중국·해커가 엿보는 '줌'…한국에선 온라인수업 추천앱?

/사진제공=줌

미국에 이어 대만, 독일 정부가 화상회의솔루션 '줌'(Zoom) 사용을 금지하는 등 세계적으로 '줌' 보이콧이 확대되고 있다. 줌은 국내 재택근무에 이어 온라인 교육 용도로도 적극 도입되고 있던 상황으로, 새로운 변수가 될 전망이다.


10일 블룸버그 등 외신에 따르면 대만 정부는 최근 줌의 보안 문제가 불거지자 정부 공식 회의에서 줌을 사용하지 못하도록 금지했다. 정부가 '줌' 사용을 공식적으로 막은 것은 대만이 처음이다.

대만 정부는 코로나19 사태 이후 대면접촉을 피하기 위해 줌을 이용한 원격 회의를 적극 장려했으나 줌 관련 보안 논란이 잇따르자 결국 사용금지령을 내렸다.

독일 외교부도 줌의 데스크톱용 애플리케이션 사용을 금지하고 스마트폰 애플리케이션에 한해서만 사용하도록 허용했다. 구글 역시 보안을 이유로 직원들이 줌 데스크톱 애플리케이션을 쓰는 것을 금지했다.
데이터 中 경유 의혹 불거져…사면초가 줌, 주주들마저 "보안 조치 과장해 주가 손해"보안업체 시티즌랩에 따르면 최근 줌을 통해 전송되는 영상과 음성 데이터가 전혀 암호화를 거치지 않았으며, 몇몇 화상회의는 중국 내 데이터센터를 거쳤다는 조사 결과가 나왔다.

해당 논란이 일자 줌은 자사 블로그를 통해 "줌 클라이언트 연결이 여러 번 실패할 경우 이를 보조하는 다른 지역 데이터센터를 거쳐 연결된다"며 "이 과정에서 중국이 아닌 지역의 데이터가 중국 데이터센터로 전송됐으나, 현재는 다른 지역의 클라이언트가 중국 데이터센터로 접속되는 것을 차단한 상태"라고 설명했다.


줌은 주주들이 제기한 집단 소송에도 휘말린 상태다. 줌의 주주들은 줌이 보안 조치들을 부풀려 주가에 손해를 봤다며 줄소송을 예고했다. 줌 주가는 지난 3월 20일 연초 대비 134.5% 오른 159.56달러를 기록했으나 보안 이슈가 불거진 이후 약 26% 하락한 상태다.

줌은 화상회의에서 처리하는 데이터가 종단간(end-to-end) 암호화를 거친다고 밝혔지만 제대로 암호화가 되지 않는 것으로 나타났다.

'종단간 암호화'는 통신을 주고 받는 양 당사자만이 암호를 풀 수 있도록 하는 방식이다. 암호화가 제대로 되지 않을 경우 데이터를 중간에 가로챈 해커나 화상회의 프로그램 제공업체인 줌 측에서 데이터를 들여다 볼 가능성이 있다.

/사진제공=줌

악성코드 심은 줌 설치파일도 유포…줌 "페북 출신 보안 전문가 영입"또 최근에 줌 설치파일을 위장해 가상화폐 채굴기를 설치하거나 악성코드 다운로드를 유도하는 보안사고도 빈번하게 일어나고 있다.

보안업체 이스트시큐리티에 따르면 해외의 경우 줌 화상회의 사용자가 늘어나면서 악성코드를 심은 설치파일을 배포하는 공격 사례가 보고됐다.

악성코드에 감염된 컴퓨터는 공격자가 컴퓨터 전체에 대한 접근권한을 얻어 데이터를 훔치거나 웹캠 화면을 스크린샷으로 찍는 것이 가능하다. 다른 악성코드도 다운로드하거나 설치하는 명령을 내릴 수 있다.

이에 앞서 미국 연방수사국(FBI)은 지난달 31일 '줌 바밍'(Zoom-Bombing)을 주의하라고 공개 권고했다. FBI는 줌 사용자들에게 모든 회의를 비공개로 하고, 해킹을 우려해 화면 공유를 피할 것을 당부했다.

줌은 보안 논란을 수습하기 위해 페이스북의 최고보안책임자(CSO)였던 알렉스 스타모스를 고문으로 영입하기로 했다.

스타모스는 "줌이 현재 핵심 애플리케이션 보안, 암호 설계 및 인프라 보안에 있어 몇 가지 중요한 작업을 하고 있다"며 "줌의 엔지니어링 팀과 함께 해당 프로젝트를 수행할 계획"이라고 밝혔다.

9일 마포구 서울여자고등학교 교실에서 선생님이 온라인으로 쌍방향 수업을 진행하고 있다. /사진=이기범 기자 leekb@

정작 韓 줌 온라인 교육도구로 추천했는데…"판단은 교사가"아직까지 국내에서 줌 관련 보안사고가 보고된 적은 없지만 해외 주요 국가들이 줌 사용을 제재하면서 정부가 어떤 대응책을 마련할 지 관심이 높아지고 있다.

국내에서도 무료 사용이 가능하고 사용이 편리하다는 점 때문에 줌으로 영상회의를 하거나 온라인수업을 진행하는 사례가 늘었다. 교육부는 온라인 개학을 앞두고 줌을 온라인 교육을 위해 권장하는 프로그램 중 하나로 지정했다.

일선 학교에서 줌을 교육용으로 사용할 경우 수업이 개설된 방의 링크 보안에 신경 쓰지 않으면 국내에서도 보안사고가 얼마든지 재현될 수 있다.

줌은 비밀번호를 통해서만 접속 통제가 가능하지만 국내 화상회의 솔루션과 비교하면 관리자 기능이 워낙 많고 복잡해서 단시간에 사용법을 익혀야 하는 교사들이 이를 활용하기 쉽지 않다.

IT업계 관계자는 "'줌'은 비밀번호로만 접속 통제가 가능한데 비밀번호 기본설정이 비활성화 돼 있고 눈에 잘 띄지 않는 곳에 있다보니 관리자 입장에서 쉽게 찾기 어려울 수 있다"고 말했다.

정부는 '줌'의 취약한 보안에도 불구하고 일선 교육현장에서 사용을 금지하지는 않을 것으로 보인다. 교육부와 과학기술정보통신부는 지난 8일 줌과 관련한 보안 문제를 논의하고 '개인정보 보호 등 보안이 취약한 영상회의 앱은 사용하지 않고 보안 패치를 내려받은 뒤 사용하라'는 실천 수칙을 교육 현장에 전달했다.