 중 하나다. 최근 한 금융기업 보안팀에서 필기체로 “20××년 경영 기획 종합”이라 적힌 CD 50장을 무작위로 선정한 직원들 책상 위에 올려둔 결과, 하루 동안 20대의 컴퓨터가 악성코드에 감염됐다고 한다. 그중 일부는 직원의 집에 있는 개인 PC였다. 인간의 호기심을 이용한 사례로, CD 대신 악성코드가 포함된 USB를 선물로 위장해 배포하거나, P2P(개인 간 파일공유) 웹사이트를 통해 음란물을 유포하는 등 다양한 수법으로 활용되고 있다.
“백신프로그램도 100% 안전하지 않다”
A씨는 “악성 프로그램을 검사하는 백신 프로그램도 다수 피해자가 발생하는 경우에 한해 업데이트가 되기 때문에 2~3명을 대상으로 만들어진 변종 악성코드는 발견하기 어렵다”며 “일반인들이 무조건 믿는 경향이 있는 백신 프로그램도 100% 안전하진 않다”고 설명했다.
특정인을 위해 개발된 악성 프로그램을 이메일 첨부파일 등으로 PC를 감염시킬 경우, 백신 프로그램의 예방 및 치료가 사실상 별 의미가 없게 된다. A씨는 “PC는 인터넷과 연결되는 순간 해킹의 타깃이 될 수밖에 없다”며 “금융 전산망과 같이 보안의 중요성이 높은 서버일수록 외부와 철저하게 차단하는 시스템을 구축해야 한다”고 설명했다.
다른 은행도 농협과 비슷한 방법으로 해킹이 가능하냐는 질문에 “국내 다른 은행의 보안 시스템 환경이 농협보다 크게 강하지 않다”며 “문제가 된 한국IBM 직원의 노트북처럼 타깃만 정확하게 알면 충분히 가능하다”고 답했다.
임종인(林鍾仁) 고려대 정보보호대학원장은 “한국IBM이 수준 낮은 회사도 아닌 데다 복구 시간이 오래 걸린 것으로 봤을 때, 단순 해킹보다는 은행 내부사정에 정통한 자가 직·간접적으로 개입했을 가능성이 크다”며 “USB 메모리 하나, 노트북 한 대에도 쉽게 무너지는 폐쇄망을 구축해 놓고 안심할 것이 아니라 적절한 인력과 예산을 투입해 보안관리 체계를 재점검해야 한다”고 주장했다.
그는 “한국의 전자금융거래 비율은 전체 금융거래의 약 80%로 세계 최고 수준이지만, 국내 시중은행의 보안인력을 모두 합쳐도 외국 큰 은행 하나의 보안인력보다 적을 것”이라며 “아웃소싱을 하고도 협력업체가 어떻게 일을 하고 있는지 제대로 관리할 인력이 없는 게 현재 국내 은행의 보안관리 수준”이라고 지적했다.
농협 CEO(최고경영자)는 전산망이 마비된 12일 당시 상황에 대한 보고도 제대로 받지 못했다. 최원병(崔圓炳) 농협중앙회장은 지난 4월 14일 열린 대국민 사과 기자회견에서 “나도 사고관련 보고를 바로 못 받았다”며 “다른 방향에서 그 내용을 알고 부속실에 전화해서 ‘무슨 일이냐’고 따졌다”고 밝혔다.
北이 은행 해킹할 수도
농협은 경영효율화를 위해 2004년부터 IT업무의 상당 부분을 외주업체에 맡겼다. 시스템 통제권한을 사내 인력이 아닌 협력업체인 한국IBM이 전담했고, 직원 1~2명은 농협에 상주하며 전산시스템 모니터링을 해 왔다. 그들은 자유롭게 노트북을 반출할 수 있었다고 한다. 규정상 노트북 반출·입 시엔 보안점검을 하게 돼 있지만, 대다수 IT 전문가는 “백신 프로그램 수준의 검사라 사실상 큰 의미가 없다”고 입을 모았다.
