⊙ 청와대 건물 구조·용도 역시 온라인에서 확보 가능
⊙ 스트랫포 유출은 안보 災殃
⊙ 한승주 전 외무부장관 이메일 해킹
⊙ 스트랫포 유출은 안보 災殃
⊙ 한승주 전 외무부장관 이메일 해킹
2011년 3월 하늘길의 안전을 책임지는 ‘항공교통관제사’ A씨는 자신의 블로그에 다음과 같은 글을 올렸다.
<지난 2010년 7월 16일 관제업무를 보던 중 보잉사 호출부호를 사용한 항공기가 사천공항에 입항했었다. 호출부호 ○○, 기종 ○○, 등록부호 ○○, 출발공항은 괌이었다. 처음에는 보잉 호출부호를 사용하는 B737이 사천에 어떤 일로 왔을까 궁금했다. 분명 창원 한국항공우주산업(KAI) 공장으로 갈 것으로 예상했지만 정확한 목적은 비행계획서만으로는 알 수 없었다. 이후 인터넷의 군사 및 항공관련 동호인들 사이에서 공군 조기경보기로 사용할 B737이 사천 KAI에 들어왔다는 소문을 들을 수 있었다. 그 때 내가 관제했던 항공기가 바로 그 항공기였다는 것을 알 수 있었다.>
A씨는 글만 남긴 것이 아니다. B737 비행계획서 전문과 입항 비행경로까지 공개했다.
항공교통관제사는 국토해양부 소속 공무원이다. 공무원은 업무수행 과정에서 얻은 정보를 누설해서는 안 된다(국가공무원법 제60조·지방공무원법 제52조).
전 기무사령관 출신의 김종태 의원(새누리당)은 “어처구니없는 사고가 보안의식이 부족해 발생했다. 중요한 비밀을 블로그에 올린 관제사뿐 아니라 보안 교육·관리를 책임진 보안관계관 역시 책임을 피할 수 없다”고 말했다.
‘비밀엄수(嚴守) 의무’는 위법 여부도 문제지만 기본적으로는 상식(常識)과 양식(良識)의 문제이기도 하다. 해당 사례는 국가안보에 영향을 줄 수 있는 정보를 직간접적으로 얻을 수 있는 항공업계 종사자들의 보안의식에 의문을 갖게 한다. 당시 A씨는 블로그 내용이 보안 문제로 논란이 되자 조기경보기 관련 내용을 삭제(削除)했다.
《시크릿 오브 코리아》의 저자인 재미 언론인 안치용씨는 “국내외에서 수도 없이 이뤄지고 있는 정보유출에 대해 한국의 정보당국과 시민들의 보안의식 수준이 너무 낮다”며 수년 동안 수집한 자료를 기자에게 제공했다. 정보유출은 이런 것들뿐이 아니었고, 보안사고는 국내외를 막론하고 광범위하게 벌어지고 있었다.
청와대 경호시설까지 노출
청와대를 구성하는 건물의 수, 용도, 면적을 알기 위해서는 어떻게 해야 할까. 작년 5월까지는 인터넷 검색으로 쉽게 알 수 있었다. 청와대 주소(서울시 종로구 세종로 1번지)를 서울시 부동산 종합정보 서비스를 통해 검색하면 건물 용도, 건축물 명칭, 주용도, 연면적(㎡), 공시지가를 알 수 있었다. 청와대 경호상황실, 경호동, 경비실, 관리동, 사무실, 안내실, 발전실, 내무반 등의 면적도 한눈에 볼 수 있었다. 특히 경호시설은 상황실, 경호별관 등으로 구분해서 자세히 검색 가능했다.
서울시의 온라인 부동산 정보서비스는 2010년 9월부터 시작됐다. 서울시는 작년 5월 정보서비스에서 청와대를 제외했다. 청와대 건물대장은 현재는 검색이 불가능하지만 과거 일 년 가까이 누구나 쉽게 검색할 수 있는 자료였다는 점에서 이미 알 사람은 다 알고 있는 정보로 보아야 한다. 안치용씨는 이와 관련해 이렇게 말했다.
“청와대는 서울시 종합정보 시스템 자체를 몰랐을 수 있습니다. 그런데 작년 5월 국정원 시설은 검색이 되지 않았습니다. 최소한 국정원은 서울시 검색시스템을 알고 있었다는 것이죠. 자신들은 보안조치를 취하면서 더 중요한 청와대를 그대로 방치했다는 것이죠. 실소(失笑)를 금치 못할 일입니다.”
황당한 일은 더 있다. 미국 지도검색 서비스 ‘구글 어스(Google Earth)’는 청와대 등 주요 보안시설을 모자이크 처리해 달라는 한국정부의 요구를 ‘네티즌 정보 공유와 알권리 보장’을 명분으로 처음 문제가 제기된 2005년부터 지금까지 거부하고 있다. 네이버 지도 등 한국 검색 서비스만 보안시설을 지도에서 지우고 있어 ‘역차별’ 논란까지 제기되는 실정이다.
그 결과 지금도 인터넷을 통해 주요 군사·안보 시설의 항공사진을 쉽게 구할 수 있다. 전세계 누구나 쉽게 얻을 수 있는 자료가 과연 비밀이 될 수 있는지는 의문이다. 지하에 설치되어 있지 않는 한 안보시설의 위치, 규모는 이미 노출됐다고 보아야 한다. 청와대의 경우 각 건물의 용도까지 노출됐다는 점에서 문제는 더욱 심각하다. 청와대 어디에서 누가 무엇을 하고 있는지 쉽게 짐작할 수 있는 것이다.
국회 회의록은 국방비밀 보관창고
국회 회의록을 통해 무분별하게 공개되고 있는 군사정보는 더욱 문제다. 기본적으로 국민들은 국회에서 공개되고 논의되는 모든 내용에 대한 알권리가 있다. 이는 헌법상의 권리이다. 헌법 제50조는 원칙적으로 ‘국회의 회의는 공개한다’고 선언하고, 예외적으로 ‘출석의원 과반수의 찬성이 있거나 의장이 국가의 안전보장을 위하여 필요하다고 인정할 때에는 공개하지 아니할 수 있다’고 되어 있다. 이에 따라 국회사무처는 각 상임위원회의 속기록과 정부에서 국회에 보고하는 서면답변서를 인터넷을 통해 공개하고 있다. 그러나 “국회 회의록에 국가안보에 영향을 미치는 민감한 자료가 무분별하게 공개되고 있다”는 문제제기가 있어 왔던 것이 사실이다. 예를 들면 다음과 같다.
2010년 10월 7일 국회 국방위원회는 국방위 회의실에서 방위사업청·국방과학연구소·국방기술품질원에 대한 국정감사를 실시했다. 이에 대한 서면질의·답변서에는 비문(秘文)으로 분류된 항공기 장기운용 현황과 보유 대수, 15개 주요 전력사업 총사업비 증가, 민간기업에 의뢰한 선행연구 수행사업 현황 등 민감한 군사정보를 담고 있다.
