좀비로 변한 네이트온, 해킹 툴이 된 개발자 PC

허술한 보안의식과 과도한 개인정보에 대한 탐욕이 나은 예고 된 인재

SK 커뮤니케이션즈에 큰 위기가 닥쳤습니다. 3500만명이란 천문학적인 숫자의 개인정보가 해킹 된 것이죠. 대한민국 인구의 60% 이상의 정보를 유출 한 것이니 말이 안나 올 정도 입니다.

너무 큰일이라 다른분들이 다뤄주고 계셔서 저는 그냥 넘어가려고 하다가 포커스가 해킹과 개인정보 유출한 쪽에만 포커스가 맞춰지는 뉘앙스가 풍겨서 원론적인 문제를 좀 더 집고 넘어가보고자 글을 기획하게 되었네요.

그럼 이야기를 시작해 보도록 하겠습니다.

이번 문제가 터지게 된 경위와 이유는 무었일까요? 우선은 안일한 보안의식에 포털들이 현재까지 자행된 무분별한 개인정보 수집욕이 더해져 발생한 초대형 인재라고 볼 수 있습니다.

그나마 다행인 것은 4대 포털중 한곳인 네이트 였기에 비번과 주민번호 같은 민감한 정보는 암호화 처리가 되 유출되도 당분간 피해 확산은 방지된다는 점입니다. 이로 인해 후속 대책과 수사에 필요한 시간을 벌었다는 점이 그나마 다행이라면 다행인점인 것입니다.

그럼 왜? 이런 문제가 발생했을까요?


서비스 해킹보다 클라이언트 해킹의 주요 요인?
많은 분들이 해킹에만 포커싱을 맞추고 있지만 이번 해킹의 피해 발생 프로세스를 보면 해당 정보가 있는 서버와 네트워크에 다이렉트 침투를 통한 해킹이 아닌 클라이언트 단에 설치된 네이트온 실행 파일에 악성 코드를 감염시켜 개발자 PC에 잠복해 있더 정보 수집후 원격 조정을 통해 DB 서버를 해킹한 것입니다.

즉, 해당 정보가 다루어지는 서버를 직접 공격한 사건과는 차원이 다른 문제라는 것입니다.


서버 직접 해킹과 클라이언트 해킹의 차이는?
서버를 직접 공격해 해킹하는 것은 사실상 불가능에 가까운 일입니다. 물론 실현 불가능하다기 보다 클라이언트 해킹보다 어렵고 시일이 걸리는 어려운 작업이란 의미입니다.

시스템을 방어하기 위한 방화벽을 네트워크 진입단, 웹서버단, 어플리케이션 서버단 그리고 데이터 관리 서버단에 촘촘히 설치되 방어되고 있고 기본적으로 서버 보안과 관리가 제대로 되고 있었을 것이므로 빈틈 찾기가 그렇게 쉽지는 않았을 것입니다.

또, 네이트정도되면 네트워크 구성을 이중화해 최소환 어플리케이션 서버단과 이런 고급 정보 관리 서버단이 네트워크 상에서 분리되는 수준 이상의 보안이 진행되 서버 공격은 사실 쉽지 않고 관리 권한 획득도 어려운 것이 사실입니다.(불가능한 것은 아니지만요..)

그러나 이번 사태에서 보셔서 알수 있듯 클라이언트단은 개개인의 유저와 운영자가 동일한 보안의식을 가지고 관리되는 것은 아닌 만큼 개개인에 따라 보안의 허점이 발생 할 수 있고 잘못 된 메일이나 웹사이트 P2P 사이트를 통한 악성코드 설치등 다양하고 지능적인 공격이 가능하다는 것이 차이점이고 이런 차이가 이번 해킹 사태를 발생 시킨 것입니다.

과거 DDOS도 그렇고 농협사태도 그렇고 최근에는 좀 더 손쉽게 해킹하기 위해 이런 수법이 유행하고 있다고합니다.


구체적으로 어떤 경로를 통해 해킹되었나?
우선 보도 된 기사들을 종합해 보면 악성 코드가 감염 된 개발자의 PC 에서 네이트의 서버 시스템 정보를 취득 보안 DB 에 접속 할 수 있는 정보와 권한을 획득해 이런 사태를 일으켰다고 소개되고 있습니다.