농협 관계자는 “농협은 규모도 크고 공적인 성격이 강해 높은 강도의 감사를 받는 등 다른 은행보다 보안관리에 엄격했던 편”이라며 “하지만 문제가 발생한 이상 최대한 빠른 복구와 원인규명을 통해 고객의 피해를 최소화할 것”이라고 밝혔다.
농협은 이번 전산 마비의 원인이 해킹일 가능성은 작다고 밝혔다. 다수의 IT 전문가들도 “중계 서버에 연결된 한국IBM 직원의 노트북 컴퓨터가 테더링(스마트폰 등을 통한 인터넷 접속 기술)과 같은 경로로 외부망에 직접 연결되지 않은 이상 이런 형태의 직접적 외부 해킹은 어렵다”고 밝혔다.
하지만 중국의 ‘사이버 조폭’이나 북한의 정예 해커 조직이 한국의 기간시설과 금융권 전산망을 표적으로 집중 공격할 경우, 그 피해가 간단치 않을 것으로 예상된다. 김관진(金寬鎭) 국방장관은 2월 14일 기자간담회에서 “북한이 은행 등을 해킹할 가능성을 배제할 수 없다”며 “북한에 의한 사이버상에서의 (우리나라 금융 전산망에 대한) 해킹 가능성에 조심해야 한다”고 말했다. 이번 사건이 북한 소행이라 단정할 순 없지만, 북한의 해킹 능력을 폄하해선 안 된다는 취지의 발언이었다.
《월간조선》은 지난 1월 “북한이 변종 스턱스넷 등으로 사이버 공격시 15분 만에 남한의 전력·철도·공항 등 주요시설의 초토화가 가능하다”고 보도했다. IT 보안관련 전문가들의 의견과 자료를 종합해 만든 가상 시나리오였지만, 계속되는 북한의 디도스(DDoS·분산서비스거부) 공격과 잇따른 금융 전산망 사고 등 범죄조직 또는 국가에 의한 사이버 공격이 실체적 위협으로 떠오르고 있다.⊙
농협은 지난 4월 12일 오후 5시30분부터 13일 밤까지 약 20시간 동안 모든 금융거래가 ‘셧다운’됐다. 창구의 입·출금은 물론 자동화기기(ATM)와 인터넷뱅킹도 모두 멈췄다. 사상 최악의 금융전산 사고에 고객 3000만명은 큰 혼란에 빠졌지만, 농협은 원인조차 파악하지 못했고 결국 검찰과 금융감독원 등이 본격 조사에 들어갔다.
검찰과 농협에 따르면, 농협 전산망에 연결된 한국IBM 직원의 노트북 컴퓨터가 중계 서버에서 ‘시스템 파일 삭제 명령’을 실행시켰고, 명령 후 5분 동안 275개의 서버에서 데이터가 삭제됐다. 농협은 고객 개인정보와 금융거래 원장을 보호하기 위해 주요 업무시스템 거래를 전면 차단했다.
농협, 시중은행들의 보안시스템과 큰 차이 없어
해킹에 의한 외부 침입과 내부 사고의 의혹이 제기된 가운데, 농협 IT본부 정종순 분사장은 “550여 명의 인력 중 이러한(모든 파일 삭제) 권한을 가진 사람은 아무도 없다”며 “서버 공급사(社)인 한국IBM에서도 최상위 등급인 사람만 내릴 수 있는 명령”이라고 밝혔다. 해당 노트북의 관리자인 한국IBM 직원은 근무경력에 문제가 없는 데다 해킹범죄 전력도 없어 범행 가능성이 작은 것으로 알려졌다.외부 해킹이든 내부자 소행이든, “한 번은 터질 ‘시한폭탄’이 터졌다”는 게 IT(정보기술)업계 관계자들의 공통된 의견이다. 해커 출신으로 현재 한 IT기업 보안팀에 근무 중인 A씨는 “농협의 보안 수준이 다른 시중은행이나 금융기관에 비해 특별히 심각한 것은 아니다”라며 “은행 대다수가 소프트웨어(SW) 구축과 보안 등 IT 분야를 아웃소싱(외주)하는 데다 대부분 저(低)예산을 이유로 투자를 꺼리기 때문에 완벽한 시스템을 구축하는 것은 현실적으로 불가능하다”고 밝혔다. ‘갑·을(甲乙)’에서 ‘병·정(丙丁)’ 관계로 이어지는 하도급 계약 환경은 외부 협력업체에 의한 보안사고 발생 확률이 높을 수밖에 없다는 것이다.
