[일문일답]"北, 6.25사이버공격 통해 개인정보 유출 추정"

= 박재문 미래창조과학부 정보화전략국장이 지난 3일 오전 경기도 과천시 관문로 정부과천청사 미래창조과학부 기자실에서 '정보보호산업 발전 종합대책' 관련 브리핑을 하고 있다. (미래창조과학부 제공) 2013.7.4/뉴스1

지난 6.25 사이버공격의 주체가 북한으로 지목되면서 청와대 홈페이지 가입자 및 새누리당 당원명부 등 개인정보 유출 역시 북한의 소행인 것으로 추정된다. 정부는 이번 공격이 최소 6개월 전부터, 즉 3.20 사이버테러 이전부터 준비된 것으로 파악하고 있다.

민관군 합동대응팀은 16일 과천정부청사에서 가진 브리핑에서 지난달 25일에서 이달 1일 사이 발생한 청와대, 국무조정실 등 홈페이지 변조와 방송, 신문사 서버 장비 파괴, 정부통합전산센터 DDoS(분산서비스거부)공격 등 총 69개 기관업체 대상 사이버공격이 북한의 해킹수법과 일치하다고 밝혔다.


다음은 박재문 미래부 정보화전략국장과의 일문일답.

-6.25 사이버 공격 이후 청와대 당의 개인정보가 유출됐다고 하는데, 북한측이 청와대에서 개인정보를 유출했다고 보면 되는 것인가.
▶단정적으로 북한이라고 말하기는 어렵지만 공격주체가 북한이기 때문에 (개인정보 유출도) 북한의 행위인 것으로 추정하고 있다.

-북한 해커들이 개인정보를 빼내려 했다는 증거는 무엇인지.
▶개인정보 유출이 이번 공격과정에서 발생한 것인지 사전준비과정에서 발생한 것인지에 대해서는 밝혀지지 않아 유출 시점에 대해서는 정확하게 확인할 수 없다. 하지만 3.20 사이버테러나 7.7 디도스 사태, 농협사고 등과 마찬가지로 발견된 증거에 따라 북한 소행이라고 추정하고 있다.


-개인정보 유출 시점을 정확하게 모른다면 이번처럼 청와대 접속오류 등과 같은 눈에 보이는 문제가 벌어지지 않았을 경우 유출여부를 파악할 수 없다는 것인가. 앞으로 누군가가 정보를 빼내가려고 해도 사전에 막을 수 없다는 뜻인지.
▶사후 약방문 같긴 하지만 현재 재발하지 않도록 보안조치를 강화하고 있다. 청와대 뿐 아니라 다른 기관이나 기업의 웹서버 역시 정보유출 가능성이 항상 있다. 주기적인 점검 과정에서 확보한 시스템 로그를 분석하면 파악할 수 있기 때문에 이번 사건을 기회로 해서 점검 계기로 삼으려 한다.

-정확한 개인정보 유출 피해규모는?
▶유출규모는 정확하게 파악하고 있지 않지만 이미 피해기관에서 개인정보 유출을 인정하고 따로 발표한 것으로 알고 있다.

-발표내용으로 보면 공격자는 최소 수개월 이상 준비했다고 하는데.
▶그렇다. 3.20 사이버테러 이전, 최소 6개월 이상으로 파악한다.

-그렇다면 3.20 사이버테러와 유사하다는 말은 무슨 뜻인가.
▶3.,20때와 마찬가지로 국내 정보기관이 파악하고 있는 북한 IP대역에 해당되는 IP가 일부 피해기관과 악성코드 경유지에서 발견됐다. 시스템에 대한 파괴행위도 이뤄졌는데 이를 복구하는 과정에서 일부 로그를 채취했다. 또 3.20 당시 발견된 악성코드의 변종된 형태로 확인됐다.

-북한의 소행이라고 추정하는 근거가 모두 변조가능한 것들이다. IP주소나 악성코드 문자열 등은 얼마든지 변조할 수 있는 것 아닌가.
▶물론 IP변조가 가능하지만 이번에 발견된 IP와 피해경유지에서 발견된 서버는 양방향통신이라서 변조가 불가능한 것으로 파악하고 있다. 추정이라기 보다는 북한소행이라고 판단하고 있다고 이해하면 될 것 같다.

-보안전문가들의 얘기를 들어보면 청와대 사이트나 폐쇄망인 정부기관 사이트가 주기적으로 공격당하는 것은 이미 악성코드에 감염돼 있기 때문이라는 주장도 나온다. 이미 장악된 상태로 외부 해킹주체와 교신을 하면서 정치적으로 민감한 시기마다 공격한다는 주장이다. 실제로 국가망에 악성코드가 감염돼 있는데 우리가 감지못하고 있는 것인가.
▶그 부분이 우리도 가장 고민하는 부분이다. 최근 공격은 잠복기를 거친다는 것이 가장 큰 특징이다. 이번 사고의 경우에도 악성코드가 이미 심어져 있었기 때문에 발생한 것이다.

다만 국가망은 구분해서 생각해야 한다. 인터넷으로 접근할 수 있는 대국민서비스 시스템이 있고 국가 업무를 위한 내부망이 있다. 서로 망구성 자체가 다르게 돼 있다. 이번에 대부분 공격당한 부분들은 분리된 국가기간망이 아니라 개방된 인터넷 망에 대한 공격이었다. 정부통합전산센터에 대한 디도스 공격의 경우에는 트래픽의 문제로 마비피해를 입은 것일 뿐 해킹당한 것은 아니다.

-3.20 전부터 준비한 것으로 확인됐다고 하는데 그렇다면 당시에는 잠재된 공격가능성을 파악하지 못한 것인가. 유사한 사건이 재발할 가능성도 있나?
▶3.20 때는 6개 기관을 대상으로 해서 APT(지능형지속공격)방식으로 시스템 파괴가 발생한 것이다. 이번에도 시스템 파괴가 발생하긴 했지만 웹변조와 디도스공격까지 발생했다. 공격자체가 사전에 탐지되면 좋겠지만 공격자 입장에서는 탐지가 어렵도록 악성코드 등을 계속 조작한다.

하지만 당할 때까지 손을 놓고 있는 것이 아니라 계속 보안조치를 하고 있고, 징후파악이나 사전탐지를 위한 연구개발을 하고 있다.

-3.20 이후 방어를 했는데도 이같은 피해를 입은 것인가. 도저히 방어할 수 없을만큼 진화된 수법이었나.
▶이번 공격은 웹변조가 처음 발견됐다. 공격대상도 달랐고, 공격자가 어떤 사이트나 시스템을 대상으로 할 지는 미리 파악하기 어렵다. 3.20 이후에도 웹사이트 등에 이상이 있는지 모니터링 하고 이상이 생기면 빨리 파악하는 데 중점을 두고 있었다.

이번 공격에서 국가기관이 주요 이슈가 됐지만 나머지 피해 기관이나 업체들은 잘 알려지지 않은 소규모가 많다. 이런 곳은 보안조치가 미흡한 것은 명백한 사실이다. 국가기관과 마찬가지로 민간기업 및 기관의 보안조치를 강화해야 할 것이다.