⊙ 음란동영상 유포로 좀비PC 기하급수적 급증
⊙ 이번 선관위 디도스 공격은 좀비PC 200대… 20만원이면 충분
⊙ 정작 대한민국을 위협하는 것은 북한의 디도스 공격
⊙ 이번 선관위 디도스 공격은 좀비PC 200대… 20만원이면 충분
⊙ 정작 대한민국을 위협하는 것은 북한의 디도스 공격
- 2011년 12월 8일 서울지방경찰청 디지털 증거분석실에서 장병덕 사이버범죄수사대장이 최근 디도스 해킹 유형에 대해 설명하고 있다.
“동영상 풀버전 공유 부탁합니다.”
지난 2011년 12월 7일 유명 여성방송인 A양의 은밀한 사생활이 담긴 동영상이 인터넷과 스마트폰을 통해 급속도로 유포(流布)됐다.
파일공유(P2P) 사이트, 동호회 블로그, 소셜네트워크서비스(SNS) 등에 온종일 불이 났다. 동영상을 구할 수 있는 방법을 알려달라는 요청이었다. 검색어에는 연일 A양 동영상이 1위에서 떨어질 줄 몰랐다. “죄 없는 여성의 인권이 무너지는 것이 안타깝다. 동영상을 퍼트리지 말자”는 자성의 목소리도 없는 것이 아니었지만, 집단 관음증(觀淫症) 앞에서 이런 도덕적 목소리는 작아지게 돼 있다.
욕망의 ‘불도가니’가 되어 후끈 달아오른 사이버세계를 진정시키기 위해 한국인터넷진흥원(KISA) 등 관련 기관들이 대책 마련에 골몰했지만 역부족이었다. 급속도로 음란(淫亂) 동영상이 퍼져나간 당일 사이버보안업체들은 하루종일 초비상이었다. 이들의 관심은 해당 여성방송인의 사생활이 아니었다.
디도스 보안업체 (주)나노아이티 박상수 총괄이사는 “동영상이 불과 몇 시간 만에 수십만 명에게 급속히 퍼져나가는 모습을 보고 중세 흑사병의 습격이 떠올랐다”고 말했다. 동영상 유포를 흑사병에 비유한 이유는 이렇다.
“불순한 의도를 가진 세력이 악성(惡性)코드를 심어놓은 동영상을 퍼트릴 수 있습니다. 그럴 경우 하루 만에 수십만 대의 컴퓨터가 좀비(살아 있는 시체)화될 수 있는 거죠. 악성코드에 오염된 좀비PC가 디도스(DDoS·분산서비스 거부) 공격에 이용될 경우 2009년 7·7 사이버 대란이 재현될 수도 있습니다.”
보안전문가의 경고는 기우(杞憂)가 아니었다. 다음 날 동영상을 내려받아 실행하면 순식간에 악성코드가 컴퓨터에 침투하는 파일이 발견됐다. 보안업체들은 이를 예방하기 위한 백신을 서둘러 배포했고, 서울지방경찰청 사이버 수사대는 유포자를 찾기 위한 수사에 착수했다. 디도스 대란(大亂)을 막기 위해 보안업체, 수사기관이 총력을 다하고 있지만 사회 혼란을 노린 해커들의 공격은 계속되고 있다.
“이번 선관위 공격은 애들 장난 수준”
최근 디도스 공격에 집권 여당이 쑥대밭이 됐다.
경남 진주갑 출신 최구식 의원의 9급 수행비서 공모(27·구속)씨가 10·26 재보선 당일 중앙선거관리위원회(선관위) 홈페이지를 마비시킨 것으로 알려지면서 한나라당 지도부가 사퇴했다. 경찰이 ‘헌법기관을 유린(蹂躪)’한 사건에 당 홍보기획본부장을 맡고 있던 최 의원 비서가 관련됐다고 밝히자 한나라당은 패닉(공황) 상태에 빠졌다.
그렇다면 디도스 공격이란 무엇인가. 디도스 공격을 감행하기 위해서는 어떤 컴퓨터 실력과 기간, 비용이 필요할까. 컴퓨터에 밝지 않은 일반인으로선 궁금증이 한두 가지가 아니다.
디도스 공격이란 특정 홈페이지를 공격하기 위해 악성코드를 여러 컴퓨터에 심어 만든 좀비PC를 이용해 공격 목표 컴퓨터 시스템에 처리할 수 없는 엄청난 분량의 정보를 동시에 범람시켜 네트워크의 성능 저하(低下)나 시스템 마비를 불러 일으키는 것을 말한다. 추석·설날 같은 명절에 차량이 갑자기 많이 몰리면 고속도로가 마비되는 것과 똑같은 이치다.
이와 같이 디도스 공격을 위해서는 좀비PC를 만드는 등 범행을 위한 준비가 필요하다. 이 때문에 선관위 공격에 배후세력이 있거나 사전에 범행을 모의했다는 의혹이 제기되고 있다. 디도스 전문가 나노아이티 박상수 총괄이사는 “이번 사건은 애들 장난 수준에 불과하다”며 “해킹에 조금만 관심이 있으면 누구나 할 수 있는 일”이라고 말했다. 박 이사와의 문답이다.
