[u클린2013]보안제품에 천문학 비용 들여도, 보안 무관심 직원에 구멍 '뻥뻥'
머니투데이가 ‘정보사회 新문화 만들기’ 일환으로 [u클린] 캠페인을 펼친지 9년째를 맞았다. 인터넷에서 시작된 디지털문화는 이제 스마트기기로 옮겨가고 있다. 스마트폰 대중화로 언제 어디서나 사이버공간을 만날 수 있게 됐고 시공을 초월한 새로운 서비스들도 쏟아진다. 하지만 스마트시대 역기능도 커지고 있다. 악성댓글이나 유언비어로 인한 명예훼손, 사생활 침해, 보안위협 뿐만 아니라 사이버 폭력, 게임 중독, 사이버 음란물 범람 등 각종 사회적 문제에 대한 방지대책 마련이 시급한 이유다. 올해 9회째를 맞은 [u클린] 캠페인은 스마트시대 새로운 윤리의식과 기초질서를 정립하는 데 역점을 두고, 함께 만들어가는 '스마트 안전망'을 제시할 계획이다. 청소년들의 사이버윤리의식 고취를 위해 상반기 청소년문화마당에 이어 하반기에는 글짓기·포스터 공모전을 개최, 청소년이 함께 고민하고 정립할 수 있는 장(場)으로 진화해나갈 계획이다.
#국내 IT기업에 다니는 안상식씨(가명)는 최근 회사 보안팀으로부터 자신의 회사 PC에 지속적으로 트로이목마 바이러스가 침투하고 있다는 연락을 받았다. 지금까지는 사내 안티바이러스 SW(소프트웨어)가 이를 탐지했지만 이를 온전히 다 막을 수 없기 때문에 PC보안에 신경을 써 달라는 주의도 들었다.

안 씨는 특별히 이상한 사이트를 방문하지 않고, 출처가 불분명한 이메일 첨부파일을 열지 않았다. 문제는 최근 수차례 주요 포털의 블로그에서 일부 유틸리티를 다운받았기 때문이다. 해당 프로그램에 숨겨진 바이러스가 다운로드를 통해 안 씨의 PC로 넘어온 것이다.

2009년 7.7 디도스 공격을 시작으로 2011년 3.4 디도스 공격, 이에 이은 4.12 농협전산망 공격, 여기에 10·26 재보선 선관위 디도스 공격과 지난달 3.20 전산망 대란까지 국내 굵직한 보안사고의 원인 가운데 하나가 개인의 부주의다.

◇디도스, 좀비PC 있어야 가능···윈도·백신 업데이트 필수

아무리 좋은 장비와 보안 SW를 마련하고, 기업과 정부에서 막대한 보안 교육을 실시한다 해도 개개인의 보안 의식이 담보되지 않는 이상 수많은 보안공격을 막아낼 수 없다는 게 전문가들의 지적이다.

디도스 공격은 해커가 미리 악성코드를 심어둔 이들 PC에 일순간에 해당 사이트에 대한 공격명령을 내린다. 이미 확보한 좀비PC의 수가 적다면 공격은 성공할 수 없다. 때문에 해커들은 다양한 시도를 통해 이용할 수 있는 PC를 확보하는데 혈안이 돼있다.

반대로 말하면 개개인이 자신의 PC보안에 관심을 갖는다면 디도스 공격이 성공할 수 없다. 윈도를 최신버전으로 업데이트하고, 시중에 있는 무료 백신프로그램만 설치, 최신버전을 유지하는 것만으로도 공격의 90% 가까이를 막을 수 있다.

물론 최근 좀비PC를 넘어 서버 자체를 탈취하는 좀비서버도 등장하고 있지만 이들 서버는 관리자가 있기 때문에 개인 PC보다 탐지 및 방어가 수월하다.

APT(지능형 지속 공격) 공격들은 대부분 관리자 계정 확보를 위해 해커가 지속적으로 접근과 관련이 있는 인사의 PC에 악성코드를 심었기에 성공할 수 있었다.