해당 자료는 누구나 쉽게 온라인 클릭 한 번으로 구할 수 있다. 대한민국 국회 온라인 회의록 시스템에서 다운로드할 수 있기 때문이다. 구체적으로 다음과 같은 내용이 있다.
회의록은 기업들이 선행연구를 수행 중인 사업을 설명하고 있다. 지상전술C4I 2차 성능개선(LG CNS), 대대급 이하 전투지휘체계(삼성탈레스), 비행기지 대공사격통제체계(삼성탈레스), 지상전술데이터링크(삼성탈레스), 특수전 모의훈련모델(LG CNS), 항공무장효과 분석모델(심테트) 등이다. 또 당시 주요 전력사업의 총사업비 증가현황 역시 자세히 나와 있다. 차기유도무기사업(21.7% 증가), 공중조기경보기(20.6%), 고고도무인항공기(78.9%), 차기호위함(10.1%), 장보고Ⅱ 1차(23.8%), 장보고Ⅱ 2차(21%), 차기전술정보통신(34.2%), 지휘기(169.9%), 대형수송기(18.3%), 공중급유기(36%), 중고도유도무기(5.9%), 차기고속정A(6.7%), K9자주포(175.7%), K21장갑차(3.1%), 함대공유도탄(40.9%) 등 주요 전력사업 추진현황이 자세히 나와 있다. 항공기 장기운용 현황은 자료에 ‘비문’이라고 표시를 하면서도, 내용을 숨기지 않고 있다.
Ⅱ급비밀조차 관리 허술
어떻게 이런 일이 벌어질 수 있을까. 해당 자료를 인터넷에 올리는 업무를 담당하고 있는 국회사무처 직원은 이렇게 설명했다.
“국정감사 기간에 의원들이 서면으로 질의를 하면 국방부 담당 기관이 의원들의 답변을 모은 자료집을 만들어서 의원들과 속기업무 담당 직원에게 전달합니다. 저희는 내용을 판단할 권한이 없습니다. 제출 기관이 비밀 부분을 빼고 주든가 아니면 의원실에서 삭제를 지시해야 합니다. 사실 의원들이 답변서를 확인하지 않는 경우가 많아요. 그래서 이번같이 민감한 내용이 담겨 있을 경우 그대로 노출되는 것입니다.”
18대 국회에서 국방위원장을 지낸 원유철 의원의 보좌관 여운모씨가 공개한 국회 보안실태는 충격적이다.
“국방부 보안 관계자에게 ‘무엇이 비밀인지’ 물어보면 대답을 못할 거예요. 그냥 해 오던 대로 비밀문서를 만들어 내고 있는 실정이에요. 그러니 관리가 소홀해질 수밖에요. 무조건 비밀로 지정해 놓으니 자신들도 비밀문서의 보안 필요성에 둔감해지는 것 같아요. 예를 들어 국방부는 국방 예산안 심사 동안 ‘국방부 예산안’을 10여 권의 책자로 만들어 의원실에 배포합니다. 2급비밀이라고 찍혀 있기는 한데 20일 후 국방부에서 회수해 갈 때까지 허술하게 관리되는 것이 현실입니다.”
피스아이 정보도 온라인에서 확인 가능
조기경보기(early warning aircraft)는 항공기에 수색·레이더·통신장비를 갖추고 대공감시 임무를 수행한다. 군은 1980년대부터 공중조기경보기 도입 사업을 추진했다. 군은 오랜 노력 끝에 작년에 4대의 조기경보기 피스아이(Peace Eye)를 도입했다. 1호기는 완성품 형태로 미국 시애틀 ○○공장에서 작년 하반기에 한국에 도착했다. 2, 3, 4호기는 작년 2월부터 순차적으로 보잉사로부터 737상용기 형태로 인도 받아 경남 ○○에서 내부 장비를 탑재하는 등 개조·조립 작업을 진행했다. 4대의 피스아이는 24시간 한반도 전역을 감시하는 막중한 임무를 맡고 있다. 3대가 8시간씩 임무를 수행하고, 나머지 한 대는 예비(豫備)로 준비하는 형식으로 운영된다.
국내에 도입한 조기경보기는 어떤 성능을 가지고 있을까. 군은 대략적인 제원과 성능을 언론에 공개했지만 한반도를 날아다니며 정보를 획득하는 조기경보기의 특성상 구체적인 성능은 군사비밀이다. 그러나 국내에 도입된 조기경보기의 성능을 유추할 수 있는 자료 역시 인터넷에서 쉽게 구할 수 있다.
보잉사는 조기경보기를 한국군에 인도하기 전에 미국 시애틀에서 시험비행을 실시했다. 편명은 ○○○이었다. 편명은 미국 연방항공청에서 부여한 ○○○을 알면 쉽게 파악할 수 있다. ○○○을 미국의 항공관련 인터넷 사이트에 입력하면 조기경보기 시험비행 상황에 대한 자세한 데이터를 얻을 수 있다. 시간대별 고도, 이동경로 등이 확인 가능하다.
모든 기계제품의 성능 실험은 일정한 패턴이 있다. 예를 들어, 자동차를 일정한 속도로 지속적으로 움직이게 하는 것은 내구성(耐久性)을 측정하기 위해서이다. 자동차의 실험 데이터를 분석하면 성능을 어느 정도 예상할 수 있다. 피스아이 시험비행 자료가 인터넷상에서 쉽게 검색될 수 있는 것은 피스아이가 한국군에 인도되기 전까지 민항(民航)기로 분류되었기 때문이다.
이와 관련해 민간인 군 전문가는 사견임을 전제로 다음과 같이 설명했다.
“조기경보기는 전투기가 아니라 민항기를 개조한 것입니다. 기체는 이미 상용화됐습니다. 기체 자체는 보안성이 떨어집니다(중요한 보안사항이 아니라는 뜻이다). 중요한 보안사항은 센서 기능입니다. 정찰기는 센서가 중요합니다. 센서가 약하면 휴전선 가까이 가야 하기 때문이죠. 만일 자료를 통해 시간대별 고도를 알 수 있다면 센서의 성능을 간접적으로 알 수 있습니다. 미국 측과 (자료 삭제를)협의해야 한다고 봅니다.”
해커들에 무력한 개인정보보호법
어이없는 보안유출도 문제지만 인터넷 보안의 가장 강력한 위협은 해커(Hacker) 집단의 공격이다. 해커들은 국가·회사를 가리지 않고 마구잡이로 개인정보(Personal Identifiable Information)를 수집한다. 개인정보보호법은 제3조에서 ‘개인정보의 처리방법 및 종류 등에 따라 정보 주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다’고 규정하고 있다.