―선관위 홈페이지가 마비됐는데, 이번 디도스 공격을 어떻게 평가해야 하나요.
“애들 장난 수준에 불과합니다. 흔히 스크립트 키디(Script Kiddie)라고 부르는 아마추어 해커의 소행으로 봅니다.”
디도스 공격보다 그 정도에 뚫린 선관위가 한심
―수준을 낮게 보는 이유라도 있습니까.
“선관위 공격은 인터넷에서 쉽게 구할 수 있는 해킹 툴(도구)을 이용했더군요. 해킹 툴에 공격 목표의 홈페이지 주소를 입력하기만 하면 자동으로 공격이 시작되는 것입니다. 또 해킹에 전문적인 지식이 있는 해커는 자신들이 디도스 해킹을 지시했다는 기록인 로그(log)를 지워버립니다. 경찰이 해킹용의자를 한 달도 되지 않아서 붙잡았는데, 로그 기록을 확보하지 않고서는 불가능한 일입니다. 용의자들이 로그인 기록을 지울 기술도 없는 초보들이라는 얘기죠.”
―두 시간 넘게 선관위 홈페이지가 마비됐습니다. 원인과 책임을 따진다면요.
“선거 당일 홈페이지를 공격했으니 해커들의 목적이 선거방해였음은 분명합니다. 이를 막았어야 할 선관위가 태만(怠慢)했던 것이죠. 새벽이어서 방심했을 수도 있습니다. 선거당일 접속이 폭주할 것을 예상해 갑자기 방문자가 늘어난 것을 대수롭지 않게 여겼을 수도 있고요. 어설픈 공격으로 볼 때 사전에 준비한 것이 아니라 우발적(偶發的)으로 급조한 것이 확실합니다. 이 정도 공격에 두 시간 동안 속수무책으로 당한 것이 이해가 되지 않습니다.”
―디도스 공격을 위해서는 좀비PC가 있어야 하고, 이를 확보하기 위해서는 시간과 자금이 필요한 것으로 알려져 있습니다. 어느 정도 필요합니까.
“디도스 공격을 감행한 최 의원 비서의 고향 후배 강모(25·구속)씨는 인터넷 도박사이트를 운영했습니다. 도박사이트 운영자들은 경쟁 도박사이트의 영업을 방해하기 위해 좀비PC를 가지고 있는 경우가 많습니다. 강씨 역시 상당수의 좀비PC를 이미 가지고 있었을 것입니다. 좀비PC는 악성코드를 심어놓은 동영상을 유포시키는 방법으로 쉽게 만들 수 있습니다. 따라서 이번 선관위 디도스 공격은 큰 비용 없이 가능했을 겁니다. 악성코드 유포를 통해 좀비PC를 확보하기 위해서는 수개월의 시간이 소요됩니다. 그러나 인터넷에서 디도스 공격을 위한 좀비PC를 구입하면 되기 때문에 마음만 먹는다면 시간은 크게 문제가 되지 않습니다. 좀비PC 하나에 500원에서 1000원 사이로 거래되는 실정이죠. 공격에 200대의 좀비PC가 동원됐다고 하는데 20만원이면 충분합니다.”
“선수級의 디도스 공격은 적발 어려워”
―감염시킨 좀비PC는 어떻게 이용합니까?
“해킹 툴에 좀비PC의 IP주소가 나타납니다. 사용하고 싶은 좀비PC들을 선택한 다음 디도스 공격을 지시하기만 하면 됩니다. 보안시스템에 따라 공격에 동원되는 좀비PC의 숫자를 달리합니다.”
―공격에 동원하는 좀비PC의 수는 어느 정도입니까?
“요즘은 1만 대 이상 동원하는 경우가 흔합니다. 최근 8만 대를 공격에 동원한 경우도 있었습니다. 좀비PC 하나당 약 2M(메가)bps의 용량을 가지고 있습니다. 8만 대의 좀비PC가 동원되면 160G(기가)bps의 용량을 갖게 됩니다. 이 정도 공격이면 상당수 관공서가 무력화됩니다. 다만 특별한 이유 없이 자신의 해킹 실력을 자랑하기 위해 공공기관을 공격하는 해커는 많지 않습니다. 이런 대규모 공격은 사설 도박사이트 등 경찰 신고가 어려운 불법사이트를 목표로 합니다. 예를 들어 도박사이트 운영자가 해커에게 ‘경쟁 도박사이트를 다운(down)시켜 주면 1000만원을 줄 테니 디도스 공격을 해달라’는 식입니다.”
―디도스 공격이 사라지지 않는 이유는 무엇입니까.
“적발과 처벌이 어렵기 때문입니다. 디도스 공격 서버를 해외에 차려 놓고, 해킹 후 관련 기록을 지워버리면 범인을 찾는 것이 현실적으로 어렵습니다. 설사 해킹 기록을 확보해도 사법처리를 위해서는 현금이 오간 통장, 통신기록 등 추가 증거가 필요합니다. 디도스 공격으로 인한 무형의 피해를 구체적으로 산출하는 것도 어렵습니다.”
