1-1. 신종 악성코드 사상 최다 발생 <안철수硏>

4천406개로 최근 16년치 합계보다 1천개 많아
올 한해 바이러스, 웜 등 악성코드가 최근 16년간 발생치를 모두 합한 것보다 많을 정도로 기승을 부린 것으로 나타났다.

안철수연구소[053800]에 따르면 지난 10일까지 발생한 악성코드 건수는 1988년부터 지난해까지 발생한 악성코드의 합계인 3천389건보다 1천건이 늘어난 4천406개로 집계됐다.

이는 지난해 대비 2.6배 증가한 수치며 피해 신고 건수도 같은 기간에 비해 40% 증가한 것으로 조사됐다.

가장 많은 피해 신고가 접수된 악성코드는 2만8천344건(28%)을 기록한 넷스카이.29568 웜이며 두마루.9234가 1만3천26개로 뒤를 이었다.

넷스카이 웜 변종들은 메일은 물론 P2P(개인 대 개인) 응용 프로그램을 통해 전파되며 네트워크 폴더에도 웜 파일을 복사해두기 때문에 확산력이 큰 특징이 있다.

두마루.9234 웜은 MS에서 패치파일을 보낸 것처럼 위장하기 때문에 사용자들이 이에 속아 첨부파일을 열어보는 경우가 많다고 안 연구소는 설명했다.

안 연구소는 신종 악성코드의 동향에 대해 ▲취약점을 이용한 악성코드 급증 ▲악성 IRCBot 웜의 폭증 ▲e-메일을 대량 발송하는 악성코드 급증, ▲스팸, 피싱, 스파이웨어의 증가를 꼽았다.

악성코드 급증에 대해 안 연구소는 "악성코드가 계속해서 변종을 만들어내고 있기 때문"이라고 분석하고 "의심스러운 e-메일은 삭제하고 보안패치를 철저히 해야 한다"고 당부했다.

<용어설명>피싱(Phishing)= 특정 사이트를 가짜로 만들고 로그인이나 카드결제를 하는 것처럼 속여 개인 정보를 빼가는 방법.

봇(Bot)= 일반적으로 봇(Bot)이란 IRC(Internet Relay Chat)채널에 접속해 머무르다가 해커의 명령을 받아 시스템정보를 유출하거나 특정 사이트를 공격하는 악성 프로그램을 지칭하며 수많은 변종이 있다.
　

1-2. BBC 인터넷판 "2004년 PC 바이러스 극성

올 들어 10만 종류 넘어
신종 바이러스 50% 증가
휴대전화에서도 첫 발견

"2004년은 전 세계적으로 컴퓨터 바이러스가 극성을 부린 해."

영국의 BBC 인터넷판이 30일 올 한해를 결산하며 내린 결론이다. 올해 들어 확인된 컴퓨터 바이러스가 10만 종류를 넘어섰으며, 올해 등장한 신종 바이러스의 종류도 50% 이상 늘어났다.

BBC는 또 "올해 들어 바이러스와 해킹의 양상도 두드러지게 달라졌다"고 소개했다. 자신의 컴퓨터 실력을 과시하기 위해 해킹을 하고 바이러스를 전파하던 청소년 해커나 정보자유를 주장하던 카피레프트(copyleft) 운동은 줄어들었다. 대신 금전적 이득을 취하려는 디지털 사기형 바이러스와 해킹이 늘어났다는 것이다.

영국의 컴퓨터 바이러스 전문업체인 소포스(www. sophos. com )가 집계한 자료에 따르면 올해 가장 극성을 부린 바이러스는 넷스카이(Netsky)-P. 지난 3월 소포스에 처음 신고된 넷스카이-P는 블록버스터 영화 '해리포터와 아즈카반의 죄수'개봉에 맞춰 해리포터 컴퓨터 게임인 것처럼 위장하고 있다. 안철수연구소에 따르면 넷스카이-P는 우리나라에서도 올해 가장 피해신고가 많았던 바이러스다. 이어 자피(Zafi)-B가 2위, 새서(Sasser)가 3위를 차지했다. 4위부터 6위까지는 넷스카이 변형들이 휩쓸었다.

BBC가 지적한 사기형 바이러스로 가장 대표적인 경우는 메일을 통해 금융정보를 훔쳐가는 피싱(Phishing)이다. 지난 한 해 피싱용 메일이 500%나 늘었다. 피싱에 잘못 걸려 자신의 은행계좌에 있던 돈이 몽땅 사라지는 피해가 잇따랐다. 피싱의 경우 특히 영어권에서 심각하게 번졌다.

해커가 원격조종으로 남의 컴퓨터에 몰래 들어와 범죄용으로 사용하는 보트(Bot)도 극심해졌다. 지난 9월 보안업체인 지멘테크 발표에 따르면 현재 활동 중인 보트 컴퓨터가 하루 평균 3만대에 이른다.

휴대전화 바이러스가 처음 등장한 것도 올해의 뉴스다. 과거 이론적으로만 가능한 것으로 생각됐으나 지난 6월 확인됐다.

카비르(Cabir)라는 이름의 바이러스가 블루투스(근거리 무선통신 기술)를 사용하는 휴대전화에서 발견됐다.

이어 11월에는 휴대전화의 기능을 저해하는 스컬스(Skulls)가 선보이는 등 신종 바이러스가 이어지고 있다.
　

1-3. "휴대폰 + 바이러스 = 다가올 위험"　

"휴대폰 바이러스, 얼마나 위험한가?"

올해 초 카비르(Cabir)를 필두로 휴대폰 바이러스들이 잇따라 모습을 드러냈다. 휴대폰 바이러스는 일단 감염되면 휴대폰 안의 주소록을 지우거나 무선통신기술 블루투스를 이용해 다른 단말기에 광고 메시지를 마구 날리는 것이 특징.

보안 전문가들은 휴대폰 바이러스에 대해 "아직은 연구소에서만 존재하는 것으로 잠재적인 위험은 그다지 크지 않다"는 반응을 보이고 있다고 AP통신은 27일(현지시간) 보도했다.

영국 런던에 있는 보안업체 소포스의 그레엄 클룰리 수석 기술 컨설턴트는 "일상생활에서 휴대폰 바이러스에 실제로 감염됐다는 사례는 아직 보고받지 못했다"며 휴대폰 바이러스의 위협이 과장됐다고 지적했다.

그는 "올해 만들어진 휴대폰 바이러스는 총 5건으로 이는 모두 바이러스 퇴치 기술자들이 연구소에서 만들어내 서로 주고받은 것들이다"고 덧붙였다.

그는 또 "카비르나 스컬스 모두 사용자가 직접 다운로드해야 활성화되며, 또 제거하기도 쉬운 편이다"면서 "PC를 겨냥한 바이러스만큼 치명적인 것은 아니다"고 덧붙였다.

◆ 휴대폰+바이러스의 위험함

현재까지 나타난 휴대폰 바이러스는 그다지 위협적인 존재는 아니라는 게 전문가들의 공통적인 지적이다. 하지만 유명 휴대폰 단말기 제조회사들이나 보안업체들은 최근 들어 휴대폰 바이러스 공격 대응책 마련을 위해 분주하게 움직이고 있다.

