[토요칼럼]맥없이 당한 사이버 대한민국

[토요칼럼]맥없이 당한 사이버 대한민국: 정해용 / 기사승인 : 2009-08-03 15:01:50

총알이 날아다니거나 폭탄이 터지거나 백병전이 벌어진 것도 아니다. 건물이 파괴되거나 사람이 쓰러지는 것도 아니다. 비행기가 날아다니거나 전차가 질주하는 것도 아니다. 하지만 사람들은 이것을 전쟁이라 부르고 있다.

지난 7일 오후 시작된 인터넷상의 디도스(DDoS) 공격 소동은 온통 나라 안을 시끄럽게 휘젓고 이제 진정되는 중이다. 출처불명의 디도스 악성 코드가 공격 목표로 삼은 건 주로 국가 정보기관과 다음 네이버 파란 등 일반인이 가장 많이 이용하는 대형 포털사이트, 국민은행 우리은행 등 금융회사 사이트들이었다. 그만큼 곧바로 일반인들이 불편을 겪을 수 있는 타격을 목표로 하였다는 것이다.

인터넷 전문가들은 이것을 전쟁과 같은 것이라고 말한다. 좀 더 정밀하게 표현하자면 ‘사이버 테러’다. 이로 인한 사회경제적 손실은 아직 계산된 바 없지만, 직접 피해만 따져도 적지 않을 것으로 보인다. 우선 정부 기관들의 업무가 장시간 마비되었고, 인터넷을 이용하려는 사용자들이 접속불능 또는 접속지연 등으로 상당한 시간적 손실을 입었다. 마지막으로는 이 프로그램이 숨어있던 컴퓨터 자체를 손상시키기도 했다. 컴퓨터 사용자 개인에게 직접적인 피해까지 입힌 셈이다.

이 소동은 무엇보다, IT강국임을 자랑하는 한국이 그것을 안전하게 사용하는 데 있어 얼마나 무심했는지를 보여주었다. ‘무능력’한 건 아니다. 디도스 소동이 일어난 직후 국내 보안업체들은 즉각 이 악성코드의 속성을 간파하여 대응책을 알리고. 몇 시간 안 되어 이를 막고 지울 수 있는 백신을 무제한 공개하였다. 능력이 있는데 왜 대비는 못했을까. 무심했던 탓이다. 이 무심의 배후에는 정부 기관의 ‘무지’가 큰 몫을 한다. 국내에 이 정도의 방어기술이 없었던 것도 아니고, 이 기술을 이용하는 데 드는 비용을 감당 못할 만큼 나라가 가난한 것도 아니다. 더구나 국내 주요 사이트들을 사흘 동안 괴롭힌 악성코드는 심지어 가장 초보적 단계의 해킹 프로그램에 불과한 것이었다. 때문에 인터넷 보안에 대한 무심과 무지가 가장 큰 문제라는 질책을 피해갈 수 없다.

소동이 벌어지자 IT보안 산업의 권위자 안철수 박사는 ‘충분히 막을 수 있는 것을 대비하지 않아 벌어진 당연한 결과’라고 한탄했다. 당장 디도스 소동 직후에 열린 긴급 관계장관회의는 정부 각 기관에 이런 형태의 공격을 막아낼 수 있는 트래픽분산 장치를 설치하기 위한 예산 2백억원 정도를 긴급 투입하겠다고 발표했다. 본래 이 분야의 올해 예산은 단 10억이 책정되어 있었다고 한다. 정부가 즉흥적인 관심사를 위해 수백수천억원이 손쉽게 투입되는 일이 비일비재한 터에 국가안보와 관련되어 있다는 정보보안에 들인 관심이 상대적으로 얼마나 미약했가를 여실히 보여주는 대목이다.

사실 일시적 트래픽 쇄도로 사이트를 마비시키는 디도스의 피해는 종종 있던 일이어서 정부의 일부 사이트들은 이에 대한 대비가 되어 있었다. 9일의 2차 공격에서도 표적이 됐던 행정안전부 사이트는 미리 준비된 대응시스템의 작동으로 피해를 막을 수 있었다.

정부는 행정안전부 사이트가 무사했다는 것을 자랑할 게 아니라, 이런 방어체제를 갖추지 못한 공공 사이트가 더 많다는 사실을 부끄럽게 생각해야 한다. 명색이 IT강국이다. 그런데 이 방어체제를 갖춘 것은 17개 공공분야 가운데 3개 뿐이고, 나머지는 다른 예산에 밀려 ‘장기계획’으로 남아있었다. 더구나 방치된 공공분야에는 대다수 민원서비스를 전산으로 해결하고 있는 건설 세무 교육 보건의료 증권 특허 등 분야가 포함돼 있고, 국방 외교 경찰 분야 등도 아직 대응시스템을 갖추지 못했다. 어쨌든 다리 하나 놓는 값도 안 될 200억원으로 나머지 공공분야에 대책이 세워진다니, 이번 디도스 소동은 늦게나마 정부의 무지를 일깨운 백신 노릇을 톡톡히 하게 된 셈이다.

그런데 정부가 이 소동이 비교적 큰 피해를 남기지 않고 지나간다고 해서 다시 맥을 놓진 말아야 할 텐데 믿을 수 있을까. 소동이 시작되었을 때 정보당국이 맨 먼저 한 일 가운데 하나가 ‘아마 북한이나 북한 동조세력의 소행 같다’는 언질이었는데, 전문가들의 소견은 하나같이 북한이라고 단정할만한 기술적 근거는 없다는 것이었다. 나중에 경찰이 디도스의 근원으로 찾아낸 사이트들은 오히려 미국 독일 오스트리아 등 해외에 있는 것이었다. 물론 굳이 상상하자면 그 배후에 북한의 공작원들이 있을 수도 있다. 그러나 기술적 추적과 분석은 거의 민간 전문가들의 소견을 뒤쫓는 수준에 머물면서 정치적 해석부터 앞세워 국민 불안을 부추기는 것은 정보당국의 역할로서 바람직하지 않다. 이제라도 정부가 사이버시대에 걸맞는 대응을 하겠다고 하니 기대는 해보겠지만, 우선 시대에 뒤떨어진 그동안의 대응자세를 치열하게 반성한 뒤라야 제대로 된 가능하지 않을까.