보안전문가들이 이번 디도스 공격을 ‘애들 수준’으로 낮게 평가하면서, 관리 책임이 있는 선관위는 곤혹스러워 하고 있다. 특히 경찰조사 결과 디도스 공격에 사용된 좀비PC가 불과 200대에 불과한 것으로 밝혀지면서, 선관위는 “고작 200대에 무너진 것이 한심하다. 만일 7·7 사이버 대란과 같이 수십만 대의 공격을 받았으면 하루종일 선관위 홈페이지가 마비됐을 것”이라는 비판을 받고 있다.
정부 주요기관의 사이버 보안 책임은 정부통합전산센터와 국정원 사이버안전센터에 있다. 그러나 선관위는 독립된 헌법기관이라는 이유로 자체적으로 보안대책을 수립·운영하고 있다. 선관위 전산 책임자는 “재보선으로 접속자가 늘어날 것으로 예상해 평소 30Mbps였던 접속용량을 465Mbps로 10배 이상 늘리는 등 대책을 수립했다”고 해명했다. 그러나 선관위의 해명은 궁색하다는 비판이 많다.
임종인 고려대 정보보호대학원 교수는 “465Mbps는 좀비PC 200대로 충분히 무너뜨릴 수 있는 낮은 용량”이라며 “디도스 공격 당시 선관위가 실수를 많이 했던 것으로 보인다”고 말했다. 임 교수는 “(선관위 대응에 대한) 의혹을 없애기 위해 민간전문가들이 참여하는 조사위원회를 만들어야 한다”고 주장했다.
진화하는 디도스 공격 기술
2009년 7월 7일부터 사흘간 정부·언론사·포털 등 23개 주요 사이트가 디도스 공격에 휘청거렸다. 당시 공격을 받은 사이트들은 접속이 지연되거나 다운됐다. 당시 사건은 7·7 사이버 대란으로 불리며 사이버테러에 대비해야 한다는 인식을 불러 일으켰다. 그 후 민관(民官) 할 것 없이 경쟁적으로 디도스 대비책 마련에 총력을 기울이고 있지만 2011년 초 또다시 대규모 공격에 속수무책으로 당했다. 뛰는 놈(보안업체·기관) 위에 나는 놈(해커)이 있는 형국이다.
실제 해킹 기술은 나날이 발전하고 있다.
서울지방경찰청 사이버범죄수사대는 2011년 10월 기존 디도스 공격용 해킹 프로그램에 도청(盜聽)·도촬(盜撮) 기능을 추가시킨 프로그램을 1000만원에 판매한 중국 조선족 해커를 검거했다. 해킹 프로그램 매매에 1만3000대의 좀비PC가 함께 거래됐다. 해킹 프로그램을 이용하면 상대방의 사생활과 금융정보를 손금 보듯이 볼 수 있는 것으로 알려졌다.
디도스 범죄를 수사해 온 임판준 사이버 수사대 디지털분석관은 “해킹 프로그램이 꾸준히 발전하고 있어 수사가 어렵다”고 말했다. 임 분석관의 설명이다.
“디도스 공격의 힘은 좀비PC의 수에 비례(比例)하는데 디도스 공격에 사용되는 좀비PC가 기하급수적(幾何級數的)으로 증가하고 있습니다. 수십만 좀비PC가 디도스 공격에 이용될 것이 우려됩니다. 가장 쉽게 구할 수 있는 N해킹 프로그램의 경우 좀비파일 만들기 기능이 있습니다. 좀비파일을 음란영상물에 붙여서 유포시키는 것이죠. 기사를 보기 위해 언론사 홈페이지에 접속하면 자동으로 감염되게 만들기도 합니다. 해커들은 수사기관의 추적을 피하기 위해 특정 시점에 디도스 공격을 하도록 미리 공격 명령을 내리고 관련 기록을 모두 지워버립니다. 요즘은 컴퓨터를 꺼버리면 자동으로 해킹 기록이 사라지게 하는 프로그램까지 개발됐습니다.”
디도스 공격은 그 자체만으로 경제적 이득이 없다. 반면 사회적 파장은 크다. 따라서 뚜렷한 이득도 없이 수사기관의 추격이 예상되는 디도스 공격을 감행할 해커는 많지 않다. 그러나 디도스 공격이 사이버 전쟁에 이용된다면 이야기는 달라진다. 진화된 해킹 기술을 이용해 북한 등 외부세력이 무차별적(無差別的)인 디도스 공격을 감행할 경우 대한민국이 흔들릴 수 있다. 실제 7·7 사이버 대란의 주범으로 북한이 지목되고 있다. 당시 국정원, 검찰 등 수사기관은 북한이 중국에서 대여해 사용하고 있는 IP 주소가 디도스 공격에 연관되어 있음을 근거로 북한이 사이버 대란의 배후라고 밝혔다.
“대한민국이 무너질 수도 있다”
북한의 무차별적인 사이버 공격이 현실화될 경우 엄청난 피해가 예상된다. 북한은 이미 사이버 전쟁 준비를 마쳤다.