얼핏 봐서는 이거 멍청한거 아냐 백신도 설치 안했나 하시겠지만, 충분히 그럴 수 있는 것이 백신에 걸리지 않는 프로그램을 개발해 동료 직원의 메일로 전달하는 형식을 취한다면 경각심을 가지고 하나하나 따져보는 개발자가 아니라면 충분히 속아 넘어 갔을 가능성이 있습니다.

이 상황은 마치 젊은 사람이 보이스 피싱에 당해 통장의 돈을 인출 시켜준 상황과 같은 상황이라 무조건적으로 개발자 잘못으로만 치부하긴 어렵지만 개인정보를 다루는 직급에 있는 사람이 좀 더 철저한 관리를 하지 못한 부분은 지탄 받을 수밖에 없고 그에 따르는 책임이 주어져야 할 부분이라 아쉬움이 더 큰 것 같습니다.


그렇다면 클라이언트 PC 감염이 쉬운 것인가?
꼭 그렇지만은 않습니다. 이정도 작업을 하려고 했다면 어느정도 내부 네트워크 시스템등에 대한 파악도 필요 했을 것이고 또, 개발자를 속일 정도의 코드를 개발하고 예행 연습이 병행되 치밀한 시나리오에 따라 장기간 사전 작업을 벌여 진행 됬을 가능성이 많습니다.

개인이야 보안의식도 부족하고 백신도 안깔린 경우가 많겠지만 개발자의 경우 가능하면 불필요한 프로그램 설치는 않하는 경우가 많고 백신정도는 기본적으로 깔고 있을 가능성이 높고 무었보다 보안에 관해서는 일반인보다 더 신중함을 가지고 있을테니 말입니다.

결국 사전 정지 작업 없이 클라이언트 PC 해킹하긴 쉽지 않은 것도 사실입니다.


빠져나간 개인정보 해독도 쉽다는데 사실일까?
방송에서 3초만에 해킹 될 수 있다고 나왔는데 물론 100% 불가능하단 이야기를 드리긴 어렵지만 네이트가 바보가 아닌 이상 쉽게 해킹이 풀릴 수 있는 보안대책을 마련하진 않았을 것입니다.

기본적으로 SHA 같은 암호화 부터 그 이상의 고차원적인 암호화 기법이 사용되기에 방송에서 말한 것 처럼 복호화 툴이 개발되어 있지 않은 이상 3초만에 풀 수 있다는 것은 거짓말입니다. 이 부분은 방송에서 조금 과장 시킨게 아닐까 생각됩니다.


영원히 해독 불가능한가?
이 부분도 단정 짖기 어려운 것이 SHA도 약점이 발생해 SHA1으로 업그레이드 됬고 지금도 계속 업그레이드 되며 다양한 암호화 기법들이 나오고 있는 중이지만 그 이면에는 복호화도 이론적으로 불가능한 것은 아니란 사실을 증명하고 있는 것입니다.

그렇기 때문에 영원히 해독 불가능한 기술은 사실 존재하지 않을 수 있습니다. 다만, 방송에서 말한 3초 정도 수준의 복호화는 지금 당장에선 쉽지 않다고 말씀 드릴 수 있겠네요.


아무리 그렇더라도 네이트 자체의 책임이 없나?
법적인 책임이 지워지지 않을진 몰라도 도의적인 책임과 안일한 보안 의식으로 인한 사용자 정보 유출에 대한 책임을 회피하긴 어려울 것입니다.

기본적으로 아무리 보안이 잘되어 있어도 네부 네트워크 그것도 그정도 개인정보를 다루는 서버에 접속 할 수 있는 개발자가 많지는 않을 것이고 직급이나 보안 등급도 꽤 높았을 것입니다.

그런데도 이런 사태가 일어 났다는 것은 결국 좀 더 치밀한 보안 의식과 프로세스를 밟지 않았을 가능성도 같이 존재하기에 도의적 책임감을 벗을 순 없을 것이고 어떻게든 문책 될 사안이라 판단됩니다.