정보보호란 구체적으로 정보의 수집·가공·저장·검색·송수신 중에 정보의 훼손(毁損)·변조(變造)·유출(流出) 등을 방지하는 일련의 행위라 할 수 있다. 보호받는 정보는 ‘특정 개인을 식별(識別)하거나 식별할 수 있는 정보’ 모두를 포함한다. 예를 들어 성명, 주소, 연락처, 직업 등이 포함된다. 직접적인 정보뿐이 아니다. 신용평가 등 개인에 대한 타인의 의견, 평가 역시 개인정보이다. 또 해당 정보뿐만 아니라 다른 정보와 결합됐을 경우 정보의 주체가 누구인지 알 수 있는 정보 역시 보호대상이다.
개인정보 보호법 제31조는 책임자를 지정해 ▲정보보호 계획 수립 및 시행 ▲정기적인 조사, 개선 ▲불만처리 및 피해구제 ▲개인정보 유출 및 오·남용(誤濫用) 방지를 위한 내부통제 시스템의 구축 ▲정보보호 교육계획 수립 및 시행 ▲정보파일의 보호 및 관리·감독 등의 업무를 수행해야 한다고 규정하고 있다.
그러나 법은 법일 뿐이고 현실에서 개인정보는 너무나 쉽게 유출되고 있다. 사람들은 업무에 지장을 받을 정도로 끊임없이 울리는 상품권유 전화·문자에 지치고 있다. 스팸메일은 이제 공해(公害) 수준이다. 누구나 ‘어떻게 나의 정보를 알았을까’ 의문을 가지게 된다. 이 경우 해킹을 의심해야 한다.
지난해 국내에는 충격적인 해킹 사건이 많았다. SK커뮤니케이션즈가 운영하는 인터넷 포털사이트 네이트와 싸이월드 회원 3500만명의 신상정보가 유출됐다. 금융권도 예외가 아니다. 업계 1위인 현대캐피탈은 해커의 공격으로 43만명의 고객정보가 털렸다.
이제 나의 주민등록번호, 전화번호, 주소, 비밀번호가 안전하다고 누구도 확신할 수 없다. 한번 개인정보가 유출되면 해결은 불가능하다. 유출된 개인정보는 끊임없이 인터넷을 떠다닌다. 간혹 헐값에 매매되기도 한다. 만일 개인정보가 특정인과 원한(怨恨)관계에 있는 사람에게 넘어간다면 어떻게 될까. 마음만 먹으면 얼마든지 금전적(金錢的), 사회적(社會的) 피해를 입힐 수 있다.
이는 개인만의 문제가 아니다. 국가안보와도 관련이 있다. 만일 불순한 세력이 한국의 외교정책을 책임지는 핵심 인사들의 개인정보를 확보할 경우 국가안보에 심각한 타격을 줄 수 있다. 이것은 단지 시나리오가 아니다. 실제 한국의 유력인사들의 개인정보가 털린 사건이 미국에서 발생했다. 이젠 한국 해커뿐만 아니라 미국 해커들의 동향(動向)까지 파악해야 하는 시기가 된 것이다.
스트랫포 유출은 안보 재앙(災殃)
정보유출에는 국경도 없다. 2011년 12월 미국 언론은 민간 국제안보 및 정보연구소 ‘스트랫포(Stratfor Global Intelligence Service)’ 해킹 사건을 크게 보도했다. 미국 텍사스주 오스틴에 본부를 두고 있는 스트랫포는 안보·외교 정보분석 민간기관이다. 스트랫포는 기밀(機密)정보를 수집·분석해 유료·무료 회원에게 공급해 왔다. 스트랫포 해킹 사건은 올해 2월 세계적 폭로(暴露) 사이트 위키리크스(wikileaks)가 해킹을 통해 확보한 고객 자료의 일부를 공개하면서 미국 사회에 큰 파문(波紋)을 일으켰다.
스트랫포 해킹과 폭로는 국가안보에 큰 위협이 될 수 있는 사건이었다. 한국인 해킹 피해자 가운데 외교·안보 정책결정에 결정적인 역할을 하는 핵심 인사들이 포함돼 있기 때문이다. 해킹 피해자에는 국가안전보장회의(NSC) 직원, 주한미군 관계자, 한국개발연구원(KDI) 직원, 주요 대기업 직원, 주요 일간지·경제지·방송사 기자·PD, 대학교수, 해외 한국 대사관 직원 등이 포함되어 있다. 자료에는 이들의 이름, 이메일, 전화·팩스 번호, 주소, 신용카드 번호(CC Number)·보안번호(CVV)·유효기간(Expiration) 등이 담겨 있다. 위키리크스는 패스워드(비밀번호) 유추의 실마리가 될 수 있는 해시(Hash)함수(암호화함수·md5)까지 공개했다.
스트랫포 정보유출 사건은 대한민국의 안보에 치명적인 위협이 될 수 있는 정보유출이 국내뿐만 아니라 전세계에서 이뤄지고 있음에도 우리 사회는 눈뜬장님과 같다는 사실을 알려준다.
사회공학적 해킹 우려
“사회공학적 해킹(Social Engineering Hacking)에 이용될 경우 엄청난 피해가 예상됩니다.”
인터넷 보안 전문가인 박상수 (주)나노아이티 총괄이사는 유출된 한국의 주요 인사들의 정보가 악용(惡用)될 경우 “국가안보에 심각한 위협이 될 수 있다”며 “특히 ‘사회공학적 해킹’이 우려된다”고 경고했다. 사회공학적 해킹은 시스템이 아니라 사람의 취약점을 공략하여 원하는 정보를 얻는 공격기법을 말한다. 전화, 이메일, 메신저, 트위터를 통해 사람들에게 접근해 정보를 도둑질하는 수법이다. 박 이사의 설명을 바탕으로 북한 등 국가안보 위협세력이 스트랫포 자료를 이용해 사회공학적 해킹에 나설 경우 예상되는 ‘시나리오’는 다음과 같다.
#기자를 사칭해 국방부 등 정부기관에 전화할 경우
―국방부에 출입하는 A기자입니다. 보도자료를 회사 메일로 받고 있는데, 용량이 부족해서 문제가 있으니 개인 메일로 보내 주세요.
=현재 어떤 메일로 등록되어 있나요?(국방부 담당자)
―○○○입니다. 그리고 회사 전화가 ○○○으로 등록되어 있죠. 그것이 △△△로 변경됐으니 수정해 주세요. 팩스번호도 △△△로 바꿔 주세요.
→이 경우 정부기관의 보도자료를 지속적으로 받을 수 있고, 변경된 전화를 통해 담당 기관에 연락해 지속적으로 정보를 얻을 수 있다.
#카드회사 직원을 사칭해 정보가 유출된 공공기관 직원에게 전화할 경우
―A카드회사입니다. 회원님 카드 번호가 ○○○이시죠. 보안번호는 ○○○이시고요.