인터넷 보안전문가 A씨는 “북한의 사이버전 능력은 세계적으로 주목받고 있다”며 “북한이 관련된 디도스 공격 사건의 경우 몇 년이 지나서야 실체가 확인될 정도로 수준 높은 기술을 보유하고 있다”고 전했다. A씨는 “지금까지 북한의 디도스 공격은 전력을 향상시키기 위한 연습이었다”며 “전면(全面) 공격에 나설 경우 큰 혼란이 예상된다”고 설명했다.
이에 대해 이창범 한국법률문화연구원 원장(전 KISA법제분석팀장)은 “북한이 대한민국을 전복시키는 데(군사력을 이용한) 전쟁은 필요 없다”며 “사이버 테러를 통해 대한민국이 흔들릴 수 있다”고 경고했다. 이 원장의 경고는 구체적이다.
이 원장은 “내가 북한 사이버 테러 담당자라면 인터넷 보안책임자들을 관리하겠다. 북한이 5∼10년 장기 목표를 잡아 이들을 관리하면 대한민국은 전쟁 없이 무너질 수 있다. 보안관리자들은 승진이 빠르다. 이들이 (북한이 디도스 공격 등 사이버 테러를 일으킬 때) 악성코드가 들어오는 문을 열어 놓으면 대한민국은 극심한 혼란에 빠질 것”이라고 말했다.
뿐만 아니다. 북한이 청와대, 국방부 등을 공격할 수도 있다. 보안전문가 A씨는 “국방부 등 안보기관의 정보네트워크는 내부정보를 보호하기 위해 외부의 접근을 원천적으로 차단하는 ‘폐쇄(閉鎖)망’ 형태로 운용하고 있다. 그러나 ‘폐쇄망’이라도 외부와 연결되어 있는 입구(gate way)가 있기 마련이다. 북한이 게이트웨이를 통해 해킹을 시도할 가능성이 있다”고 설명했다.
이렇듯 사이버 테러 위협은 눈앞의 불이다. 그러나 이를 막기 위한 법적, 제도적 노력은 부족하다. 2011년 4월 국회 문화체육관광방송통신위원회에는 디도스 공격을 막기 위한 ‘악성프로그램 확산방지 등에 관한 법률안’(일명 좀비PC 방지법)이 상정됐지만 ‘개인의 인터넷 접속을 제한’할 수 있다는 이유로 발목이 잡혀 있다.
이 법은 디도스 공격에 악용되는 좀비PC의 확산을 막기 위해 ▲인터넷에 접속하는 모든 컴퓨터에 백신 소프트웨어 설치를 의무화하고 ▲웹사이트 운영자 등의 관리 의무를 강화하며 ▲방송통신위원회에 좀비PC에 관한 자료 수집 및 조사 권한 등을 부여하는 것을 골자로 하고 있다.
좀비PC 방지법은 일부 시민단체와 야당이 ‘온라인 통제를 강화하기 위한 꼼수’라며 적극적으로 반대하고 있어 국회통과가 안갯속이다.
이에 대해 법안 실무를 담당한 이창범 원장은 “전염병이 유행할 경우 백신 접종을 강제하듯 악성바이러스에 감염된 좀비PC의 치료를 강제하는 것은 당연하다”고 주장했다. 이 원장은 “북한의 사이버 테러, 민족 감정에 편승한 중국·일본의 공격에 대비하기 위한 대비책을 마련하기 위해 좀비PC법이 필요하다”고 덧붙였다.
좀비PC법의 최대 수혜자는 안철수 연구소
좀비PC법 논란의 중심에는 사이버 보안업체 ‘안철수 연구소’가 있다. 만일 좀비PC법이 국회를 통과해 백신 소프트웨어 설치가 의무화될 경우 인터넷 백신 업계의 대표기업인 ‘안철수 연구소’가 가장 큰 수혜를 입을 것으로 예상된다. 중소 보안업체들은 “정부가 ‘안철수 연구소’ 같은 대형 보안업체에 특혜를 주기 위해 좀비PC법을 추진하고 있다”고 주장한다. 이에 대해 이 원장은 다음과 같이 설명했다.
“법안은 특정 보안프로그램의 사용을 강제하지 않습니다. 정부는 프로그램을 배포할 뿐입니다. 프로그램을 배포하면서 업체들의 성능이 검증된 백신프로그램들을 함께 소개합니다. 이를 보고 원하는 보안프로그램을 설치하면 되는 것입니다. 보안업체들은 정부가 백신프로그램의 성능을 평가하는 것에 거부반응을 갖지만 소비자들은 알권리가 있습니다. ‘안철수 연구소’만 가만히 앉아 돈을 벌고 중소업체는 다 죽는다는 주장이 있는데, ‘안철수 연구소’ 역시 아시아의 조그만 회사에 불과합니다. 좋은 감기약을 만들기 위해서 감기바이러스를 많이 확보해야 하는 것처럼, 성능 좋은 백신프로그램을 만들기 위해서는 전(全) 세계의 악성코드를 다 수집해야 합니다. 정부와 민간기업이 함께 효과 있는 백신을 개발하자는 취지죠.”