일이 점점 커지고 있어서 보안 담당자 몇몇은 목이 날라 갈지도 모를 사안입니다.

그리고 그동안 개인정보 축적을 그렇게 지탄했지만 들은 척도 안하고 끝까지 개인정보 수집에 열을 올렸던 그리고 이를 정보 차단의 도구로 활용한 정부와 포털 모두 일정부분 책임을 피하기 어렵습니다.

해외 서비스 중에 이런식의 과도한 정보 수집을 간과하는 국가나 기업은 없고 실제 구글의 경우도 주민번호와 같은 사회보장 번호등은 입력받지 않고 있기 때문입니다.

또, 해킹 사건이 발생한 이틀후에나 상황을 인지 했다는 것도 내부 보안 인력의 운용과 안일함이 어느 수준에 와있는지 깨닫게 되는 대목인 만큼 이에 대한 철저한 책임 규명도 뒤따라야 할 것 같습니다.

결국 이 문제는 개인정보가 자산이라고 생각하는 한국의 그릇 된 인터넷 문화와 인식 그리고 기업들의 횡포가 한대 어울어져 벌어진 재앙 인 것입니다.


이런 피해를 막기위해 법적으로 선행되어야 할 사항은 없나?
당연히 있지요. 우선 주민번호, 전화 번호 같은 지극히 개인적인 정보는 수집을 제안하고 이를 함부로 이용하는 업체도 제재를 가해야 하며, 모든 인터넷 기업들이 이 사건을 계기로 개인정보를 폐기 할 수 있도록 길을 열어주는 법 운영이 필요합니다.

또, 각 기업들도 보안 의식 고취를 위한 캠페인과 내부 교육은 물론 보안 시스템 체계를 다시 정비 할 필요성이 있습니다. 최근 일어난 금융권 해킹 사고도 그렇고 이번 사태도 그렇고 모두 서버 네트워크를 직접 공격해 일어난 사고가 아닌 안일한 보안 의식에 의한 내부 네트워크가 뚫려 발생한 문제이기 때문입니다.

그리고 보안 사범의 형량을 강화해야하고 화이트 해커 육성등을 제도적으로 마련해야 할 시기가 아닐까 생각됩니다.


SK컴즈의 대응 만족 할 수준인가?
만족 할 수준은 아니지만 지금 2차 피해가 어떻게 전개될지 모르는 상황에선 딱히 대안이 없는 것도 사실입니다. 자기들 목이 달려 있을텐데 어설프게 보상책을 들고 나올 수도 없고 시스템 변경에는 시간이 걸리는데 바로 시스템 변경한다고 할수도 없고 답답한 상황일 것입니다.

암튼 중요한 것은 사태 추이를 지켜봐야 된다는 것이고. 이번 일이 유야무야로 끝나서는 안된다는 사실입니다.


결론, 이대론 안된다 국가 차원의 대책이 필요하다.
이미 금융기관, 오픈마켓, 포털까지 한국을 좌지우지 하는 단체의 주요 기업들이 큰 사건을 일으켰고 이 사건들도 연쇄적으로 일어나고 있는 만큼 이제 더이상 안일한 인식에 젖어 있는 기업에만 이 일을 맞길수는 없는 상황이 되 버렸습니다.

즉각적으로 온라인 및 기타 금융  기관에 법에 접촉되지 않는 선에서 개인정보를 삭제하고 현재의 법을 정비해 개인정보 보유 기간과 한도를 조정함은 물론 별도 관리 지침과 관리 규정으로 시스템 접근에 대한 방비를 세워야 합니다.

또, 이런 일련에 사태를 만든 기관에 책임을 물을 수 있는 법이 정비되어야 하겠고 개인정보 수집을 법으로 금지하는 규정을 만들어야 할 것 같습니다.

저도 네이트 회원으로 당장 탈퇴하고 싶지만 이런저런 비즈니스적 이유로 그러지 못하고 있는 것도 사실입니다. 답답한 마음으로 지켜보고 있는데 빨리 사태가 잘 해결되길 바라며 이번 사건을 타산지석으로 삼길 바라며 이번 글을 줄일까합니다.