그는 몇 해 전 농협 관계사의 보안 관련 프로젝트에 참여한 경력이 있다. 당시 농협은 외부와 차단된 폐쇄망으로 시스템이 구축돼 외부 해킹이 쉽지 않았다고 한다. 이는 국내 다른 은행들도 공통적으로 적용하는 방식이다. 하지만 협력업체 직원들이 사용하는 PC가 악성코드 등에 감염될 경우엔 속수무책 당할 수밖에 없다고 한다.
A씨는 “검찰의 수사결과가 나오면 정황이 밝혀지겠지만, 현재까지 알려진 사실만으로도 다양한 시나리오가 나올 만큼 금융업계 보안 시스템에 구조적인 문제가 있다”고 했다. 그의 설명에 따르면, 협력업체 직원의 PC에 스턱스넷(Stuxnet·제어시스템 악성코드) 등 변종 악성코드가 침투해 중앙전산망을 무력화시킬 수 있다. 아무리 폐쇄망으로 시스템 보안을 철저히 해도, 외부 컴퓨터가 연결되는 순간 무용지물이 된다는 것이다.
악성코드는 쉽게 이용할 수 있는 해킹 수법 중 하나다. 최근 한 금융기업 보안팀에서 필기체로 “20××년 경영 기획 종합”이라 적힌 CD 50장을 무작위로 선정한 직원들 책상 위에 올려둔 결과, 하루 동안 20대의 컴퓨터가 악성코드에 감염됐다고 한다. 그중 일부는 직원의 집에 있는 개인 PC였다. 인간의 호기심을 이용한 사례로, CD 대신 악성코드가 포함된 USB를 선물로 위장해 배포하거나, P2P(개인 간 파일공유) 웹사이트를 통해 음란물을 유포하는 등 다양한 수법으로 활용되고 있다.
“백신프로그램도 100% 안전하지 않다”
A씨는 “악성 프로그램을 검사하는 백신 프로그램도 다수 피해자가 발생하는 경우에 한해 업데이트가 되기 때문에 2~3명을 대상으로 만들어진 변종 악성코드는 발견하기 어렵다”며 “일반인들이 무조건 믿는 경향이 있는 백신 프로그램도 100% 안전하진 않다”고 설명했다.
특정인을 위해 개발된 악성 프로그램을 이메일 첨부파일 등으로 PC를 감염시킬 경우, 백신 프로그램의 예방 및 치료가 사실상 별 의미가 없게 된다. A씨는 “PC는 인터넷과 연결되는 순간 해킹의 타깃이 될 수밖에 없다”며 “금융 전산망과 같이 보안의 중요성이 높은 서버일수록 외부와 철저하게 차단하는 시스템을 구축해야 한다”고 설명했다.
다른 은행도 농협과 비슷한 방법으로 해킹이 가능하냐는 질문에 “국내 다른 은행의 보안 시스템 환경이 농협보다 크게 강하지 않다”며 “문제가 된 한국IBM 직원의 노트북처럼 타깃만 정확하게 알면 충분히 가능하다”고 답했다.