=맞는데요.
―죄송합니다. 최근 해킹으로 개인정보가 유출되어 고객님이 온라인으로 카드결제를 하시면 큰 피해를 입을 수 있습니다. 피해를 막기 위해 고객님 메일로 보안 프로그램을 보내겠습니다. 확인하시고 설치해 주세요.
→만일 해킹 프로그램을 공공기관 컴퓨터에 설치할 경우 해당 기관의 모든 자료 유출이 가능하다. 상대방이 자신의 전화번호, 카드번호, 이메일을 알고 있어 의심 없이 해킹 프로그램을 설치할 수 있다.
세상의 모든 것이 검색되는 시대이다. 사소한 개인정보라도 일단 확보되면 신상털이를 위한 실마리가 될 수 있다. 사회공학적 해킹 수법을 이용해 개인정보를 조금씩 확장해 나갈 수도 있다. 예를 들어 직장 전화번호를 이용해 휴대폰 번호를 알아내고, 휴대폰 번호, 카카오톡 등 소셜네트워크서비스(SNS)를 이용해 공격대상에 천천히 접근할 수 있다. 요즈음은 대중교통을 신용카드 후불서비스로 이용한다. 만일 해커가 매달 카드회사가 이메일로 발송하는 공격대상의 카드사용 내역을 확보하면 동선(動線)까지 파악할 수 있다.
굳이 ‘사회공학적 해킹’을 시도할 필요가 없다는 주장도 있다. 공개된 해시함수를 통해 패스워드를 찾아낼 수 있다는 주장이다. 해시함수(md5)가 유출됐기 때문에 패스워드(비밀번호) 유추가 가능하다는 주장이다. 박찬암 루멘소프트 보안기술 연구팀장은 이렇게 설명했다.
“암호변환함수 기술은 패스워드를 암호화하는 방법 가운데 하나입니다. 해킹을 당했을 때 패스워드가 유출되지 못하도록 암호화하는 것입니다. 그러나 암호를 풀 수는 없어도 알아낼 수는 있습니다. 예를 들어 패스워드가 12345이고 암호변환함수가 abcdef라면 함수를 무차별 대입하는 방식을 통해 패스워드를 파악할 수 있습니다. 구체적으로 레○○ 기술과 분○○ 기법을 사용하면 가능할 것 같습니다.”
반면 학계의 암호 전문가들은 대체로 해시함수를 통해 패스워드를 파악하는 것은 불가능하다고 말한다. 그러나 보안은 결국 창과 방패의 싸움이다. 해커는 “무엇이든 뚫을 수 있다”고 말하고, 보안 전문가는 “공격을 막을 수 있다”고 주장한다. 전형적인 ‘모순(矛盾)’이다. 뚫을 수 없는 방패가 있다고 말하기 전에 일단 정보유출이 발생한 이상 최악의 상황에 대비하는 것이 현명하다. 스트랫포 측 역시 해킹 사실을 파악한 직후 고객들에게 패스워드 변경을 권유하는 이메일을 보냈다.
한승주 전 외무부장관 이메일 해킹
일반인은 개인 메일, 회사 메일, 직장 네트워크 비밀번호, 은행·신용카드 비밀번호가 같거나 유사하게 사용하는 경우가 많다. 한 곳이 뚫리면 삽시간에 개인의 모든 정보를 빼앗길 수 있다. 불순한 세력이 유출된 자료를 ‘신상털이’에 이용할 경우 그 파장은 만만치 않을 것이다. 예를 들면 다음과 같다. 스트랫포 해킹자료에는 다음의 인물이 있다.
Username : hsj○○
CC Number : ○○○
Expiration : ○○/○○○
Pass(md5) : ○○○○○○
E-mail : hsj○○@hanmail.net
Name : Sung Han
Phone : 822-○○-○○○○
Fax : 822-○○-○○○○
Address : Ilmin International Relations Institute Korea University
이메일 hsj○○@hanmail.net는 한승주 전 외무부장관(전 고려대 교수)이 사용하는 이메일이다. 인터넷 검색으로 쉽게 알 수 있는 정보이다. 822-○○-○○○○을 인터넷으로 검색하면 한 전 장관의 서울 광화문 국제정책연구원 연구실 전화번호라는 것을 알 수 있다. 만일 패스워드가 열리면, 한 전 장관의 개인 메일에 저장된 모든 자료가 유출된다. 한 전 장관이 구형 마그네틱 신용카드를 아직 사용하고 있을 경우 신용카드 복제 가능성도 있다. 이름 Sung Han은 한승주 전 장관의 영문 이름(Han Sung Joo)을 미국식으로 이름을 먼저 적은 것으로 보인다.
스트랫포에는 가입자들의 신상을 유추할 수 있는 메일을 사용한 인사들이 많다. 해킹 피해자들이 가입 당시 사용했던 메일을 보면 이들의 직장을 유추할 수 있다. koreanembassyisrael@○○○○.com은 이스라엘 한국대사관, ○○○@dong○○.ac.kr은 동○대학, ○○○@kdi.re.kr은 한국개발연구원(KDI), koreanconsulate.pdx@○○○.com은 해외 총영사관, ○○@korea.army.mil / ○○@usfk.korea.army.mil은 군 관련 인사라는 것을 쉽게 알 수 있다.
유출 자료에는 이름을 국가안전보장회의 사무국(NSC Secretariat)이라고 적은 경우도 있다. 이메일은 ○○○○@cwd.go.kr를 사용했다. 인터넷을 검색하면 대통령 전용 메일이 president @cwd.go.kr이라는 것을 알 수 있다. @cwd.go.kr는 청와대 직원이 사용하는 메일임을 쉽게 짐작할 수 있다. 굳이 내가 NSC에서 일한다고 밝힐 필요가 있었는지 고개가 갸우뚱해진다.
결국은 보안의식 부족이 문제를 키운 것이다. 스트랫포 가입 절차에서 실명 기입은 의무사항이 아니다. 가명도 가능하고 아예 적지 않을 수도 있었다. 개인 신분도 아닌 공무원이 사설 정보회사에 자신의 직책·역할을 유추할 수 있는 정보를 남겨야 했는지 의문이 든다. 공무원 개인의 보안의식이 부족하고 이를 관리하는 시스템이 전무하다는 사실을 미뤄 짐작할 수 있다. 스트랫포는 메일 해킹을 확인한 후에 비밀번호 가입자들에게 비밀번호 변경을 강력히 주문하고 있다. 그러나 국내 보안·안보 당국이 문제의 심각성을 인식했는지는 알 수가 없다. 그렇다면 대책은 무엇인가. 임종인 고려대 정보보호대학원장은 이렇게 말했다.
