대한민국도 스턱스넷 바이러스 '무방비지대'

최근 이란에서 악성 바이러스의 일종인 '스턱스넷(Stuxnet)'에 감염된 컴퓨터가 1만6000대에 이른다는 보도가 나온 가운데, 대한민국 핵심 인프라 정보통신 기반시설도 이에 대해 취약한 것으로 밝혀졌다.

3일 정부기관과 보안업계에 따르면 이동통신사, 주요 병원, 공공기관 등 국가 핵심 보안시설로 분류돼 특별 관리되고 있는 주요 정보통신 기반시설 중 상당수가 물리보안 설비 없이 해킹에 무방비 노출돼 있는 상태로 운영되고 있는 것으로 드러났다.

현행 정보통신기반보호법은 국가 기반인프라를 보호하고, 사이버 테러를 예방하기 위해 정부행정망을 비롯한 군수, 경찰, 금융, 통신, 운송 등 국민생활에 직접적인 영향을 미치는 주요시설들을 '정보통신기반시설'로 지정해 특별 관리하고 있다.

보안업계에 따르면 케이티, SK텔레콤, LG유플러스 등 기간통신장비는 물론 서울시를 포함한 5대 광역시와 지자체, 법원, 검찰, 선관위, 가스공사, 대형병원, 제2금융권 등 주요정보통신 기반시설들이 대부분 '물리보안 사각지대'로 밝혀졌다. 여기에 교통제어설비, 철도-공항-항만관제시스템, 은행 전산단말기와 CD/ATM기기, CCTV, 지하철 운영-관제시스템 등 산업장비도 사실상 무방비 상태로 알려졌다.

보안전문업체 컴엑스아이 안창훈 대표는 "정보통신기반시설 대부분이 침입탐지, 방화벽, 네트워크 보안, 암호인증 등 SW방식의 정보보안에 의존하고 있어, 추가로 통신포트 물리보안 설비를 갖추지 못하면 내부 직원이나 협력사, 하청회사 직원이 악의적으로 USB로 바이러스를 흔적을 남기지않고 유포하거나, 해킹하고 정보를 유출할 수도 있다"고 지적했다.

일부기관 보안담당자들은 "통합정보보호시스템을 도입했기 때문에 통신포트를 통한 정보유출은 불가능하다"고 밝히고 있다.

하지만 지능화된 첨단 기술로 중무장한 해커들이 급증하고 있는 데다, USB포트를 통한 바이러스형 해킹과 정보파괴 기술이 갈수록 교묘해져 SW방식 정보보호시스템만으로는 안전을 장담할 수 없다는 지적이 많다. 

지난 해 코레일 직원 과실로 군사정보 2만6천 건을 해킹당했고, 80만 명의 고객정보가 유출된 삼성카드 사건과 3500만 명 정보가 빠져나간 네이트 싸이월드 해킹사고, 1천1백만 명 정보가 빼돌려진 GS칼텍스 사건 등 대형 정보유출 사건사고도 모두 USB포트를 통한 유출로 추정하고 있다.

최근 문제가 되고 있는 스턱스넷 바이러스는 산업기반시설에 침투, 엄청난 피해를 줄 수 있어 더욱 문제가 되고 있다. 

스턱스넷은 2010년 이란 원전 시설을 해킹해 핵심시설인 원심분리기 1천대에 심각한 피해를 준 대표적인 산업기반시설 공격 바이러스로,  교통, 전기, 수도, 발전소 같은 사회기반 시설의 통제 시스템인 스카다(SCADA, Supervisory Control And Data Acquisition)를 정밀 공격해 국가 전반에 엄청난 피해를 줄 수 있는 신종 바이러스다. 

이란 정부는 누가 어떻게 이 바이러스를 만들어 이란 관련 설비에 감염시켰는지 알 수 없다고 밝혔다. 하지만 이스라엘이 만들었다는 분석이 유력하며 미국이 지원했을 가능성도 제기돼왔다.

전문가들은 "스턱스넷으로부터 안심하려면 폐쇄시스템 내 정보통신기기와 각종 산업시설의 통신포트를 물리적으로 봉쇄해 침입경로를 차단하는 물리보안시스템 도입을 병행해야 한다"고 조언한다.

지난 해 국가정보원이 주요 국가시설에 대한 정보보호실태를 점검한 결과 건강보험공사, 인천국제공항 등 일부를 제외하고는 상당수 정보통신기반시설의 정보보호수준이 낮은 것으로 조사됐다.

안랩(구 안철수연구소) 역시 2010년 7월부터 2011년 4월까지 국가기간시설의 전산망을 마비시키고 USB를 통해서 대부분 전염되는 스턱스넷 바이러스 침투시도가 9768건이나 된다며 피해를 우려한 바 있다.

안 대표는 "올들어 항공교통관제, 서울접근관제시스템, 통합홍수예보시스템, 댐홍수경보시스템 등 주요정보통신 기반시설로 추가됐고, 오는 4월11일 치러질 제19대 국회의원 선거를 앞두고 재외선거관리시스템이 새롭게 지정됐지만 이들 시설이 대부분 물리보안 설비가 취약한 상태"라며 "사이버 전쟁시대에 대비해 SW 정보보호 시스템과 함께 이를 보완할 통신포트 물리보안 시스템 도입을 병행해야 할 것"이라고 주장했다.

현화영 기자 [e-mail]
사진=컴엑스아이