일본의 이동통신사 NTT도코모는 맥아피의 바이러스 방지 소프트웨어를 장착한 단말기를 판매하고 있다. 맥아피는 내년 중엔 미국과 유럽에도 이 단말기를 출시한다는 계획을 세우고 현재 이동통신사업체와 협상을 진행하고 있다.

세계 최대의 단말기 제조업체 노키아도 핀란드 보안업체 F-시큐어의 백신 소프트웨어를 장착한 스마트폰을 출시한다. 보안 솔루션 업체 시만텍도 노키아를 비롯한 여러 업체들과 휴대폰 백신 제품 판매 협상을 진행하고 있는 것으로 알려졌다.

업체들이 당장 큰 위협이 되지 않는 휴대폰용 백신에 관심을 두는 이유는 무엇일까? 휴대폰이 바이러스와 결합해 생길 미래의 위험 때문이다.

바이러스 전문가들은 "휴대폰이 결국은 미니 컴퓨터로 진화해 운영체제를 기반으로 작동될 것이기 때문에 바이러스에 감염되면 치명적이다"고 입을 모으고 있다.

예를 들어 휴대폰이 저절로 꺼지거나 사용자가 잠들어 있는 동안 휴대폰이 스스로 문자 메시지를 전송하거나 유료 전화를 걸 수도 있다.

F-시큐어의 미코 하이포넨 이사는 아직 휴대폰이 저절로 유료 전화에 연결하거나 하는 현상은 나타나지 않았지만 잠재적인 위협은 상존한다고 보고 있다.

코펜하겐에 있는 보안업체 바이러스 112의 브라이언 피터슨 관리 이사도 "컴퓨터로 단말기나 PDA에 바이러스가 첨부된 메일을 보내면 휴대폰에 바이러스가 감염되는 것은 시간문제다"고 잘라 말했다. 컴퓨터 바이러스를 감시하는 이 단체는 올해 초 바이러스 감시 목록에 휴대폰용 바이러스도 첨가했다.

◆ 휴대폰 바이러스에 감염되면

올해 초 러시아의 백신회사 카스퍼스키 연구소는 카비르가 심비안 운영체제를 탑재했으면서 블루투스 기술을 사용하는 단말기를 중심으로 유포된다고 경고한 바 있다. 카비르는 상대 단말기가 블루투스 수신만 할 수 있으면 파일 형식으로 쉽게 전송될 수 있다. 스컬스(Skulls) 바이러스의 경우 활성화되면 프로그램이 작동하지 않고 모든 아이콘들이 해골로 바뀌는 현상이 나타난다.

올해 레바논에서도 휴대폰 바이러스 출현을 경고하는 이메일이 유포됐다. 이메일의 내용은 "전화가 울리는 화면에 발신 전화번호 대신 부재중(UNAVAILABLE)이라는 메시지가 나타나면 전화를 받지 말고 끊으시오. 전화를 받으면 바이러스에 감염됩니다"라는 것이었다.

1-4. 바이러스 공격대상「구글이 찾아준다?」

지난 21일 보안 전문가들은 웹을 통해 전파되는 웜이 구글 검색을 통해 잠재적인 희생자를 찾아내고 있으며, 이 웜은 phpBB 프로그램의 결함 버전을 사용하는 온라인 게시판들로 확산되고 있다고 전했다.

산티(Santy) 웜은 PHP 게시판(phpBB)라는 유명한 공동체 포럼 소프트웨어에 존재하는 결함을 이용해 전파된다는 것이 최신 분석을 통해 밝혀졌다. 바이러스 백신 업체인 카스퍼스카이는 최근 발표한 자료를 통해 이 웜은 구글을 검색해 phpBB의 결함 버전을 운영하는 사이트를 찾아낸다고 전했다.

거의 4만개의 사이트가 이미 감염된 상태다. MS의 검색엔진을 이용해 "NeverEverNoSanity”라는 구절을 검색하면 거의 3만 9000개의 결과가 나온다. 이 구절은 감염된 웹사이트의 파일을 대체하기 위해 산티 웜이 사용하는 파문이다.

안티바이러스 업체 카스퍼스카이는 21일 펴낸 자료를 통해 “산티.a가 빠르게 전파중이다. 사용자에게 직접적인 영향을 주지는 않는다. 웜이 웹 사이트를 감염시키지만 그 사이트들에 접속하는 컴퓨터들을 감염시키지는 않는다”고 전했다.

이 웜은 구글에 특정 검색 요청을 보내서 결함 사이트들의 목록을 요구한다. 이 목록을 얻은 웜은 phpBB 게시판 소프트웨어를 악용하도록 설계된 PHP 요청을 이들 사이트에 전송함으로써 전파를 시도한다.

이번 웜은 구글 해킹으로 알려진 구글을 공격의 방편으로 삼는 최신 변종이다. 또한 프로그램이 공격 대상자를 구글을 통해 결정하는 최초의 사례이다.

구글에 “Powered by phpBB”란 구절로 검색을 하면 약 600만개의 사이트가 phpBB 소프트웨어가 운영중인 것으로 나타난다. “Powered by phpBB”는 이 소프트웨어를 사용하는 모든 사이트의 하단부에 나타난다.

온라인 위협을 추적하는 인터넷 스톰 센터 (ISC)의 CTO 요하네스 율리히는 “PHP 게시판이 설치된 곳은 수도 없이 많다”라고 말했다. ISC 가 행한 최초분석에 따르면 이 웜이 악용하는 결함은 스크립트 언어 PHP 로 작성된 웹페이지를 해석하는 소프트웨어 PHP(Hypertext Preprocessor)에 존재한다. 이 결함은 지난주 발견됐다.

구글로 결함있는 사이트를 알아내는 것은 연구 목적의 행위는 아니다. 특히 이번 웜도 그렇다. 산티가 웹사이트 하나를 감염시키면 구글을 통해 phpBB 를 수행하는 다른 사이트들을 알아내고 이들도 감염시키려고 시도하기 때문이다.

사이트를 장악한 웜은 모든 HTML, PHP, ASP (active server pages), JSP(Java server page) 그리고 시큐어 HTML을 지운 뒤 “This site is defaced!!! This site is defaced!!! NeverEverNoSanity WebWorm generation X”란 텍스트로 대치한다고 카스퍼스카이는 전했다. “X” 자리에는 최초의 웜으로 부터 감염된 프로그램이 몇 세대에 해당하는지 번호가 붙게 된다. MSN 검색을 사용하니 24대째 웜을 발견할 수 있었다.

구글은 이번 웜에 대해 즉답을 피했다. 그러나 대변인은 구글이 이같은 정보를 입수했으며 문제를 연구하기 시작했다고 전했다.

안티바이러스 공동체의 일부는 구글의 이같은 반응에 실망감을 감추지 못하고 있다. 이들은 구글이 검색을 필터링함으로써 웜을 손쉽게 막을 수 있었다고 생각한다.

안티바이러스 업체 F-시큐어의 연구 디렉터인 미코 히포넨은 “어떤 검색을 차단해야 하는지를 알고 있기 때문에 웜의 전파를 중단시키는 일은 매우 쉬울 것”이라고 말했다.