“스트랫포 해킹으로 (불순한 세력이)특정한 공격목표를 정해서 공격할 경우 국가안보에 위협이 될 수 있습니다. 우선 국내 대책으로 보안을 더욱 강화해야 합니다. 이번에 유출된 md5 해시(Hash)함수는 유효기간이 지나서 더 이상 안전하지 않은 암호입니다. 더욱 안전한 SHA256 함수로 바꿔야 합니다. 또 이번과 같이 해외에서 발생한 해킹의 경우 외교력으로 문제를 풀어야 합니다. 미(美) 연방거래위원회(FTC)와 연방통신위원회(FCC)의 협조를 얻어야 합니다.”
취재를 시작하면서 인터넷 보안의 허점(虛點)을 보도하는 것이 바람직한 것인가에 대해 고민했다. 그러나 수년 동안 국가안보에 심각한 영항을 미칠 수 있는 정보들이 아무런 제약 없이 노출됐고, 그에 대해 적극적인 대응도 없었다는 점에서 보도가 필요한 것으로 판단됐다. 이미 알 사람은 다 알고 있는 현실에서 문제해결을 위한 사회적 공감대가 형성되도록 취재 내용을 보도하는 것이 바람직하다고 생각했다.
이제 인터넷 보안은 특정기관, 한국 정부의 노력만으로 대책을 마련할 수 없다. 전세계적인 협조와 공조가 필요하고, 국제관례(慣例)·법령에 대한 이해 또한 필요하다. 언론의 적극적인 취재 역시 중요하다. 미국의 경우 ‘스트랫포’ 해킹 사건 이후 주요 언론이 사생활 피해, 정보유출에 대해 끊임없이 문제를 제기했다. 해당 사건은 언론이 지속적으로 보안 문제를 찾아 고발해야 제도가 정비되고 대책이 마련된다는 교훈(敎訓)을 준다.⊙
<지난 2010년 7월 16일 관제업무를 보던 중 보잉사 호출부호를 사용한 항공기가 사천공항에 입항했었다. 호출부호 ○○, 기종 ○○, 등록부호 ○○, 출발공항은 괌이었다. 처음에는 보잉 호출부호를 사용하는 B737이 사천에 어떤 일로 왔을까 궁금했다. 분명 창원 한국항공우주산업(KAI) 공장으로 갈 것으로 예상했지만 정확한 목적은 비행계획서만으로는 알 수 없었다. 이후 인터넷의 군사 및 항공관련 동호인들 사이에서 공군 조기경보기로 사용할 B737이 사천 KAI에 들어왔다는 소문을 들을 수 있었다. 그 때 내가 관제했던 항공기가 바로 그 항공기였다는 것을 알 수 있었다.>
A씨는 글만 남긴 것이 아니다. B737 비행계획서 전문과 입항 비행경로까지 공개했다.
항공교통관제사는 국토해양부 소속 공무원이다. 공무원은 업무수행 과정에서 얻은 정보를 누설해서는 안 된다(국가공무원법 제60조·지방공무원법 제52조).
 |
| 항공관제사 A씨가 2011년 3월 자신의 인터넷 블로그에 올린 한국군 조기경보기 비행계획서와 비행경로. 보안을 위해 흐리게 했다. |
‘비밀엄수(嚴守) 의무’는 위법 여부도 문제지만 기본적으로는 상식(常識)과 양식(良識)의 문제이기도 하다. 해당 사례는 국가안보에 영향을 줄 수 있는 정보를 직간접적으로 얻을 수 있는 항공업계 종사자들의 보안의식에 의문을 갖게 한다. 당시 A씨는 블로그 내용이 보안 문제로 논란이 되자 조기경보기 관련 내용을 삭제(削除)했다.
《시크릿 오브 코리아》의 저자인 재미 언론인 안치용씨는 “국내외에서 수도 없이 이뤄지고 있는 정보유출에 대해 한국의 정보당국과 시민들의 보안의식 수준이 너무 낮다”며 수년 동안 수집한 자료를 기자에게 제공했다. 정보유출은 이런 것들뿐이 아니었고, 보안사고는 국내외를 막론하고 광범위하게 벌어지고 있었다.
청와대 경호시설까지 노출
청와대를 구성하는 건물의 수, 용도, 면적을 알기 위해서는 어떻게 해야 할까. 작년 5월까지는 인터넷 검색으로 쉽게 알 수 있었다. 청와대 주소(서울시 종로구 세종로 1번지)를 서울시 부동산 종합정보 서비스를 통해 검색하면 건물 용도, 건축물 명칭, 주용도, 연면적(㎡), 공시지가를 알 수 있었다. 청와대 경호상황실, 경호동, 경비실, 관리동, 사무실, 안내실, 발전실, 내무반 등의 면적도 한눈에 볼 수 있었다. 특히 경호시설은 상황실, 경호별관 등으로 구분해서 자세히 검색 가능했다.
서울시의 온라인 부동산 정보서비스는 2010년 9월부터 시작됐다. 서울시는 작년 5월 정보서비스에서 청와대를 제외했다. 청와대 건물대장은 현재는 검색이 불가능하지만 과거 일 년 가까이 누구나 쉽게 검색할 수 있는 자료였다는 점에서 이미 알 사람은 다 알고 있는 정보로 보아야 한다. 안치용씨는 이와 관련해 이렇게 말했다.
“청와대는 서울시 종합정보 시스템 자체를 몰랐을 수 있습니다. 그런데 작년 5월 국정원 시설은 검색이 되지 않았습니다. 최소한 국정원은 서울시 검색시스템을 알고 있었다는 것이죠. 자신들은 보안조치를 취하면서 더 중요한 청와대를 그대로 방치했다는 것이죠. 실소(失笑)를 금치 못할 일입니다.”
황당한 일은 더 있다. 미국 지도검색 서비스 ‘구글 어스(Google Earth)’는 청와대 등 주요 보안시설을 모자이크 처리해 달라는 한국정부의 요구를 ‘네티즌 정보 공유와 알권리 보장’을 명분으로 처음 문제가 제기된 2005년부터 지금까지 거부하고 있다. 네이버 지도 등 한국 검색 서비스만 보안시설을 지도에서 지우고 있어 ‘역차별’ 논란까지 제기되는 실정이다.
그 결과 지금도 인터넷을 통해 주요 군사·안보 시설의 항공사진을 쉽게 구할 수 있다. 전세계 누구나 쉽게 얻을 수 있는 자료가 과연 비밀이 될 수 있는지는 의문이다. 지하에 설치되어 있지 않는 한 안보시설의 위치, 규모는 이미 노출됐다고 보아야 한다. 청와대의 경우 각 건물의 용도까지 노출됐다는 점에서 문제는 더욱 심각하다. 청와대 어디에서 누가 무엇을 하고 있는지 쉽게 짐작할 수 있는 것이다.