해당 PC를 통해 사내 전산망에 침투한 후 상위 계정 확보 및 정보 수집을 통해 전체 시스템 장악 및 핵심 정보 유출을 시도한 것.

◇APT 공격, 내부인사 PC 집요하게 노린다

이미 SK커뮤니케이션즈(SK컴즈 (2,790원 5 -0.2%))의 개인정보 유출 사고가 이 같은 방식으로 진행된 것으로 알려졌다.

이러한 악성코드는 사내 철저한 보안 SW 역시 감지할 수 없는 경우가 많다. 바이러스와 안티바이러스라는 용어에서 알 수 있듯 원칙적으로 안티바이러스는 바이러스가 먼저 나와야 이를 분석해 치료할 수 있다. 물론 최근 다양한 기법을 활용해 기존에 없는 바이러스도 사전에 차단할 수 있는 기술이 등장하고 있지만 아직 완벽하지는 않다.

특히 해커들은 공격하고자 하는 조직이 이용하는 보안장비 및 SW에 대한 분석을 철저히 진행한다. 해당 장비와 SW의 약점을 철저하게 파고들기 위해서다. A사가 탐지할 수 있는 악성코드를 B사가 못 잡아낸다고 해서 B사의 보안제품이 결코 떨어지는 것이라고도 할 수 없다. 이와 반대로 B사는 완벽히 방어하는데 A사가 뚤리는 경우도 많다.

해커들은 A사의 보안제품을 이용하는 기업을 공격할 경우 해당 제품이 미처 잡아내지 못하는 악성코드를 만들어 침투한다. B사 기업을 공격한다면 해당제품이 취약한 또 다른 악성코드를 활용한다. 결국 악성코드가 담긴 파일 자체가 유입되지 않도록 개인이 보안에 신경을 쓰지 않으면 집요한 해커의 공격을 모두 막는 것은 불가능하다.

◇불법SW 통한 바이러스 감염 30%···10명 중 7명 회사PC에 개인SW 깔아


그럼에도 불구하고 여전히 개인에 대한 보안강화는 쉽게 이뤄지지 않는다. 국내 인터넷기업의 CSO(최고보안책임자)는 "사내 보안관련 포스터는 물론 정기적인 보안교육을 실시하고 있지만 직원들의 반응은 시큰둥하다"며 "마치 민방위 훈련에 참여해 시간이 빨리 흐르길 기다리는 중년 남성들 같다"고 토로했다.

그는 또 "조직원 하나하나가 보안의 중요성을 인식하고 있어도 해커들은 다양한 사회공학적기법을 이용해 빈틈을 노린다"며 "기업들은 보안 예산 가운데 상당수를 제품 구매에 이용하지만 아무리 첨단 시스템을 갖춰도 정작 사람을 관리하지 못하면 공격에 취약할 수밖에 없다"고 덧붙였다.

실제로 최근 마이크로소프트가 시장조사기관 IDC에 의뢰해 실시한 '불법 및 해적 소프트웨어의 위험성 조사에서도 이 같은 조직원들의 보안 불감증은 쉽게 보여진다.

이에 따르면 아시아태평양 근로자 가운데 74%는 기업 소유 컴퓨터에 개인 SW를 설치했다. 이 가운데 문제가 없는 PC는 단 12%에 불과했다. 심지어 각 기업의 IT 관리자 가운데 44%는 이에 대한 위험성을 제대로 인지하지 못하고 있는 것으로 나타났다.

보안업계 관계자는 "SW를 다운로드 받을 때 이메일, 블로그 등의 첨부파일이 아닌 공식 웹사이트에서 다운로드를 받아야 한다"며 "특히 이메일 제목에 현혹돼 첨부파일을 잘못 클릭하면 자신의 정보는 물론 조직 전체의 보안도 무너질 수 있다"고 말했다.