임종인(林鍾仁) 고려대 정보보호대학원장은 “한국IBM이 수준 낮은 회사도 아닌 데다 복구 시간이 오래 걸린 것으로 봤을 때, 단순 해킹보다는 은행 내부사정에 정통한 자가 직·간접적으로 개입했을 가능성이 크다”며 “USB 메모리 하나, 노트북 한 대에도 쉽게 무너지는 폐쇄망을 구축해 놓고 안심할 것이 아니라 적절한 인력과 예산을 투입해 보안관리 체계를 재점검해야 한다”고 주장했다.
그는 “한국의 전자금융거래 비율은 전체 금융거래의 약 80%로 세계 최고 수준이지만, 국내 시중은행의 보안인력을 모두 합쳐도 외국 큰 은행 하나의 보안인력보다 적을 것”이라며 “아웃소싱을 하고도 협력업체가 어떻게 일을 하고 있는지 제대로 관리할 인력이 없는 게 현재 국내 은행의 보안관리 수준”이라고 지적했다.
농협 CEO(최고경영자)는 전산망이 마비된 12일 당시 상황에 대한 보고도 제대로 받지 못했다. 최원병(崔圓炳) 농협중앙회장은 지난 4월 14일 열린 대국민 사과 기자회견에서 “나도 사고관련 보고를 바로 못 받았다”며 “다른 방향에서 그 내용을 알고 부속실에 전화해서 ‘무슨 일이냐’고 따졌다”고 밝혔다.
北이 은행 해킹할 수도
농협은 경영효율화를 위해 2004년부터 IT업무의 상당 부분을 외주업체에 맡겼다. 시스템 통제권한을 사내 인력이 아닌 협력업체인 한국IBM이 전담했고, 직원 1~2명은 농협에 상주하며 전산시스템 모니터링을 해 왔다. 그들은 자유롭게 노트북을 반출할 수 있었다고 한다. 규정상 노트북 반출·입 시엔 보안점검을 하게 돼 있지만, 대다수 IT 전문가는 “백신 프로그램 수준의 검사라 사실상 큰 의미가 없다”고 입을 모았다.
농협 관계자는 “농협은 규모도 크고 공적인 성격이 강해 높은 강도의 감사를 받는 등 다른 은행보다 보안관리에 엄격했던 편”이라며 “하지만 문제가 발생한 이상 최대한 빠른 복구와 원인규명을 통해 고객의 피해를 최소화할 것”이라고 밝혔다.
농협은 이번 전산 마비의 원인이 해킹일 가능성은 작다고 밝혔다. 다수의 IT 전문가들도 “중계 서버에 연결된 한국IBM 직원의 노트북 컴퓨터가 테더링(스마트폰 등을 통한 인터넷 접속 기술)과 같은 경로로 외부망에 직접 연결되지 않은 이상 이런 형태의 직접적 외부 해킹은 어렵다”고 밝혔다.
하지만 중국의 ‘사이버 조폭’이나 북한의 정예 해커 조직이 한국의 기간시설과 금융권 전산망을 표적으로 집중 공격할 경우, 그 피해가 간단치 않을 것으로 예상된다. 김관진(金寬鎭) 국방장관은 2월 14일 기자간담회에서 “북한이 은행 등을 해킹할 가능성을 배제할 수 없다”며 “북한에 의한 사이버상에서의 (우리나라 금융 전산망에 대한) 해킹 가능성에 조심해야 한다”고 말했다. 이번 사건이 북한 소행이라 단정할 순 없지만, 북한의 해킹 능력을 폄하해선 안 된다는 취지의 발언이었다.
《월간조선》은 지난 1월 “북한이 변종 스턱스넷 등으로 사이버 공격시 15분 만에 남한의 전력·철도·공항 등 주요시설의 초토화가 가능하다”고 보도했다. IT 보안관련 전문가들의 의견과 자료를 종합해 만든 가상 시나리오였지만, 계속되는 북한의 디도스(DDoS·분산서비스거부) 공격과 잇따른 금융 전산망 사고 등 범죄조직 또는 국가에 의한 사이버 공격이 실체적 위협으로 떠오르고 있다.⊙