국회 회의록은 국방비밀 보관창고
 |
| 서울시 부동산종합정보 시스템을 통해 청와대 주소(서울시 종로구 세종로 1번지)를 검색한 모습. 청와대 구조를 한눈에 알 수 있다. |
2010년 10월 7일 국회 국방위원회는 국방위 회의실에서 방위사업청·국방과학연구소·국방기술품질원에 대한 국정감사를 실시했다. 이에 대한 서면질의·답변서에는 비문(秘文)으로 분류된 항공기 장기운용 현황과 보유 대수, 15개 주요 전력사업 총사업비 증가, 민간기업에 의뢰한 선행연구 수행사업 현황 등 민감한 군사정보를 담고 있다.
해당 자료는 누구나 쉽게 온라인 클릭 한 번으로 구할 수 있다. 대한민국 국회 온라인 회의록 시스템에서 다운로드할 수 있기 때문이다. 구체적으로 다음과 같은 내용이 있다.
회의록은 기업들이 선행연구를 수행 중인 사업을 설명하고 있다. 지상전술C4I 2차 성능개선(LG CNS), 대대급 이하 전투지휘체계(삼성탈레스), 비행기지 대공사격통제체계(삼성탈레스), 지상전술데이터링크(삼성탈레스), 특수전 모의훈련모델(LG CNS), 항공무장효과 분석모델(심테트) 등이다. 또 당시 주요 전력사업의 총사업비 증가현황 역시 자세히 나와 있다. 차기유도무기사업(21.7% 증가), 공중조기경보기(20.6%), 고고도무인항공기(78.9%), 차기호위함(10.1%), 장보고Ⅱ 1차(23.8%), 장보고Ⅱ 2차(21%), 차기전술정보통신(34.2%), 지휘기(169.9%), 대형수송기(18.3%), 공중급유기(36%), 중고도유도무기(5.9%), 차기고속정A(6.7%), K9자주포(175.7%), K21장갑차(3.1%), 함대공유도탄(40.9%) 등 주요 전력사업 추진현황이 자세히 나와 있다. 항공기 장기운용 현황은 자료에 ‘비문’이라고 표시를 하면서도, 내용을 숨기지 않고 있다.
Ⅱ급비밀조차 관리 허술
 |
| 지도검색 서비스 ‘구글어스’와 ‘네이버 지도’를 통해 청와대 항공지도를 검색한 비교 사진. 미국 업체가 운영하는 구글어스는 청와대 전경을 선명하게 공개하는 반면 국내 업체가 운영하는 네이버 지도는 보안을 위해 청와대를 가리고 있다. |
“국정감사 기간에 의원들이 서면으로 질의를 하면 국방부 담당 기관이 의원들의 답변을 모은 자료집을 만들어서 의원들과 속기업무 담당 직원에게 전달합니다. 저희는 내용을 판단할 권한이 없습니다. 제출 기관이 비밀 부분을 빼고 주든가 아니면 의원실에서 삭제를 지시해야 합니다. 사실 의원들이 답변서를 확인하지 않는 경우가 많아요. 그래서 이번같이 민감한 내용이 담겨 있을 경우 그대로 노출되는 것입니다.”
18대 국회에서 국방위원장을 지낸 원유철 의원의 보좌관 여운모씨가 공개한 국회 보안실태는 충격적이다.
“국방부 보안 관계자에게 ‘무엇이 비밀인지’ 물어보면 대답을 못할 거예요. 그냥 해 오던 대로 비밀문서를 만들어 내고 있는 실정이에요. 그러니 관리가 소홀해질 수밖에요. 무조건 비밀로 지정해 놓으니 자신들도 비밀문서의 보안 필요성에 둔감해지는 것 같아요. 예를 들어 국방부는 국방 예산안 심사 동안 ‘국방부 예산안’을 10여 권의 책자로 만들어 의원실에 배포합니다. 2급비밀이라고 찍혀 있기는 한데 20일 후 국방부에서 회수해 갈 때까지 허술하게 관리되는 것이 현실입니다.”
피스아이 정보도 온라인에서 확인 가능
 |
| 조기경보기 피스아이. |
국내에 도입한 조기경보기는 어떤 성능을 가지고 있을까. 군은 대략적인 제원과 성능을 언론에 공개했지만 한반도를 날아다니며 정보를 획득하는 조기경보기의 특성상 구체적인 성능은 군사비밀이다. 그러나 국내에 도입된 조기경보기의 성능을 유추할 수 있는 자료 역시 인터넷에서 쉽게 구할 수 있다.
보잉사는 조기경보기를 한국군에 인도하기 전에 미국 시애틀에서 시험비행을 실시했다. 편명은 ○○○이었다. 편명은 미국 연방항공청에서 부여한 ○○○을 알면 쉽게 파악할 수 있다. ○○○을 미국의 항공관련 인터넷 사이트에 입력하면 조기경보기 시험비행 상황에 대한 자세한 데이터를 얻을 수 있다. 시간대별 고도, 이동경로 등이 확인 가능하다.
모든 기계제품의 성능 실험은 일정한 패턴이 있다. 예를 들어, 자동차를 일정한 속도로 지속적으로 움직이게 하는 것은 내구성(耐久性)을 측정하기 위해서이다. 자동차의 실험 데이터를 분석하면 성능을 어느 정도 예상할 수 있다. 피스아이 시험비행 자료가 인터넷상에서 쉽게 검색될 수 있는 것은 피스아이가 한국군에 인도되기 전까지 민항(民航)기로 분류되었기 때문이다.
이와 관련해 민간인 군 전문가는 사견임을 전제로 다음과 같이 설명했다.
“조기경보기는 전투기가 아니라 민항기를 개조한 것입니다. 기체는 이미 상용화됐습니다. 기체 자체는 보안성이 떨어집니다(중요한 보안사항이 아니라는 뜻이다). 중요한 보안사항은 센서 기능입니다. 정찰기는 센서가 중요합니다. 센서가 약하면 휴전선 가까이 가야 하기 때문이죠. 만일 자료를 통해 시간대별 고도를 알 수 있다면 센서의 성능을 간접적으로 알 수 있습니다. 미국 측과 (자료 삭제를)협의해야 한다고 봅니다.”
해커들에 무력한 개인정보보호법
 |
| 비문이 그대로 노출된 국회 서면질의·답변서. |
정보보호란 구체적으로 정보의 수집·가공·저장·검색·송수신 중에 정보의 훼손(毁損)·변조(變造)·유출(流出) 등을 방지하는 일련의 행위라 할 수 있다. 보호받는 정보는 ‘특정 개인을 식별(識別)하거나 식별할 수 있는 정보’ 모두를 포함한다. 예를 들어 성명, 주소, 연락처, 직업 등이 포함된다. 직접적인 정보뿐이 아니다. 신용평가 등 개인에 대한 타인의 의견, 평가 역시 개인정보이다. 또 해당 정보뿐만 아니라 다른 정보와 결합됐을 경우 정보의 주체가 누구인지 알 수 있는 정보 역시 보호대상이다.