결함이 있는 phpBB 를 사용하는 웹사이트들은 업그레이드하는 것이 좋다고 phpBB 프로젝트 사이트는 권장하고 있다.

Robert Lemos (CNET News.com)

바이러스와의 첫추억
디지털이 발달할수록 디지털은 사용자인 인간에게 더 똑똑해질 것을 요구한다. 똑똑해지지 않으면 눈 깜짝할 사이 점점 더 해괴하게 발달하는 바이러스에 의해 큰 코 다치기 때문이다. 어디 바이러스뿐인가. 백신 프로그램으로 쉽게 잡히지 않는 악성코드와 백도어 등등 이름도 다양한 변종들이 디지털 세계를 휘저으며 호시탐탐 인간을 노리고 있다. 이런 생각을 하다 보니 문득 약간은 귀엽기까지 했던 초기 바이러스에 대한 아련한 기억이 떠오른다.

몽키 바이러스. 이름도 귀여운 이 바이러스를 10년이 지난 지금도 나는 잊을 수가 없다. 왜냐하면 몽키 바이러스는 나에게 컴퓨터를 다루는 데 첫 시련을 안겨 주었기 때문이다.

운영 체제가 도스 환경이었던 그 시절, 백신 프로그램이 깔려 있기 때문에 바이러스는 별 문제 없으리라던 내 생각을 비웃는 듯 이 바이러스는 위력을 발휘했다. 부트 바이러스라는 명성답게 하드 디스크의 부트 섹터에 침입해 컴퓨터를 먹통으로 만들어 버린 것이다. 이름은 귀엽지만 성질은 매우 독했던 이 바이러스, 결국 하드 전체를 포맷하지 않으면 안되는 상태로 만들어 버렸다.

몽키 바이러스는 나에게 첫 시련을 안겨주었지만 배운 점도 많았다. 당장 실시간 바이러스 감시 프로그램을 깔고 당시 독보적이었던 V3도 꾸준히 업그레이드했다. 또 한 가지, 하드를 두 개로 분리해 중요한 프로그램이나 자료는 다른 한 곳에 깔아두기 시작했다. 바이러스 때문에 중요한 자료나 프로그램이 날아가는 것을 방지하기 위해서다.

10년이 지나 지금은 도스에서 윈도로 운영 체제가 바뀌었다. 그 당시 도스 체제에서 성행하던 바이러스 대부분은 몽키 바이러스와 같은 부트 바이러스가 근근히 명맥을 유지할 뿐 도스 시대와 함께 사라져 버렸다. 대신 본격적인 윈도 시대와 인터넷이 등장하면서 한 자리에서 가만히 있는 도스 바이러스 대신 네트워크에서 치고 빠지기를 잘하는 수많은 웜 바이러스들이 득세하게 됐다.

그뿐인가? 지금은 한술 더 떠, 평범한(?) 백신 프로그램으로는 퇴치되지 않는 것들까지 등장했다. 더 똑똑하고 악독하지만 딱히 바이러스라고 하기도 곤란한 악독 변종들, 바로 트로이 목마니 스파이웨어, 에드웨어, 백도어니 하는 악성코드라 불리우는 것들이다.

호시탐탐 내 서버를 공격하는 악성 코드들
비근한 예로 그리스 신화와 영화 <트로이>가 생각나는, 이름도 거창한 <트로이 목마>가 있다. 그 의미처럼 정상적인 기능을 하는 프로그램으로 가장하여 프로그램 내에 숨어서 의도하지 않은 기능을 수행하는 프로그램의 코드 조각이다.

전형적인 트로이 목마는 유용한 것으로 가장하여 사용자가 그 프로그램을 실행하도록 속이고 사용자가 그 프로그램을 실행하게 되면 실제 기대했던 기능을 수행한다. 하지만 실제로는 사용자의 합법적인 권한을 사용해 시스템의 방어 체제를 침해하고 공격자는 접근이 허락되지 않는 타인의 ID나 패스워드 같은 정보를 획득하는 것이다.

최근 트로이 목마의 대표적인 침투 유형을 살펴보자. 한때 시도 때도 없이 마이크로소프트사의 인터넷 익스플로러를 업그레이드하라는 내용과 이상한 파일을 첨부한 이메일이 많이 돌아다녔다.

무심코 메일에 첨부되어 있는 'Ie0199.exe'라는 실행 파일을 다운받아 실행하면 문제가 발생한다. 그 프로그램은 몇몇 시스템 파일에 대한 수정과 다른 원격 시스템으로의 접속을 시도하는 전형적인 악성 코드이기 때문이었다. 이러한 메일로 인한 피해 사례는 꽤 큰 편이었다. 사정이 이렇다 보니 요즘은 알 수 없는 이메일, 특히 정체 불명의 파일을 첨부한 이메일은 보지도 않고 삭제시키는 습관이 붙었다.

　

▲ 12월 21일부터 22일 사이 내 컴퓨터에 침입하려 한 악성코드의 흔적

그러나 이처럼 눈에 보이는 것 말고도 지금 이시간에도 내 컴퓨터를 호시탐탐 노리는 것들이 있으니 바로 백도어란 프로그램 코드다.

백도어는 시스템 설계자나 관리자에 의해 고의로 남겨진 시스템의 보안 허점으로 응용 프로그램이나 운영 체제에 삽입된 프로그램 코드다. 비양심적인 프로그래머가 비인가된 접근을 시도하거나 개발이 완료된 후 삭제되지 않은 백도어가 다른 사용자에 의해 발견될 경우 자신의 정보가 쥐도 새도 모르게 유출될 수 있다.

이러한 악성코드를 차단하기 위한 최선의 방법은 백신 프로그램과 애드웨어 제거 프로그램, 윈도 패치프로그램을 꾸준히 업데이트하는 수밖에 없다. 그 또한 하루가 다르게 달라지는 악성코드의 공격을 완벽하게 막기에는 미흡한 점이 많다.

유난히 바이러스에 의한 공격이 거셌던 올 한해. 막는 방패가 중요한지, 아니면 공격하는 칼이 더 중요한지를 따지는 것조차 숨가쁠 정도로 공격하는 자와 막는 자의 구분이 애매모호해졌다.

아이러니한 것은 방화벽이 더욱 강력할수록 그와 비례하여 공격자들도 더욱 강해진다는 것이다. 이 또한 바이러스나 악성코드를 만들어 배포시키는 자도 인간이요, 그것을 보다 강력하게 막기 위해 연구를 거듭하는 자도 인간이기 때문에 벌어진 일이다. 막는 자와 공격하는 자, 과연 그들의 싸움은 어떻게 변할까?
2004년을 강타한 각종 바이러스와 애드웨어, 2004년을 지나 2005년이 되어도 여전히 극성을 부릴 그들. 우리 나라는 지금 악성코드와 끊임없는 전쟁을 벌이고 있다.

　

새 컴퓨터를 구매하거나 크리스마스 선물로 컴퓨터를 받은 사람들은 해커들이 연말 연초의 들뜬 분위기와 새 컴퓨터 교체 시점을 적극 이용한다는 사실을 명심해야 할 것이라고 AP가 보도했다.