과거 사이버 보안은 정보의 유출을 막는 데 집중됐다.(confidential) 그러나 디도스 공격이라는 해킹 기법의 등장으로 인터넷 서비스의 연속성 유지 역시 중요한 보안의 핵심 요소가 됐다.(availability) 이제 인터넷이 없으면 사회 자체가 유지될 수 없다. 그러나 핵심 기반시설인 정보통신망은 디도스 공격과 같은 사이버 공격에 지속적으로 위협받고 있다. 보안 관련 제도 정비를 미룰 수 없는 이유이다.⊙
지난 2011년 12월 7일 유명 여성방송인 A양의 은밀한 사생활이 담긴 동영상이 인터넷과 스마트폰을 통해 급속도로 유포(流布)됐다.
파일공유(P2P) 사이트, 동호회 블로그, 소셜네트워크서비스(SNS) 등에 온종일 불이 났다. 동영상을 구할 수 있는 방법을 알려달라는 요청이었다. 검색어에는 연일 A양 동영상이 1위에서 떨어질 줄 몰랐다. “죄 없는 여성의 인권이 무너지는 것이 안타깝다. 동영상을 퍼트리지 말자”는 자성의 목소리도 없는 것이 아니었지만, 집단 관음증(觀淫症) 앞에서 이런 도덕적 목소리는 작아지게 돼 있다.
욕망의 ‘불도가니’가 되어 후끈 달아오른 사이버세계를 진정시키기 위해 한국인터넷진흥원(KISA) 등 관련 기관들이 대책 마련에 골몰했지만 역부족이었다. 급속도로 음란(淫亂) 동영상이 퍼져나간 당일 사이버보안업체들은 하루종일 초비상이었다. 이들의 관심은 해당 여성방송인의 사생활이 아니었다.
디도스 보안업체 (주)나노아이티 박상수 총괄이사는 “동영상이 불과 몇 시간 만에 수십만 명에게 급속히 퍼져나가는 모습을 보고 중세 흑사병의 습격이 떠올랐다”고 말했다. 동영상 유포를 흑사병에 비유한 이유는 이렇다.
“불순한 의도를 가진 세력이 악성(惡性)코드를 심어놓은 동영상을 퍼트릴 수 있습니다. 그럴 경우 하루 만에 수십만 대의 컴퓨터가 좀비(살아 있는 시체)화될 수 있는 거죠. 악성코드에 오염된 좀비PC가 디도스(DDoS·분산서비스 거부) 공격에 이용될 경우 2009년 7·7 사이버 대란이 재현될 수도 있습니다.”
보안전문가의 경고는 기우(杞憂)가 아니었다. 다음 날 동영상을 내려받아 실행하면 순식간에 악성코드가 컴퓨터에 침투하는 파일이 발견됐다. 보안업체들은 이를 예방하기 위한 백신을 서둘러 배포했고, 서울지방경찰청 사이버 수사대는 유포자를 찾기 위한 수사에 착수했다. 디도스 대란(大亂)을 막기 위해 보안업체, 수사기관이 총력을 다하고 있지만 사회 혼란을 노린 해커들의 공격은 계속되고 있다.
“이번 선관위 공격은 애들 장난 수준”
 |
| 박상수 (주)나노아이티 총괄이사. |
경남 진주갑 출신 최구식 의원의 9급 수행비서 공모(27·구속)씨가 10·26 재보선 당일 중앙선거관리위원회(선관위) 홈페이지를 마비시킨 것으로 알려지면서 한나라당 지도부가 사퇴했다. 경찰이 ‘헌법기관을 유린(蹂躪)’한 사건에 당 홍보기획본부장을 맡고 있던 최 의원 비서가 관련됐다고 밝히자 한나라당은 패닉(공황) 상태에 빠졌다.
그렇다면 디도스 공격이란 무엇인가. 디도스 공격을 감행하기 위해서는 어떤 컴퓨터 실력과 기간, 비용이 필요할까. 컴퓨터에 밝지 않은 일반인으로선 궁금증이 한두 가지가 아니다.
디도스 공격이란 특정 홈페이지를 공격하기 위해 악성코드를 여러 컴퓨터에 심어 만든 좀비PC를 이용해 공격 목표 컴퓨터 시스템에 처리할 수 없는 엄청난 분량의 정보를 동시에 범람시켜 네트워크의 성능 저하(低下)나 시스템 마비를 불러 일으키는 것을 말한다. 추석·설날 같은 명절에 차량이 갑자기 많이 몰리면 고속도로가 마비되는 것과 똑같은 이치다.
이와 같이 디도스 공격을 위해서는 좀비PC를 만드는 등 범행을 위한 준비가 필요하다. 이 때문에 선관위 공격에 배후세력이 있거나 사전에 범행을 모의했다는 의혹이 제기되고 있다. 디도스 전문가 나노아이티 박상수 총괄이사는 “이번 사건은 애들 장난 수준에 불과하다”며 “해킹에 조금만 관심이 있으면 누구나 할 수 있는 일”이라고 말했다. 박 이사와의 문답이다.
―선관위 홈페이지가 마비됐는데, 이번 디도스 공격을 어떻게 평가해야 하나요.
