관리자 계정 탈취 공격 땐 방어 한계… 보안 구멍이 화 초래

사이버테러 허술한 내부 보안 원인 지적

정부와 보안업체가 20일 발생한 방송·금융사의 정보망 마비사태의 원인은 피해사에 설치된 업데이트 관리서버(PMS) 해킹이라고 밝힘에 따라 피해사의 허술한 내부 보안 관리가 1차적인 사고의 원인으로 지목된다.

방송통신위원회는 21일 브리핑에서 “이번 사고는 피해사의 PMS가 해킹돼 이를 통해 내부 PC가 대량 감염된 것으로 분석했다”고 밝혔다.

방통위는 “아직 종합적인 조사 결과를 말할 단계는 아니지만, 농협은 자체 관리하는 PMS에 악성코드가 심어졌고, 그것이 PC에 전파된 것으로 분석하고 있다”고 덧붙였다.

안랩 역시 “외부망에 위치한 (보안) 업데이트 서버가 아닌 기업 내부망의 자산관리 서버가 이용된 것으로 확인됐다”고 언급했다. 안랩은 해킹이 발생한 6개사 중 MBC, 신한은행, 농협에 일부 보안 시스템을 구축했지만 보안 서버 관리는 각사가 직접 하는 것으로 알려졌다.

보안업체 잉카인터넷의 관계자는 “해킹은 모두 리눅스 운영체제(OS) 기반의 서버에서 일어났다”며 “관리자의 계정을 탈취해 보안 취약점을 공격한 것으로 판단된다”고 말했다.

보안 업계에서는 일단 관리자의 계정이 탈취당하면 백신이 깔려 있다고 해도 해킹 공격을 완전 차단하기는 어려운 것으로 보고 있다. 백신 파일이나 시스템 업데이트 파일을 바이러스 파일과 바꿔치기하는 것도 가능하다. 3500만명의 개인정보가 유출된 2011년의 네이트·싸이월드 해킹 사건도 보안 관리자 권한이 탈취당하면서 불거졌다.

그렇다고 현재 상황에서 보안 업체들의 책임이 없다고 단정짓기는 이르다. 미국 보안업체인 소포스연구소는 방송·금융사의 전산망을 마비시킨 악성코드를 1년 전부터 탐지하고 있었다고 주장했다.

사상 초유의 방송·금융 전산망 마비 사태와 관련해 21일 경찰청 사이버테러대응센터 해킹·악성코드 분석실에서 연구원들이 피해를 당한 PC의 하드디스크와 서버를 분석하고 있다.
남정탁 기자

소포스연구소는 20일(현지시간) 소식지 ‘네이키드시큐리티’에서 “소포스의 보안 프로그램이 한국의 내부 전산망 마비사태를 불러온 멀웨어(악의적인 소프트웨어) ‘Mal/EncPk-ACE’를 탐지했다”며 “이는 소포스의 보안프로그램이 1년 전부터 탐지할 수 있는 형태의 멀웨어”라고 언급했다. 소포스연구소는 이 멀웨어가 비교적 풀기 쉬운 코드를 썼다고 설명했다.

소포스연구소 주장대로라면 국내 보안업체들이 이미 알려진 바이러스를 제대로 탐지해 내지 못한 셈이 된다.

알려진 것과 달리 보안업체가 관리하는 서버에서 해킹이 이뤄졌다면 보안업체와 피해를 본 방송·금융사 간 책임 공방도 예고된다.

엄형준 기자