HP의 기술임원인 토니 레드몬드는 “해커들은 막 선물 포장을 뜯은 컴퓨터를 바로 사용하고 싶어하는 초보자들의 심리를 집중 공략한다”며 “보안 소프트웨어나 패치가 제대로 됐는지 확인한 후에 네트워크에 접속하는 것이 최선”이라고 경고했다.

미국 노스캐롤라이나주의 인터넷 서비스 제공기관인 인디링크에서 소비자 상담업무를 담당하고 있는 크리스 머피도 “온라인에 처음 접속하는 순간이 보안상의 가장 취약한 시점”이라며 “이 기간 해킹 상담건수가 폭증하기 때문에 10명의 임시직원을 더 고용하고 있다”고 설명했다.

보안 전문가들은 연말연초의 들뜬 분위기와 더불어 보안에 대한 낮은 인식이 이 기간 바이러스나 해킹의 위협이 특히 많이 발생하는 요인이라고 지적하고 있다.

미국 IT업체들의 연합 단체인 ‘전국 사이버 보안 연합(NCSA)’이 최근 조사한 결과 미국내 홈PC 사용자 1억8500만명중 3분의 1이 본인은 결코 바이러스나 사이버 공격을 받지 않을 것이라고 생각, 보안에 대한 문제의식이 희박한 것으로 나타났다. 크리스 머피는 “초심자들은 인터넷에서 벌어지는 다양한 해킹 수법을 모르고 있기 때문에 쉽게 피해를 본다”며 “비록 첫 온라인 행선지가 보안 패치가 잘 돼있는 사이트라고 하더라도 이기간 만큼은 악성코드, 바이러스, 해킹의 위협을 명심해야 할 것”이라고 설명했다.

　

2-1. [성일권의 테크노 칼럼] 수능부정과 사이버윤리

올 대학수학능력시험에서 휴대폰 문자메시지를 이용한 대규모 시험부정 행위가 전국적으로 이뤄진 사실이 속속 밝혀짐에 따라 정보 사회의 부작용이 새삼 논란이 되고 있다. 경찰에 따르면 부정가담 학생들은 오랫동안 모의연습을 통해 `선수(성적이 우수한 학생)→중계조→수험생'방식의 조직적인 부정을 저지른 것으로 확인됐으며, 상당수는 이미 교내시험에서도 비슷한 수법을 사용한 것으로 조사됐다.

경찰은 한글이 포함된 문자메시지까지 수사해 의혹을 남김없이 해소할 작정이지만, 개인정보 침해에 대한 논란도 적지 않다. 물론, 여론은 초미의 국민적 관심사인 수능범죄를 밝혀내기 위해선 어느 정도의 개인 사생활 침해도 가능하다는 쪽이다. 그러나 이 같은 뉴미디어의 역기능 예방을 위해선 단호한 법적 조처 보다는 정보화 사회의 윤리교육이 더욱 중요하다.

주지하다시피, 정보화 사회는 개방성, 익명성, 속도성, 접근성, 그리고 쌍방향성으로 특징지어지는데, 이번 수능범죄에서는 이 같은 특성들이 그대로 드러났다. 이는 사이버공간이 네티즌들의 참여 민주주의 공간인 이-아고라(e-agora)가 아니라, 은밀한 범행의 장으로 변질되고 있음을 보여준 셈이다.

사실 따지고 보면, 이번 수능 범죄는 빙산의 일각이다. 경찰청 사이버 범죄수사대의 조사에 따르면 사이버 범죄가 2002년 6만68건, 2003년 6만8445건으로 해마다 늘고 있다. 인터넷 범죄가 많은 만큼 그 유형도 실로 다양하다. 성매매, 살인 모의 및 시도, 개인 신용카드 변조절도, 가짜 대학졸업증 및 학위 매매 등…

이처럼 사이버 범죄의 해악성은 오프라인 범죄 그 이상이지만, 그 심각성은 쉽게 간과된다. 기술(Technology)이 만든 사이버공간도 일반 사회와 동일할 수밖에 없으며, 따라서 사이버상의 윤리도 실제 생활에서처럼 적용되어야 함에도 두 세계의 불일치는 점차 커져가는 듯 하다. 우리 삶의 현실적 사회윤리가 부실한 까닭에서일까? 아니면, 기술의 본질적인 한계 때문일까?

그리스적 어원으로 돌아가서 생각한다면, 우리가 기술로 옮기는 테크놀로지는 테크네(Techn)에서 유래했으며, 이 테크네는 `짓다' `짜다' 등의 의미를 지닌 테크(tek)를 어간으로 한다. 기술은 본성상 어떤 관계망, 그물망 안에서 성립하는 것이며, 그 자체가 어떤 관계적 질서의 조직체를 의미한다. 철학자 하이데거는 이같은 기술의 시대에 인간이 사물화하고 기계화한다면, 결국 기계의 그물망에 종속되고 말 것이라고 지적한 바 있다.

실제로, 정보화시대의 사이버 공간은 인간의 자각과 현실적 질서를 교란시킬 정도로 혁신을 거듭하고 있다. 정보화는 역사의 숙명적인 방향인 양, 이 시대를 주도하고 있다. 사이버는 21세기 신대륙으로, 풍요를 약속하는 신엘도라도로 평가되는 한편, 모든 사물은 부호로 대치, 환원되고 지식은 코드화된 정보로 변환되는 세상이다. 이처럼 탈사물화-탈인간화되는 정보화 사회에서 사회윤리를 강조하는 것은 어쩌면 구시대적 발상일지 모른다. 그렇지만 우리사회가 아무리 개벽 된다해도 삶의 기본 윤리는 영원불변하다. 이번 사이버 수능 범죄의 재발을 막기 위해선 근본적으로는 수치로 코드화한 입시 평가제도를 개선하는 것이 해법이겠지만, 가장 중요한 것은 다소 더디고 비용이 들더라도 효과가 확실한 사이버 윤리교육을 대폭 확대하는 일이다.

<출처 : 디지털타임스>

2-2. 눈길끄는 사이버대학 최첨단 시험부정 방지 시스템

　‘사이버 대학, 온라인 시험 부정 행위 어림없다’

감독관도 책상도 없이 치러지는 사이버대학들은 어떻게 커닝 등 시험 부정 행위를 방지할까? 휴대폰 수능 부정 행위로 교육계가 큰 후유증을 겪은 가운데 사이버 대학들이 첨단 기술을 활용해 도입 중인 다양한 부정행위 방지체계가 눈길을 끌고 있다.

온라인 상으로 모든 학사·행정 관리가 이루어지는 사이버 대학들은 기본적으로 여러 명의 학생들이 동일한 장소에서 시험을 치르는지 파악하기 위해 인터넷주소(IP) 추적 시스템을 도입하고 있다.

　학칙상 PC가 여러 대 설치된 장소에서는 응시가 불가능하고 불가피한 경우 동일 시간 대에 두 명 이상이 동일 과목의 시험을 치를 수 없도록 했다.

온라인 커뮤니케이션의 핵심 수단인 메신저 역시 부정행위 수단으로 이용되기 십상이다. 이에 따라 각 사이버 대학은 시험 도중 메신저 접속은 물론 단축키 및 다른 응용 프로그램도 실행할 수 없도록 원천 차단한다.