개인정보 보호법 제31조는 책임자를 지정해 ▲정보보호 계획 수립 및 시행 ▲정기적인 조사, 개선 ▲불만처리 및 피해구제 ▲개인정보 유출 및 오·남용(誤濫用) 방지를 위한 내부통제 시스템의 구축 ▲정보보호 교육계획 수립 및 시행 ▲정보파일의 보호 및 관리·감독 등의 업무를 수행해야 한다고 규정하고 있다.
그러나 법은 법일 뿐이고 현실에서 개인정보는 너무나 쉽게 유출되고 있다. 사람들은 업무에 지장을 받을 정도로 끊임없이 울리는 상품권유 전화·문자에 지치고 있다. 스팸메일은 이제 공해(公害) 수준이다. 누구나 ‘어떻게 나의 정보를 알았을까’ 의문을 가지게 된다. 이 경우 해킹을 의심해야 한다.
지난해 국내에는 충격적인 해킹 사건이 많았다. SK커뮤니케이션즈가 운영하는 인터넷 포털사이트 네이트와 싸이월드 회원 3500만명의 신상정보가 유출됐다. 금융권도 예외가 아니다. 업계 1위인 현대캐피탈은 해커의 공격으로 43만명의 고객정보가 털렸다.
이제 나의 주민등록번호, 전화번호, 주소, 비밀번호가 안전하다고 누구도 확신할 수 없다. 한번 개인정보가 유출되면 해결은 불가능하다. 유출된 개인정보는 끊임없이 인터넷을 떠다닌다. 간혹 헐값에 매매되기도 한다. 만일 개인정보가 특정인과 원한(怨恨)관계에 있는 사람에게 넘어간다면 어떻게 될까. 마음만 먹으면 얼마든지 금전적(金錢的), 사회적(社會的) 피해를 입힐 수 있다.
이는 개인만의 문제가 아니다. 국가안보와도 관련이 있다. 만일 불순한 세력이 한국의 외교정책을 책임지는 핵심 인사들의 개인정보를 확보할 경우 국가안보에 심각한 타격을 줄 수 있다. 이것은 단지 시나리오가 아니다. 실제 한국의 유력인사들의 개인정보가 털린 사건이 미국에서 발생했다. 이젠 한국 해커뿐만 아니라 미국 해커들의 동향(動向)까지 파악해야 하는 시기가 된 것이다.
스트랫포 유출은 안보 재앙(災殃)
 |
| 국회 회의록 시스템. |
스트랫포 해킹과 폭로는 국가안보에 큰 위협이 될 수 있는 사건이었다. 한국인 해킹 피해자 가운데 외교·안보 정책결정에 결정적인 역할을 하는 핵심 인사들이 포함돼 있기 때문이다. 해킹 피해자에는 국가안전보장회의(NSC) 직원, 주한미군 관계자, 한국개발연구원(KDI) 직원, 주요 대기업 직원, 주요 일간지·경제지·방송사 기자·PD, 대학교수, 해외 한국 대사관 직원 등이 포함되어 있다. 자료에는 이들의 이름, 이메일, 전화·팩스 번호, 주소, 신용카드 번호(CC Number)·보안번호(CVV)·유효기간(Expiration) 등이 담겨 있다. 위키리크스는 패스워드(비밀번호) 유추의 실마리가 될 수 있는 해시(Hash)함수(암호화함수·md5)까지 공개했다.
스트랫포 정보유출 사건은 대한민국의 안보에 치명적인 위협이 될 수 있는 정보유출이 국내뿐만 아니라 전세계에서 이뤄지고 있음에도 우리 사회는 눈뜬장님과 같다는 사실을 알려준다.
사회공학적 해킹 우려
“사회공학적 해킹(Social Engineering Hacking)에 이용될 경우 엄청난 피해가 예상됩니다.”
인터넷 보안 전문가인 박상수 (주)나노아이티 총괄이사는 유출된 한국의 주요 인사들의 정보가 악용(惡用)될 경우 “국가안보에 심각한 위협이 될 수 있다”며 “특히 ‘사회공학적 해킹’이 우려된다”고 경고했다. 사회공학적 해킹은 시스템이 아니라 사람의 취약점을 공략하여 원하는 정보를 얻는 공격기법을 말한다. 전화, 이메일, 메신저, 트위터를 통해 사람들에게 접근해 정보를 도둑질하는 수법이다. 박 이사의 설명을 바탕으로 북한 등 국가안보 위협세력이 스트랫포 자료를 이용해 사회공학적 해킹에 나설 경우 예상되는 ‘시나리오’는 다음과 같다.
#기자를 사칭해 국방부 등 정부기관에 전화할 경우
―국방부에 출입하는 A기자입니다. 보도자료를 회사 메일로 받고 있는데, 용량이 부족해서 문제가 있으니 개인 메일로 보내 주세요.
=현재 어떤 메일로 등록되어 있나요?(국방부 담당자)
―○○○입니다. 그리고 회사 전화가 ○○○으로 등록되어 있죠. 그것이 △△△로 변경됐으니 수정해 주세요. 팩스번호도 △△△로 바꿔 주세요.
→이 경우 정부기관의 보도자료를 지속적으로 받을 수 있고, 변경된 전화를 통해 담당 기관에 연락해 지속적으로 정보를 얻을 수 있다.
#카드회사 직원을 사칭해 정보가 유출된 공공기관 직원에게 전화할 경우
―A카드회사입니다. 회원님 카드 번호가 ○○○이시죠. 보안번호는 ○○○이시고요.
=맞는데요.
―죄송합니다. 최근 해킹으로 개인정보가 유출되어 고객님이 온라인으로 카드결제를 하시면 큰 피해를 입을 수 있습니다. 피해를 막기 위해 고객님 메일로 보안 프로그램을 보내겠습니다. 확인하시고 설치해 주세요.
→만일 해킹 프로그램을 공공기관 컴퓨터에 설치할 경우 해당 기관의 모든 자료 유출이 가능하다. 상대방이 자신의 전화번호, 카드번호, 이메일을 알고 있어 의심 없이 해킹 프로그램을 설치할 수 있다.
세상의 모든 것이 검색되는 시대이다. 사소한 개인정보라도 일단 확보되면 신상털이를 위한 실마리가 될 수 있다. 사회공학적 해킹 수법을 이용해 개인정보를 조금씩 확장해 나갈 수도 있다. 예를 들어 직장 전화번호를 이용해 휴대폰 번호를 알아내고, 휴대폰 번호, 카카오톡 등 소셜네트워크서비스(SNS)를 이용해 공격대상에 천천히 접근할 수 있다. 요즈음은 대중교통을 신용카드 후불서비스로 이용한다. 만일 해커가 매달 카드회사가 이메일로 발송하는 공격대상의 카드사용 내역을 확보하면 동선(動線)까지 파악할 수 있다.