“애들 장난 수준에 불과합니다. 흔히 스크립트 키디(Script Kiddie)라고 부르는 아마추어 해커의 소행으로 봅니다.”
디도스 공격보다 그 정도에 뚫린 선관위가 한심
―수준을 낮게 보는 이유라도 있습니까.
“선관위 공격은 인터넷에서 쉽게 구할 수 있는 해킹 툴(도구)을 이용했더군요. 해킹 툴에 공격 목표의 홈페이지 주소를 입력하기만 하면 자동으로 공격이 시작되는 것입니다. 또 해킹에 전문적인 지식이 있는 해커는 자신들이 디도스 해킹을 지시했다는 기록인 로그(log)를 지워버립니다. 경찰이 해킹용의자를 한 달도 되지 않아서 붙잡았는데, 로그 기록을 확보하지 않고서는 불가능한 일입니다. 용의자들이 로그인 기록을 지울 기술도 없는 초보들이라는 얘기죠.”
―두 시간 넘게 선관위 홈페이지가 마비됐습니다. 원인과 책임을 따진다면요.
“선거 당일 홈페이지를 공격했으니 해커들의 목적이 선거방해였음은 분명합니다. 이를 막았어야 할 선관위가 태만(怠慢)했던 것이죠. 새벽이어서 방심했을 수도 있습니다. 선거당일 접속이 폭주할 것을 예상해 갑자기 방문자가 늘어난 것을 대수롭지 않게 여겼을 수도 있고요. 어설픈 공격으로 볼 때 사전에 준비한 것이 아니라 우발적(偶發的)으로 급조한 것이 확실합니다. 이 정도 공격에 두 시간 동안 속수무책으로 당한 것이 이해가 되지 않습니다.”
―디도스 공격을 위해서는 좀비PC가 있어야 하고, 이를 확보하기 위해서는 시간과 자금이 필요한 것으로 알려져 있습니다. 어느 정도 필요합니까.
“디도스 공격을 감행한 최 의원 비서의 고향 후배 강모(25·구속)씨는 인터넷 도박사이트를 운영했습니다. 도박사이트 운영자들은 경쟁 도박사이트의 영업을 방해하기 위해 좀비PC를 가지고 있는 경우가 많습니다. 강씨 역시 상당수의 좀비PC를 이미 가지고 있었을 것입니다. 좀비PC는 악성코드를 심어놓은 동영상을 유포시키는 방법으로 쉽게 만들 수 있습니다. 따라서 이번 선관위 디도스 공격은 큰 비용 없이 가능했을 겁니다. 악성코드 유포를 통해 좀비PC를 확보하기 위해서는 수개월의 시간이 소요됩니다. 그러나 인터넷에서 디도스 공격을 위한 좀비PC를 구입하면 되기 때문에 마음만 먹는다면 시간은 크게 문제가 되지 않습니다. 좀비PC 하나에 500원에서 1000원 사이로 거래되는 실정이죠. 공격에 200대의 좀비PC가 동원됐다고 하는데 20만원이면 충분합니다.”
“선수級의 디도스 공격은 적발 어려워”
 |
| 지난 10·26 재보궐선거 당일 중앙선거관리위원회 홈페이지를 디도스 공격한 범인이 한나라당 최구식 의원의 직원인 것으로 드러난 2011년 12월 2일 최 의원이 국회 정론관에서 입장을 밝힌 뒤 회견장을 떠나고 있다. |
“해킹 툴에 좀비PC의 IP주소가 나타납니다. 사용하고 싶은 좀비PC들을 선택한 다음 디도스 공격을 지시하기만 하면 됩니다. 보안시스템에 따라 공격에 동원되는 좀비PC의 숫자를 달리합니다.”
―공격에 동원하는 좀비PC의 수는 어느 정도입니까?
“요즘은 1만 대 이상 동원하는 경우가 흔합니다. 최근 8만 대를 공격에 동원한 경우도 있었습니다. 좀비PC 하나당 약 2M(메가)bps의 용량을 가지고 있습니다. 8만 대의 좀비PC가 동원되면 160G(기가)bps의 용량을 갖게 됩니다. 이 정도 공격이면 상당수 관공서가 무력화됩니다. 다만 특별한 이유 없이 자신의 해킹 실력을 자랑하기 위해 공공기관을 공격하는 해커는 많지 않습니다. 이런 대규모 공격은 사설 도박사이트 등 경찰 신고가 어려운 불법사이트를 목표로 합니다. 예를 들어 도박사이트 운영자가 해커에게 ‘경쟁 도박사이트를 다운(down)시켜 주면 1000만원을 줄 테니 디도스 공격을 해달라’는 식입니다.”
―디도스 공격이 사라지지 않는 이유는 무엇입니까.
“적발과 처벌이 어렵기 때문입니다. 디도스 공격 서버를 해외에 차려 놓고, 해킹 후 관련 기록을 지워버리면 범인을 찾는 것이 현실적으로 어렵습니다. 설사 해킹 기록을 확보해도 사법처리를 위해서는 현금이 오간 통장, 통신기록 등 추가 증거가 필요합니다. 디도스 공격으로 인한 무형의 피해를 구체적으로 산출하는 것도 어렵습니다.”