즉 시험 화면에서 벗어난 학생이 다시 시험 화면에 접속하는 것 자체가 부정 행위로 간주된다는 것.

문제은행은 교수들의 부지런함이 돋보이는 방식이다. 평소보다 2∼3배 풍부한 시험 문제를 출제해 저장해 두면 컴퓨터가 무작위적으로 이를 배열, 학생마다 각기 다른 시험 문제를 받아보게 하는 형태다.

사이버 대학들의 이 같은 노력에 대해 임동균 한양사이버대학교 교학처장은 “사이버대학들은 초기부터 보안 시스템을 도입, 학생들이 부정 행위는 아예 꿈도 꾸지 않고 있다”며 “최근에는 서술형, 논술형 시험 문항도 확대하는 추세”라고 말했다.
　

2-3. [기자수첩]지진해일과 정보 공유

　지난 일요일 인도네시아 수마트라 섬 인근에서 발생한 진도 9.0의 강진으로 인한 지진해일의 피해가 날이 갈수록 불어나고 있다. 사망자가 6만명에 이를 것이란 추정이 나오고 있으며 역대 관측사상 최대 규모의 인적·물적 피해를 준 것으로 예측되고 있다.

　이런 가운데 스리랑카 정부가 지진 발생을 알고도 그 정보를 알리지 않아 피해 규모가 더욱 커졌다는 의혹이 일고 있다. 또 최초 발생 후 해일이 스리랑카에 도달할 때까지 2시간, 인도 남부를 덮칠 때까지 3∼4시간의 여유가 있어 경보체계만 제대로 가동됐더라면 충분히 대피할 수 있었을 것이라는 지적도 나왔다. 엄청난 자연 재해였지만 정보의 공유와 이를 통한 경보가 있으면 피해를 줄일 수 있는 상황이었다는 것이다.

　정보의 공유와 분석, 이를 통한 경보 체계의 구축은 비단 지진이나 홍수·화재 등 천재지변에만 해당되는 것은 아니다. 현재 우리는 인터넷이라는 엄청난 네트워크 망으로 연결된 세상에 살고 있다.

인터넷의 파급력은 강도 9.0의 지진보다 강해 1·25인터넷 대란을 일으킨 ‘슬래머웜’은 출현한 지 10분 만에 전세계로 확산됐다. 지진해일이 지역마다 시간 차를 두고 피해를 끼쳤지만 웜은 몇십분 만에 우리나라 전체를 마비시키는 결과를 초래했다. 그 어느 나라보다 초고속 인터넷 보급률이 높은 우리나라는 네트워크 세상의 지진대라 할 수 있다. 전세계 각국에서 만들어진 웜과 악성코드, 바이러스 등이 한반도 지진대로 모여들고 있다.

　요즘 보안 전문가들은 내년에 슬래머와 같은 빅웜이 전세계를 강타할 것이라는 조심스런 예측을 내놓고 있다. 그리고 여기에 대처할 방법은 웜 출현에 대한 정보공유체계 구축과 이를 통한 종합적인 경보체계 마련이라고 지적한다. 그러나 인터넷 강국임을 내세우는 우리는 아직 이에 대한 체계를 갖추지 않고 있다. 통신과 금융 등이 정보공유분석센터를 운영하고 있지만 이들 내부에서만 정보를 모아 서로 다른 분야에는 정보를 주지 않는 폐쇄적인 형태다.

　이번 지진해일 피해에서도 태평양 연안에서 경보체계를 운영하는 선진국들은 피해 규모를 최소화했다. 진정한 인터넷 선진국으로 거듭나기 위해 인터넷 역기능에 대한 총괄적인 정보공유체계와 경보체계를 갖추는 작업이 어느 때보다 요구된다.
　

주민등록번호는 디지털 사회를 불안하게 하는 '디지털시대의 몬스터'이다. 그렇다면 그 동안 이토록 중요한 문제를 방치한 대한민국은 일종의 '몬스터 주식회사'인 셈이다. - 본문 중에서 -

어느 인터넷 사이트에 가입하던지 우리나라에서만 볼 수 있는 독특한 절차가 하나 있다. 바로 주민등록번호 입력 화면이다. 물론 단순히 번호만 기입하는 것으로 끝나지 않고, 이름과 대조하여 살아있는 데이터인지 확인 과정까지 거친다. 이는 그간 반 세기게 걸친 통제 사회의 통념이 별 다른 문제의식 없이 인터넷 공간으로 자연스럽게 이식된 결과이다. 인터넷 사이트에선 불량 이용자를 관리하기 위한 필수적인 수단이라 해명하고, 정부 부처 역시 미성년자를 보호하고 인터넷 폭력이나 비방을 막기 위한 장치라고 역설한다. 그러나 이는 나중에 가져다 붙인 구실에 불과하다는 것을 당사자들은 다 안다.

정부는 인터넷 공간의 무질서를 극복하기 위한 제도로서 실명제를 강조해 왔지만, 사실상 개선된 것은 거의 없다. 언어 폭력이나 타인에 대한 비방 글은 날이 갈수록 기승을 부리고 있고, 개인정보 유출이나 침해 사범은 매년 늘고 있다. 애초부터 실명제는 문제의 증상만을 완화 시키기 위한 대증요법이지 원인요법은 될 수 없었다. 그러나 지금에 와서 보면 대증요법은커녕 당뇨병으로 시력이 저하된 환자에게 안약만 처방한 격이 되고 말았다.

인터넷의 익명성은 실명제만으로 결코 극복될 수 없다. 두 가지 현실이 이를 반증하는데, 우선적으로 인터넷의 익명성은 자신의 신원 노출 여부에 달려있지 않다는 점이다. 순순히 자신의 신상 정보를 공개하고 가입한 이용자도 얼마든지 감정적 태도를 보인다. 똑같이 욕하고 비방하고 일탈 행위에 이끌린다. 최악의 행동은 다소 통제가 될지 몰라도 사회적 윤리 수준까지는 거리가 멀다. 또 하나는 형식적 인증을 거치기 위해 주민등록 번호의 도용이나 유출이 확산되고 있다는 사실이다. 검색에 조금만 익숙한 사람이라면 주민등록 번호 한두 개 찾아내는 일은 식은 죽 먹기보다 쉽다. 인터넷 공간에는 본인도 의식하지 못하는 사이에 검색엔진에 노출된 주민등록 번호가 지천에 널려있으니 말이다.

결과적으로 실명제는 핑계거리 불과하다. 서비스 업체는 조금 더 나은 개인정보를 마케팅에 활용하기 위한 것이 본심이고, 정부 부처는 알량한 주민번호라도 통제해야 국가기관으로서 사이버 공간에 대한 통제력을 가진 것으로 스스로 안위하고 있을 뿐이다.