굳이 ‘사회공학적 해킹’을 시도할 필요가 없다는 주장도 있다. 공개된 해시함수를 통해 패스워드를 찾아낼 수 있다는 주장이다. 해시함수(md5)가 유출됐기 때문에 패스워드(비밀번호) 유추가 가능하다는 주장이다. 박찬암 루멘소프트 보안기술 연구팀장은 이렇게 설명했다.
“암호변환함수 기술은 패스워드를 암호화하는 방법 가운데 하나입니다. 해킹을 당했을 때 패스워드가 유출되지 못하도록 암호화하는 것입니다. 그러나 암호를 풀 수는 없어도 알아낼 수는 있습니다. 예를 들어 패스워드가 12345이고 암호변환함수가 abcdef라면 함수를 무차별 대입하는 방식을 통해 패스워드를 파악할 수 있습니다. 구체적으로 레○○ 기술과 분○○ 기법을 사용하면 가능할 것 같습니다.”
반면 학계의 암호 전문가들은 대체로 해시함수를 통해 패스워드를 파악하는 것은 불가능하다고 말한다. 그러나 보안은 결국 창과 방패의 싸움이다. 해커는 “무엇이든 뚫을 수 있다”고 말하고, 보안 전문가는 “공격을 막을 수 있다”고 주장한다. 전형적인 ‘모순(矛盾)’이다. 뚫을 수 없는 방패가 있다고 말하기 전에 일단 정보유출이 발생한 이상 최악의 상황에 대비하는 것이 현명하다. 스트랫포 측 역시 해킹 사실을 파악한 직후 고객들에게 패스워드 변경을 권유하는 이메일을 보냈다.
한승주 전 외무부장관 이메일 해킹
 |
| 2011년 12월 해킹을 통해 유출된 미국 정보연구소 ‘스트랫포’ 문건. |
Username : hsj○○
CC Number : ○○○
Expiration : ○○/○○○
Pass(md5) : ○○○○○○
E-mail : hsj○○@hanmail.net
Name : Sung Han
Phone : 822-○○-○○○○
Fax : 822-○○-○○○○
Address : Ilmin International Relations Institute Korea University
이메일 hsj○○@hanmail.net는 한승주 전 외무부장관(전 고려대 교수)이 사용하는 이메일이다. 인터넷 검색으로 쉽게 알 수 있는 정보이다. 822-○○-○○○○을 인터넷으로 검색하면 한 전 장관의 서울 광화문 국제정책연구원 연구실 전화번호라는 것을 알 수 있다. 만일 패스워드가 열리면, 한 전 장관의 개인 메일에 저장된 모든 자료가 유출된다. 한 전 장관이 구형 마그네틱 신용카드를 아직 사용하고 있을 경우 신용카드 복제 가능성도 있다. 이름 Sung Han은 한승주 전 장관의 영문 이름(Han Sung Joo)을 미국식으로 이름을 먼저 적은 것으로 보인다.
스트랫포에는 가입자들의 신상을 유추할 수 있는 메일을 사용한 인사들이 많다. 해킹 피해자들이 가입 당시 사용했던 메일을 보면 이들의 직장을 유추할 수 있다. koreanembassyisrael@○○○○.com은 이스라엘 한국대사관, ○○○@dong○○.ac.kr은 동○대학, ○○○@kdi.re.kr은 한국개발연구원(KDI), koreanconsulate.pdx@○○○.com은 해외 총영사관, ○○@korea.army.mil / ○○@usfk.korea.army.mil은 군 관련 인사라는 것을 쉽게 알 수 있다.
유출 자료에는 이름을 국가안전보장회의 사무국(NSC Secretariat)이라고 적은 경우도 있다. 이메일은 ○○○○@cwd.go.kr를 사용했다. 인터넷을 검색하면 대통령 전용 메일이 president @cwd.go.kr이라는 것을 알 수 있다. @cwd.go.kr는 청와대 직원이 사용하는 메일임을 쉽게 짐작할 수 있다. 굳이 내가 NSC에서 일한다고 밝힐 필요가 있었는지 고개가 갸우뚱해진다.
결국은 보안의식 부족이 문제를 키운 것이다. 스트랫포 가입 절차에서 실명 기입은 의무사항이 아니다. 가명도 가능하고 아예 적지 않을 수도 있었다. 개인 신분도 아닌 공무원이 사설 정보회사에 자신의 직책·역할을 유추할 수 있는 정보를 남겨야 했는지 의문이 든다. 공무원 개인의 보안의식이 부족하고 이를 관리하는 시스템이 전무하다는 사실을 미뤄 짐작할 수 있다. 스트랫포는 메일 해킹을 확인한 후에 비밀번호 가입자들에게 비밀번호 변경을 강력히 주문하고 있다. 그러나 국내 보안·안보 당국이 문제의 심각성을 인식했는지는 알 수가 없다. 그렇다면 대책은 무엇인가. 임종인 고려대 정보보호대학원장은 이렇게 말했다.
“스트랫포 해킹으로 (불순한 세력이)특정한 공격목표를 정해서 공격할 경우 국가안보에 위협이 될 수 있습니다. 우선 국내 대책으로 보안을 더욱 강화해야 합니다. 이번에 유출된 md5 해시(Hash)함수는 유효기간이 지나서 더 이상 안전하지 않은 암호입니다. 더욱 안전한 SHA256 함수로 바꿔야 합니다. 또 이번과 같이 해외에서 발생한 해킹의 경우 외교력으로 문제를 풀어야 합니다. 미(美) 연방거래위원회(FTC)와 연방통신위원회(FCC)의 협조를 얻어야 합니다.”
취재를 시작하면서 인터넷 보안의 허점(虛點)을 보도하는 것이 바람직한 것인가에 대해 고민했다. 그러나 수년 동안 국가안보에 심각한 영항을 미칠 수 있는 정보들이 아무런 제약 없이 노출됐고, 그에 대해 적극적인 대응도 없었다는 점에서 보도가 필요한 것으로 판단됐다. 이미 알 사람은 다 알고 있는 현실에서 문제해결을 위한 사회적 공감대가 형성되도록 취재 내용을 보도하는 것이 바람직하다고 생각했다.
이제 인터넷 보안은 특정기관, 한국 정부의 노력만으로 대책을 마련할 수 없다. 전세계적인 협조와 공조가 필요하고, 국제관례(慣例)·법령에 대한 이해 또한 필요하다. 언론의 적극적인 취재 역시 중요하다. 미국의 경우 ‘스트랫포’ 해킹 사건 이후 주요 언론이 사생활 피해, 정보유출에 대해 끊임없이 문제를 제기했다. 해당 사건은 언론이 지속적으로 보안 문제를 찾아 고발해야 제도가 정비되고 대책이 마련된다는 교훈(敎訓)을 준다.⊙
