한수원 '외부망 차단'에도 퍼져가는 '파이어세일 공포'

머니투데이

성연광 기자
진달래 기자

월성원전

한국수력원자력(한수원) 내부자료 유출사건으로 인해 국가 기간시설에 대한 사이버공격 우려가 현실로 나타나고 있다. 한수원 등은 안전성을 강조하고 있지만, 보안전문가들은 '파이어세일(기간시스템무력화)' 가능성도 배제할 수 없다는 입장이다. 특히 해커그룹이 25일 크리스마스를 전후로 2차 파괴공격 실행을 예고한터라 추가 공격을 방심할 수 없는 상황이다.

22일 보안업계 등에 따르면 이른바 '파이어세일' 우려가 이번 한수원 내부자료 유출사건으로 불거지고 있다. 파이어세일은 영화 '다이하드'에 소개됐던 사이버 공격으로 교통, 금융, 원자력 등 관련 국가 기간망을 통제불능 상태에 빠트린다. 영화같은 일이 현실에도 벌어질 수 있다는 것이 보안전문가들의 의견이다. 원자력발전소 등을 전면 마비시키는 공격을 하기 위해서는 오랜 시간과 기술, 거액의 자금 등이 필요하지만 '불가능'하지는 않다는 것.

한수원측은 "원전 제어시스템은 '100% 독립 폐쇄망'으로 안전하다"며 "추가적인 사이버 공격 영향은 없을 것"이라고 반박했다. 그러나 단순하게는 사용자 부주의로 인해 하드디스크 등 외부저장매체 사용을 통해서도 악성코드가 옯겨갈 수 있고, 기본적으로 어떤 연결망이든 통로가 최소한 한군데는 있다는 게 보안 전문가들의 설명이다.

익명을 요구한 한 보안전문가는 "본사에서 전 지역 원자력 발전소 현황을 한 눈에 파악을 하고 있다면, 폐쇄망인 제어시스템이라도 외부망과 최소한 한 군데는 통로가 있다는 의미"라며 "해당 통로가 완벽히 실시간 보안 점검이 이뤄지지 않으면 안전을 담보할 수 없다"고 말했다.

다른 보안 전문가들도 "원자력 발전소 등 원격지 시설 장치를 중앙에서 감시, 제어하는 시스템이 무결하다는 인식은 잘못된 것"이라며 "이미 충분히 분석 가능한 상황이고, 2010년 스턱스넷(Stuxnet) 사례만 봐도 알 수 있다"고 지적했다. '스턱스넷'은 2010년 처음 발견된 바이러스 명칭으로, 당시 이란 핵시설을 마비시켜 기간시설에 대한 사이버공격의 대표적인 사례로 꼽힌다.

시만텍의 윤광택 이사는 "기간시설 외부 공격에 대한 모든 가능성을 열어두고 현재 시설에 대한 보안점검을 꼼꼼히 해야 하고, (공격 통로로 의심되는)연결된 네트워크를 끊어내는 등 대책 수립을 진행해야 한다"며 "특히 보안전문가와 원자력발전 관련 전문가와 공조를 통해서 점검을 진행해야 할 것"이라고 말했다.

다만, 폐쇄망에 접근하기 위한 내부 조력자가 확보되지 않았을 경우, 발전시설에 대한 직접적인 공격보다는 내부 업무 마비를 노린 '논리폭탄' 공격이 감행될 가능성에 무게가 쏠리고 있다. 보안 전문가들은 지난 9일 유포된 악성코드 이전에 아직 공개되지 않은 취약점을 악용한 또다른 악성코드가 한수원 내부망에 침투해 있을 가능성도 배제할 수 없다는 판단이다. 이미 발견된 악성코드의 경우, 다음날인 10일 오전 11시 하드디스크 파괴 기능이 동작하도록 미리 설계돼 있었다는 것.

따라서 내부자 유출이 아닌 사이버 해킹을 통해 한수원 내부 자료를 유출했다면 그 이전에 또다른 악성코드 공격이 이루어졌을 가능성도 공존하고 있다는 얘기다. 정부 합동수사단과 한수원측이 악성코드 추적 등에 나섰음에도 해커그룹이 또다시 추가 파괴공격을 경고한 것도 이 때문 아니냐는 관측이 나오고 있다.

이를 감안하면 특정 일, 특정 시간에 하드디스크 파괴공격을 감행할 악성코드가 추가적으로 한수원 내부에 침투해 있을 가능성이 있다. 관건은 물리적 시간이다. 한수원 내부에 사용되는 PC는 5000대가 넘는 것으로 추정된다. 추가공격을 완벽히 차단하기 위해서는 전수 검사가 필요한데 25일까지 시간이 부족하다. 지난 6월부터 발견된 악성코드들이 최신 '안티포렌식(디지털추적방지기술)' 기법을 적용돼 있어, 이를 일일이 찾아내기가 까다롭다.

최상명 하우리 보안연구센터 팀장은 "평소에는 정상파일로 위장돼 있다가 악성기능을 수행할 때만 암호가 풀려 PC 메모리에서 악성기능을 수행한 뒤 임무가 끝나면 또다시 정상파일로 되돌리는 수법이 최근 비슷한 공격의 유형에서 발견됐다"며 "보안 분석가들이 일일이 PC마다 전수검사를 하지 않으면 탐지 자체가 어렵다"고 지적했다. 안티바이러스 등 기존 보안 프로그램의 패턴 검색방식으로는 걸러낼 수 없다는 얘기다.