인터넷에서 개인정보를 다루는 관점은 크게 세 가지로 볼 수 있다. 경제적 관점, 사회적 관점, 개인적 관점이 그것이다. 경제적 관점은 경제적인 이익과 가치 창출을 위해 보다 유용한 개인정보를 확보하기 위해 몰두한다. 사회적 관점은 정부 부처 등에서 기존 사회의 질서와 통제를 유지하기 위해 고민한다. 불론 개인적 관점은 개인의 사적 정보 보호 목적을 최우선에 둔다. 프라이버시 침해는 경제적 관점과 사회적 관점이 손을 잡으며 시작된다. 인터넷의 역기능을 통제하기 위해 도입된 규제와 정책(예:실명제)이 기업의 입장에선 사업의 효과를 향행상시키는 방법으로 발전하게 마련이다. 이러한 과정에서 사적 정보 보호에 대한 관심은 뒷전으로 밀려나게 마련이고, 시간이 갈수록 관성의 법칙을 발휘한다.

시민 단체 등에서 그 동안 주민등록 번호 문제에 대해 꾸준히 문제 제기를 해오기는 했지만, 아직은 사회적 공감대를 크게 형성하지 못했다. 그러나 인터넷 공간에서 주민등록번호 입력 문제는 사적 정보 보호 장치의 알파와 오메가에 해당한다. 주민등록번호 항목 하나가 없어진다고 해서 해킹사건 건수가 줄어들지는 않겠지만, 모든 데이터 조합의 키(Key)에 해당하는 주민등록 번호가 없음으로 해서 피해는 원천적으로 최소화 할 수 있는 것이다. 비록 늦은 감이 있지만, 제도적으로 필수적인 금융 거래 정보와 같은 경우를 제외하고는 웹사이트에서 주민등록 번호 입력을 제한해야 할 것으로 생각한다. 보안이나 프라이버시 보호는 사후 대책이 아닌 예방 정책이 최우선인 만큼, 이는 피해를 최소화하는 확실한 예방 백신이라고 할 수 있다.

주민등록번호는 디지털 사회를 불안하게 하는 '디지털시대의 몬스터'이다. 그렇다면 그 동안 이토록 중요한 문제를 방치한 대한민국은 일종의 '몬스터 주식회사'인 셈이다.

만화영화 [몬스터 주식회사]에서 보면, 몬스터들이 아이들의 비명소리를 에너지원으로 사용하기 위해 어린이들을 위협한다. 그러나 나중에 이들은 '비명소리' 보다는 '웃음소리'가 더 큰 에너지원임을 깨닫고 아이들에게 공포를 가하던 이들의 생각을 아이들을 즐겁게 만드는 정책으로 일거에 뒤집는다. 혹시 실명제가 아이들의 비명 소리를 얻기 위한 정책은 아닐까?

인터넷을 통해 개인정보가 무방비 사태로 노출돼 있다. 그 심각성은 더 이상 방치할 수 없는 수준이어서 충격을 주고 있다.

과연 사태의 심각성은 어느 정도인가.

웹검색에 있어 가장 뛰어나는 평가를 받고 있는 구글. 그런데 요즘 일각에서는 '구글 해킹'이라는 말이 심심치않게 돌아다닌다.

'검색엔진과 해킹의 조합'이라. 알아보니 '구글해킹'이란 말은 해킹을 통해서나 얻을 수 있었던 민감한 정보들을 검색엔진만으로도 구할 수 있다는 것을 뜻한다.

IT도입에 적극적인 것으로 정평이 나 있는 강남구청.

구글에서 특정 단어를 조합해 검색했더니 강남구청에서 온라인으로 민원서류를 발급받은 홍모씨의 이름과 주민등록번호가 화면에 떠올랐다.

기자가 며칠간 구글 검색창에서 확인해봤지만 홍모씨의 이름은 없어지지 않고 여전히 인터넷을 떠다니고 있었다. 홍모씨는 자신의 주민등록번호가 그토록 쉽게 노출돼 있는 줄 알고 있을까. 그럼 '재수없게' 홍모씨만 그런 일이 발생한 것일까.

개인정보유출의 심각성을 우려하는 목소리가 갈수록 커지고 있다. 개인정보 유출 사고 또한 공공기관과 민간 기업을 가리지 않고 속출하는 상황이 계속되고 있다.

결국 간단한 검색만으로도 개인정보 수집이 가능하다는 것은 개인정보유출 실태가 '갈 데까지 갔다'는 것을 의미한다.

　

◆ 공공기관은 물론 대학도 사각지대

강남구청만 구글에 걸려든게 아니다.

온라인으로 각종 민원을 발급받은 대학생들의 개인정보 또한 '구글 해킹'의 포위망을 벗어나지 못했다.

한양대를 대상으로 특정단어를 조합해 검색을 해봤다. 이번에는 김모양이 휴학증명서를 받아간 내용이 그대로 올라온다. 주민등록번호도 고스란히 노출돼 있음은 물론이다.

게다가 이렇게해서 한번 구한 정보는 더 많은 다른 사람의 개인정보를 검색하는 매개체 노릇까지 한다.

김모양 이름옆에 따라 나온 영어와 숫자의 조합을 긁어다가 검색창에 놓고 엔터키를 눌렀다. 강남구청에서 강모씨가 건강진단서를 받아갔다는 기록이 나온다. 여기에도 강모씨의 주민등록번호까지 빠지지 않고 등장한다.

다시 강모씨 옆에 붙은 문구를 다시 긁어다가 검색해봤더니, 이번에는 또 다른 3명의 이름과 주민등록번호가 한꺼번에 화면에 나타난다. 한명의 개인정보로 인해 다수의 개인정보가 잇따라 유출되는 상황이 벌어진 것이다.

이같은 방법을 이용하면 순식간에 10여명에 달하는 사람 이름과 주민등록번호를 알아내는 것은 식은죽 먹기다. 학생이라면 이름과 주민등록번호에다 다니는 학교까지 금방 파악할 수 있다.

　

이는 기자가 어쩌다 우연히 알아낸 사실이 아니다. 이미 알만한 네티즌들은 이런 방법으로 주민등록번호를 알아내 인터넷 사이트에 회원으로 가입하고 있다. 청소년들이 이 방법을 많이 쓰고 있다니 더욱 놀라운 일이다.

◆ 관리 부실이 불러온 '인재'

이같이 인터넷이 '개인정보 유출의 바다'로 전락한 이유는 검색엔진 기술은 갈수록 발전하는데 반해 웹사이트 관리는 여전히 허술한게 원인이다.

한 보안 전문가는 "공공기관과 대학교에서 인터넷 민원서류를 발급하는 과정에서 중요한 내용이 컴퓨터에 남아있기 때문"이라며 "관리가 부실한 상황에서 이같은 정보는 생겼다가 없어졌다가를 반복하고 있다"고 지적했다.

한국정보보호진흥원 관계자는 "최근 인터넷 검색엔진 기능이 강력해지면서 웹문서는 물론 각종 문서 파일 내용까지 검색이 가능한 것으로 조사됐다"며 "웹사이트 운영자의 인식 제고와 기술적인 관리가 중요하다"고 강조했다.

이미 인터넷 사이트에는 확인된 것만해도 3천명에 육박하는 사람들의 개인 정보가 떠다니는 것으로 확인됐다.

한국정보보호진흥원이 11월 한 달간 실시한 조사에 의하면, 총 26개 기관 2천900명의 주민번호가 인터넷 검색사이트를 통해 노출된 것으로 확인됐다.

