20일 오후 2시쯤 KBS, MBC, YTN 등 방송사와 신한은행, 농협은행, 우리은행, 제주은행 등 4개 은행, NH생명보험, NH손해보험 등 2개 보험사의 직원용 컴퓨터 3만여 대가 일제히 마비되는 사태가 일어났다. 여러 금융기관과 주요 방송사 직원들 컴퓨터의 부팅 섹터가 삭제되고 컴퓨터를 켤 수 없는 일이 일거에 발생한 것은 사상 초유의 일이다. 전세계 기술언론은 '해외 토픽' 감으로 이 사건을 다루고 있다. 부끄러운 일이지만 다른 한편으로 어쩌면 당연한 결과라고도 할 수 있다.
공인인증서라는 1990년대 말 기술에 거의 모든 것을 걸다시피 하면서 전국민의 컴퓨터에 이른바 '보안 프로그램'이라는 것을 설치하도록 강요해 온지 이미 10년이 넘었다. 그 동안 한국의 유저들은 보안경고창이 뜨면 반드시 '예'를 누르도록 교육받았고, 웹페이지에 나타나는 안내만을 무작정 믿고 자신이 잘 이해하지 못하는 프로그램을 자기 컴퓨터에 설치하는 위험천만한 행위를 대수롭지 않게 여기도록 반복 훈련되었다. 그 결과를 이제 목격하는 셈이다.
이번 사태는 국내 보안 상황의 더욱 끔찍한 취약점을 드러냈다. 해당 금융기관과 방송사 직원의 컴퓨터에 설치된 국내 양대 보안회사의 백신프로그램이 바로 악성코드 배포 '경로' 역할을 했기 때문이다. 이들 보안 회사들은 발뺌하기에 급급하지만, 내막을 들여다 보면 이들의 변명은 설득력이 없다. 백신 업데이트 파일이 배포되는 서버를 제대로 관리하지 않아서 공격자가 악성코드를 백신 업데이트 파일로 위장하여 배포하였을 뿐 아니라, 이들 보안 회사의 백신 프로그램은 자신의 업데이트 파일이 변조되었는지 여부도 확인 안하고 무작정 실행해대는 위험천만한 방식으로 설계되어 있었기 때문이다. 이런 수준의 프로그램을 '보안' 프로그램이라고 판매한 책임을 면하기는 어려울 것이다.
몇몇 회사의 백신프로그램이 전국민의 컴퓨터에 모조리 설치되어 있는 한국의 실상은 위험하기 짝이 없다. 이번 사태가 북한 소행이라느니 하는 근거 없는 짐작이 난무하지만, 만일 진실로 어떤 적대적인 세력이 공격을 하기로 마음만 먹으면 비슷한 방법으로 전국민의 PC를 장악할 수 있는 토대가 마련되어 있다는 점을 이해해야 한다. 그때는 이번처럼 공격 사실을 드러낼 이유도 없다. 조용히, 아무 일도 없는 듯, 온 국민의 PC를 장악하는 사태야말로 위험한 것이다. 정부가 특정 프로그램을 온 국민의 PC에 강제로 설치하는 행위는 보안기술적으로는 집단 자살 준비행위에 가까운 것임을 알아야 한다.
그 동안 반복된 국내의 보안 관행으로 인하여 한국은 해킹하기 가장 좋은 나라가 되었다. 보안경고창이 뜨면 습관적으로 '예'를 눌러 경고창을 없애도록 유저를 위험하게 길들여 놓고는 그저 '보안 프로그램'을 설치하기만 하면 보안이 달성될 거라는 유치한 발상으로 일관하는 게 국내의 보안 관행이다. 이에 대하여 이른바 '보안 전문가' 어느 누구도 자신의 이름을 걸고 그 발상의 미개함과 위험함을 정직하게 지적하지 않았다는 사실은 한국 보안 실상의 열악함을 입증하는 것이다.
사태를 해결하는 실마리는 첫째, 특정 보안 기술을 정부가 강요하지 말아야 하고, 둘째, 부가 프로그램을 유저의 컴퓨터에 설치해야 하는 낡은 방식의 보안에서 탈피해야 하며, 셋째, 백신 설치를 규정으로 강제해 주기를 바라고 여기에 의존하여 영업하려는 국내 보안 업계의 그릇된 사업 전략이 중단되어야 한다. 제품 설치를 '강제'해 주면, 제품의 품질은 저하되기 마련이다. 유저에게 위험한 행위를 하도록 끊임없이 유도해 놓고 유저 탓만 되풀이 해오고 있는 국내 보안의 실상은 이제 근본적인 발상의 전환이 필요한 시점에 왔다고 생각한다.
김기창 고려대 법학전문대학원 교수
기사 URL이 복사되었습니다.
댓글0