보안전문가들이 이번 디도스 공격을 ‘애들 수준’으로 낮게 평가하면서, 관리 책임이 있는 선관위는 곤혹스러워 하고 있다. 특히 경찰조사 결과 디도스 공격에 사용된 좀비PC가 불과 200대에 불과한 것으로 밝혀지면서, 선관위는 “고작 200대에 무너진 것이 한심하다. 만일 7·7 사이버 대란과 같이 수십만 대의 공격을 받았으면 하루종일 선관위 홈페이지가 마비됐을 것”이라는 비판을 받고 있다.
정부 주요기관의 사이버 보안 책임은 정부통합전산센터와 국정원 사이버안전센터에 있다. 그러나 선관위는 독립된 헌법기관이라는 이유로 자체적으로 보안대책을 수립·운영하고 있다. 선관위 전산 책임자는 “재보선으로 접속자가 늘어날 것으로 예상해 평소 30Mbps였던 접속용량을 465Mbps로 10배 이상 늘리는 등 대책을 수립했다”고 해명했다. 그러나 선관위의 해명은 궁색하다는 비판이 많다.
임종인 고려대 정보보호대학원 교수는 “465Mbps는 좀비PC 200대로 충분히 무너뜨릴 수 있는 낮은 용량”이라며 “디도스 공격 당시 선관위가 실수를 많이 했던 것으로 보인다”고 말했다. 임 교수는 “(선관위 대응에 대한) 의혹을 없애기 위해 민간전문가들이 참여하는 조사위원회를 만들어야 한다”고 주장했다.
진화하는 디도스 공격 기술
 |
| 디도스 공격을 위한 좀비PC가 거래되고 있는 인터넷 사이트. |
실제 해킹 기술은 나날이 발전하고 있다.
서울지방경찰청 사이버범죄수사대는 2011년 10월 기존 디도스 공격용 해킹 프로그램에 도청(盜聽)·도촬(盜撮) 기능을 추가시킨 프로그램을 1000만원에 판매한 중국 조선족 해커를 검거했다. 해킹 프로그램 매매에 1만3000대의 좀비PC가 함께 거래됐다. 해킹 프로그램을 이용하면 상대방의 사생활과 금융정보를 손금 보듯이 볼 수 있는 것으로 알려졌다.
디도스 범죄를 수사해 온 임판준 사이버 수사대 디지털분석관은 “해킹 프로그램이 꾸준히 발전하고 있어 수사가 어렵다”고 말했다. 임 분석관의 설명이다.
“디도스 공격의 힘은 좀비PC의 수에 비례(比例)하는데 디도스 공격에 사용되는 좀비PC가 기하급수적(幾何級數的)으로 증가하고 있습니다. 수십만 좀비PC가 디도스 공격에 이용될 것이 우려됩니다. 가장 쉽게 구할 수 있는 N해킹 프로그램의 경우 좀비파일 만들기 기능이 있습니다. 좀비파일을 음란영상물에 붙여서 유포시키는 것이죠. 기사를 보기 위해 언론사 홈페이지에 접속하면 자동으로 감염되게 만들기도 합니다. 해커들은 수사기관의 추적을 피하기 위해 특정 시점에 디도스 공격을 하도록 미리 공격 명령을 내리고 관련 기록을 모두 지워버립니다. 요즘은 컴퓨터를 꺼버리면 자동으로 해킹 기록이 사라지게 하는 프로그램까지 개발됐습니다.”
디도스 공격은 그 자체만으로 경제적 이득이 없다. 반면 사회적 파장은 크다. 따라서 뚜렷한 이득도 없이 수사기관의 추격이 예상되는 디도스 공격을 감행할 해커는 많지 않다. 그러나 디도스 공격이 사이버 전쟁에 이용된다면 이야기는 달라진다. 진화된 해킹 기술을 이용해 북한 등 외부세력이 무차별적(無差別的)인 디도스 공격을 감행할 경우 대한민국이 흔들릴 수 있다. 실제 7·7 사이버 대란의 주범으로 북한이 지목되고 있다. 당시 국정원, 검찰 등 수사기관은 북한이 중국에서 대여해 사용하고 있는 IP 주소가 디도스 공격에 연관되어 있음을 근거로 북한이 사이버 대란의 배후라고 밝혔다.
“대한민국이 무너질 수도 있다”
북한의 무차별적인 사이버 공격이 현실화될 경우 엄청난 피해가 예상된다. 북한은 이미 사이버 전쟁 준비를 마쳤다.
인터넷 보안전문가 A씨는 “북한의 사이버전 능력은 세계적으로 주목받고 있다”며 “북한이 관련된 디도스 공격 사건의 경우 몇 년이 지나서야 실체가 확인될 정도로 수준 높은 기술을 보유하고 있다”고 전했다. A씨는 “지금까지 북한의 디도스 공격은 전력을 향상시키기 위한 연습이었다”며 “전면(全面) 공격에 나설 경우 큰 혼란이 예상된다”고 설명했다.