주민번호 이외에 주소·전화번호 등을 포함하면 전체적으로는 총 409개 기관에서 6만1천253명의 개인정보가 인터넷상에 게시 또는 노출되어 있었으며, 그 가운데 동호회, 동창회, 종친회 등과 같은 임의 단체나 협회 등 민간 비영리 기관이 총 246개로 전체의 60.3%를 차지했다.

인터넷을 통한 개인정보 유출 문제가 미래가 아닌 현실로 다가온 위협임을 단적으로 보여준다.

이름과 주민등록번호가 인터넷 세상에 들어갈 수 있는 열쇠로 통하는 현실을 감안하면, 내 열쇠가 온 세상을 돌아다닌다는 현실은 생각만 해도 끔찍할 뿐이다.

◆ "더욱 심각해질 수 있다"

전문가들은 인터넷 검색엔진의 기술 발전을 감안하면, 관리가 부실한 웹사이트의 경우 이름과 주민번호외에 다른 민감한 정보들도 유출될 위험이 크다고 경고한다.

또 기술적인 해결이 가능함에도 불구하고 관리상 빈틈이 계속된다면 검색엔진에 의한 개인정보 유출 문제는 더욱 커질 수 밖에 없다고 우려하고 있다. 결국 핵심은 관리라는 얘기다.

좀 더 근본적으로는 인터넷 회원 가입시 무분별하게 주민등록번호를 요구하는 관행과 무관하지 않다. 유출되서는 안되는 정보를 아예 처음부터 받지 않으면 되기 때문이다.

이런 이유로 시민단체에서는 오래전부터 인터넷 가입시 주민번호를 요구하는 관행을 폐지해야 한다고 주장해왔다.

최근 EBS가 인터넷 가입시 주민등록번호를 요구하지 않겠다고 밝히고 기존 주민등록번호도 삭제해 신선한 충격을 준 바 있지만, 이는 극히 이례적인 일일 뿐이다.

정보통신부 관계자도 "현재 상황에서 주민등록번호는 실명인증 기능을 하지 못한다"면서 "어떤 사람이 주민등록번호를 입력해 인터넷에서 활동해도 그것으로 신분확인이 됐다고 볼 수 없는 것"이라고 인정했다.

22일 정보통신부와 한국정보보호진흥원은 내년 1월21일까지 한달간 인터넷 검색사이트를 통해 노출된 자신의 개인정보를 이용자들이 검색·삭제할 수 있도록 한국정보보호진흥원과 공동으로 '노출된 내 개인정보를 찾아라' 캠페인을 실시한다고 밝혔다.

그러나 '자신의 정보는 자신이 지켜야 한다'는 한달간의 캠페인으로 인터넷에 널려있는 개인정보가 정리가 될 수 있을지 의문이다.

인터넷의 개인정보보호 유출, 이제 더 이상 방치해선 안 될 문제로 떠올랐다.

　

3-3. 개인정보 끌어모은 뒤 방치..

"개인정보를 보호해야 할 기업의 자산으로 생각하는 자세가 무엇보다 중요합니다."최근 급증하고 있는 개인정보 유출 사건을 바라보는 보안업계 관계자들의 공통된 지적이다. 개인정보를 모으는 업체들의 경우 회원정보가 중요한 자산임에도 불구하고, 이를 다른 산업정보처럼 보호하려는 노력이 부족하다는 설명이다.

정보보호산업협회 이봉주 부장은 "몇년전 포털기업들의 기업가치를 산정할 때 회원 1인당 몇만원의 가치를 쳐주기도 했다. 그런데도 이들 자산에 대해 보험을 든다던지 하는 보호대책을 세워놓은 업체는 없다"며 개인정보보호에 대한 인식부족을 꼬집었다. 외부에는 회사의 생존기반이자 가장 중요한 자산이라고 선전하면서도 정작 내부적으로는 누가 퍼가도 아쉬울 것 없다는 식으로 방치해 놓은 셈이다.

개인정보에 대한 기업들의 이같은 인식부족은 결국 정보보호 담당자들의 무관심으로 이어지게 된다. 이 부장은 "실제 기업에서 개인정보의 중요성을 아무도 강조하지 않고 담당자들도 (개인정보를) 그냥 데이터 중 하나로 취급하고 있다"며 "업체들의 개인정보에 대한 인식전환이 절실하다"고 주장했다.

◆솔루션보다 관리가 중요보안업체들은 최근 이루어지고 있는 개인정보 유출과 해킹 사고는 이미 나와있는 제품들로 충분히 방어가 가능하다고 강조한다. 단지 업체들의 보안의식이 부족해 이를 제대로 활용하지 못한다는 주장이다.

가령 회원정보 유출을 막으려면 일정 수 이상의 회원정보를 조회하면 경보를 울리는 프로그램을 설치하면 되는데 이런 투자를 하는 기업은 거의 없다는 것이다. 한 보안업계 관계자는 "실제 몇몇 상위권 업체들을 제외하고는 이런 투자를 하는 업체는 거의 없다"고 전했다.

최근들어 증가하고 있는 웹(인터넷) 서비스의 취약성을 공략하는 해킹도 마찬가지. 보안업계에 따르면 웹은 오픈된 프로토콜로 쉽게 말하면 대문에 게시된 포스터와 같은 것이다. 따라서 웹 서버는 대부분 방화벽의 바깥에 위치하고 있어 웹 서버를 통해 공격하면 기존의 방화벽으로는 방어에 한계가 있을 수밖에 없다.

한 보안업체 관계자는 "이러한 웹 서버의 취약성을 보호하는 웹 애플리케이션 스캐너와 웹 애플리케이션 방화벽과 같은 제품이 나와 있는데도 여기까지 투자하는 업체는 찾기 힘든 실정"이라고 말했다. 현 수준에서도 기능적으로는 충분히 보안이 가능한데 ''우리 웹(인터넷) 페이지에서 가져가 봐야 뭘 가져 가겠냐''는 인식이 보안을 어렵게 만든다는 것.

◆공공기관이 더 큰 문제기업이나 공공기관이 관리상의 편의를 이유로 지나치게 많은 개인정보를 수집하는 것도 개인정보 보호를 어렵게 하는 요인이다. 대부분의 인터넷 사이트들은 실명확인이라는 명분으로 주민번호는 물론이고, 집과 직장주소, 휴대전화 및 집과 회사 전화번호, 직업과 학력, 심지어 결혼기념일과 자녀 숫자까지 요구한다.

문제는 이렇게 모은 개인정보들이 허술하게 관리된다는 점이다. 특히 사기업쪽 보다는 전자정부사이트 등 정부산하기관쪽이 개인정보 관리에 더욱 취약해 문제가 발생할 소지가 크다고 한다.

한 보안업계 관계자는 "사기업의 경우 정보 유출사건이 밖으로 나가면 영업에 타격을 받을 수 있으므로 그래도 낫다"며 "정부산하기관들은 예산이 없으면 보안에 대한 투자는 엄두도 못내는데다 사이트 구축과 관리를 외주로 주는 경우가 많아 헛점이 많다"고 지적했다. 이 관계자는 "곳곳에서 모두 개인정보를 수집하다 보니 이런 일이 생긴다"며 "공공기관들은 공인인증서 하나로 여러 정부관련 사이트들을 이용할 수 있게 하는 등의 보완책이 필요하다"고 덧붙였다.