이에 대해 이창범 한국법률문화연구원 원장(전 KISA법제분석팀장)은 “북한이 대한민국을 전복시키는 데(군사력을 이용한) 전쟁은 필요 없다”며 “사이버 테러를 통해 대한민국이 흔들릴 수 있다”고 경고했다. 이 원장의 경고는 구체적이다.
이 원장은 “내가 북한 사이버 테러 담당자라면 인터넷 보안책임자들을 관리하겠다. 북한이 5∼10년 장기 목표를 잡아 이들을 관리하면 대한민국은 전쟁 없이 무너질 수 있다. 보안관리자들은 승진이 빠르다. 이들이 (북한이 디도스 공격 등 사이버 테러를 일으킬 때) 악성코드가 들어오는 문을 열어 놓으면 대한민국은 극심한 혼란에 빠질 것”이라고 말했다.
뿐만 아니다. 북한이 청와대, 국방부 등을 공격할 수도 있다. 보안전문가 A씨는 “국방부 등 안보기관의 정보네트워크는 내부정보를 보호하기 위해 외부의 접근을 원천적으로 차단하는 ‘폐쇄(閉鎖)망’ 형태로 운용하고 있다. 그러나 ‘폐쇄망’이라도 외부와 연결되어 있는 입구(gate way)가 있기 마련이다. 북한이 게이트웨이를 통해 해킹을 시도할 가능성이 있다”고 설명했다.
이렇듯 사이버 테러 위협은 눈앞의 불이다. 그러나 이를 막기 위한 법적, 제도적 노력은 부족하다. 2011년 4월 국회 문화체육관광방송통신위원회에는 디도스 공격을 막기 위한 ‘악성프로그램 확산방지 등에 관한 법률안’(일명 좀비PC 방지법)이 상정됐지만 ‘개인의 인터넷 접속을 제한’할 수 있다는 이유로 발목이 잡혀 있다.
이 법은 디도스 공격에 악용되는 좀비PC의 확산을 막기 위해 ▲인터넷에 접속하는 모든 컴퓨터에 백신 소프트웨어 설치를 의무화하고 ▲웹사이트 운영자 등의 관리 의무를 강화하며 ▲방송통신위원회에 좀비PC에 관한 자료 수집 및 조사 권한 등을 부여하는 것을 골자로 하고 있다.
좀비PC 방지법은 일부 시민단체와 야당이 ‘온라인 통제를 강화하기 위한 꼼수’라며 적극적으로 반대하고 있어 국회통과가 안갯속이다.
이에 대해 법안 실무를 담당한 이창범 원장은 “전염병이 유행할 경우 백신 접종을 강제하듯 악성바이러스에 감염된 좀비PC의 치료를 강제하는 것은 당연하다”고 주장했다. 이 원장은 “북한의 사이버 테러, 민족 감정에 편승한 중국·일본의 공격에 대비하기 위한 대비책을 마련하기 위해 좀비PC법이 필요하다”고 덧붙였다.
좀비PC법의 최대 수혜자는 안철수 연구소
좀비PC법 논란의 중심에는 사이버 보안업체 ‘안철수 연구소’가 있다. 만일 좀비PC법이 국회를 통과해 백신 소프트웨어 설치가 의무화될 경우 인터넷 백신 업계의 대표기업인 ‘안철수 연구소’가 가장 큰 수혜를 입을 것으로 예상된다. 중소 보안업체들은 “정부가 ‘안철수 연구소’ 같은 대형 보안업체에 특혜를 주기 위해 좀비PC법을 추진하고 있다”고 주장한다. 이에 대해 이 원장은 다음과 같이 설명했다.
“법안은 특정 보안프로그램의 사용을 강제하지 않습니다. 정부는 프로그램을 배포할 뿐입니다. 프로그램을 배포하면서 업체들의 성능이 검증된 백신프로그램들을 함께 소개합니다. 이를 보고 원하는 보안프로그램을 설치하면 되는 것입니다. 보안업체들은 정부가 백신프로그램의 성능을 평가하는 것에 거부반응을 갖지만 소비자들은 알권리가 있습니다. ‘안철수 연구소’만 가만히 앉아 돈을 벌고 중소업체는 다 죽는다는 주장이 있는데, ‘안철수 연구소’ 역시 아시아의 조그만 회사에 불과합니다. 좋은 감기약을 만들기 위해서 감기바이러스를 많이 확보해야 하는 것처럼, 성능 좋은 백신프로그램을 만들기 위해서는 전(全) 세계의 악성코드를 다 수집해야 합니다. 정부와 민간기업이 함께 효과 있는 백신을 개발하자는 취지죠.”
과거 사이버 보안은 정보의 유출을 막는 데 집중됐다.(confidential) 그러나 디도스 공격이라는 해킹 기법의 등장으로 인터넷 서비스의 연속성 유지 역시 중요한 보안의 핵심 요소가 됐다.(availability) 이제 인터넷이 없으면 사회 자체가 유지될 수 없다. 그러나 핵심 기반시설인 정보통신망은 디도스 공격과 같은 사이버 공격에 지속적으로 위협받고 있다. 보안 관련 제도 정비를 미룰 수 없는 이유이다.⊙