한마디로 개인정보를 가장 소중히 다뤄야 할 정부기관이 개인정보 유출에 한몫하고 있는 것이다. 실제 지난달 4일에는 부산시가 자체 발행하는 ''부산시보'' 발행부수를 늘리면서 일선 구-군에 2만여명의 주민번호 등 개인정보를 요구해 물의를 빚기도 했다.

◆회원공유시 돌출약관 등 가이드라인 필요인터넷업체간의 활발한 ''제휴 마케팅''도 개인정보 유출의 주범 중 하나로 꼽힌다. 요즘 인터넷 사이트에 가입하면 다른 사이트에서도 광고 메일이 들어오는 경우가 많다. 보통 인터넷 사이트 가입 약관을 살펴보면 회사의 필요에 따라 다른 사이트와 회원을 공유한다는 내용이 있다.

그러나 네티즌들은 이러한 인터넷 사이트의 회원 약관을 꼼꼼하게 읽지 않는다. 첫 페이지에 보이는 글조차 제대로 읽지 않는 경우가 많은데 스크롤바를 한참 내려야 보이는 회원정보 공유에 대한 항목을 읽을 여유가 없는 것.

이러다 보니 여러 제휴사들을 떠돌던 개인정보가 보안이 취약한 사이트를 통해 노출이 되고 있다. 정보보호산업협회 김봉주 부장은 "회원정보 공유에 대한 약관은 다른 약관과 별도로 회원가입 예정자의 동의를 받게 하거나, 약관의 맨 앞쪽에 놓고 붉은색으로 표시하도록 지침을 만드는 등의 조치가 필요하다"고 지적했다.
　

3-4. 줄줄 새는 개인정보「범인은 허술한 구청 행정」

서울시 강남구에 살고 있는 김 모씨는 이달 초 모 자동차회사 판매 대리점의 한 직원으로부터 “고객님, 5년 넘게 타셨는데 승용차를 바꿀 생각이 없느냐”는 전화를 받고 깜짝 놀랐다.

김씨는 “그 회사 승용차를 소유한 사람도 아닌데 어떻게 알고 전화를 했느냐”고 물었으나 “우연히 알게 됐다”고만 답변해 재차 “내가 차를 살 수도 있으니 좀 알려달라”고 하자 “지난 6월에 자동차세 납부하지 않았느냐”는 말을 들었다.

부산에 사는 남 모씨도 최근 황당한 경험을 했다. 아무리 생각해도 도저히 자기가 기장에 땅을 갖고 있는 것을 알 리가 없는 한 중개업소 사장에게 전화를 받았기 때문이다.

이후 남씨는 계속된 전화로 일을 할 수 없을 정도로 시달리면서 “내가 그 땅을 소유하고 있는지를 어떻게 알게 됐냐”고 묻고는 충격적인 답변을 들었다. 그 중개업소 사장은 한 정보업체 회사로부터 주소와 이름을 넘겨받았다는 것이다.

최근 서울시 부산시 경기도 등 일선 구청들이 각종 지방세 세금납부고지서 출력 업무를 영세한 민간업체에 위탁하면서 허술하게 관리·감독을 하고 있는 것으로 드러나 개인정보 유출 가능성이 커지고 있다.

특히 유출된 개인정보는 인터넷에서 누구나 싼 값에 구매할 수 있어 최근 사이버 공간을 오염시키는 주범으로 지목받는 스팸메일과 문자메시지를 전문으로 보내는 업자, 자동차·보험회사 등에 넘겨지거나 범죄에 악용될 가능성이 높아 보안대책 마련이 시급하다는 지적이다.

현재 고지서 출력 업무를 민간업체에 위탁하고 있는 지자체는 서울시 25개 전 구청, 부산시 16개 전 구청, 경기도 수원시 영통구청 등 15개 구청 등이다.

이들 지자체는 면허세(1월) 자동차세(6·12월) 재산세(7월) 주민세(8월) 종합 토지세(10월) 등 총 5개 종류 지방세를 해당월 10일을 전후해 세금납부고지서를 찍어 지역 주민들에게 발송하고 있다.

서울시와 경기도 일선구청들은 서울 소재 S전산에, 부산시 일선구청들은 부산 소재 P정보시스템에 세금고지서 출력 업무에 대해 독점 계약을 맺고 있는 상태다. 이 같은 세금납부고지서에는 이름 주소와 함께 재산 내역, 부동산 물건내역과 소재지, 개인 소유 차량의 종류와 자동차 연식 자료 등 주요한 개인정보가 고스란히 담겨 있다.

그러나 서울시와 부산시, 경기도 내 일선구청들은 3000만~4000만원의 고가 출력장비를 구매해 놓고도 출력 업무가 힘들다는 이유로 민간업체에 외주를 주고 있어 예산낭비를 초래하는 것은 물론 개인정보 보호에 대한 최소한의 안전장치를 강구하지 않는 등 수수방관하고 있다.

개인이 세금 납부한 내역을 파일 형태 디스켓에 담아 그대로 넘겨주고, 담당 공무원이 디스켓을 회수해 폐기처분하지 않는 것은 물론 현장에 가서 확인도 하지 않아 보안관리가 제대로 이뤄지지 않고 있는 상태다.

출력된 고지서도 민간업체들이 우체국을 통해 발송하고 있을 정도로 무방비 상태인 ‘보안 사각지대’나 다름없는 상황이다. 특히 출력 외주업체들이 시와 구청에서 하청받아 재하청을 주면서 주민 개인정보가 떠돌고 있다는 게 업계에서는 공공연한 사실처럼 받아들여지고 있다.

3-5. 인터넷강국 맞아? 정통부의 코미디

92만명 정보 빼돌린 KTF에 ‘정보보호상’ 수여

지난 22일 오전 10시, 서울 을지로 1가 은행회관 2층. ‘2004년 정보보호대상’ 시상식이 열렸다. 김창곤 정보통신부 차관을 비롯해, 정보통신부의 정보보호정책 담당자, 한국정보보호진흥원 간부, 수상기관 대표와 직원 등이 대거 참석했다.

상을 받을 정보보호 우수기관들의 이름이 불려질 때마다 박수가 터졌다. 한국인터넷데이터센터(대상), 케이티에프(KTF), 광주과학기술원, 신한은행, 한국암웨이(이상 우수상), 호성케멕스, 성균관대, 명지전문대, 에이쓰리시큐리티컨설팅, 윈스테크넷(이상 특별상)이 상을 받았다.

정보보호 우수상에 ’고객정보 92만건 빼돌린 KTF’…“정통부는 코미디 부처?”

정보보호 대상은, 연 말에 쏟아지는 대다수 상이 언론사나 협회 주최로 시상되는 것과 달리, 정보통신부와 정보보호실천협의회가 주최한다. 정부가 주는 상이라는 얘기다. 정통부는 이번에 상을 받은 정보보호 우수기관의 정보보호 실천활동과 현장경험을 우수사례집으로 발간해 배포할 예정이다.

하지만 이 날 수상기관 중에는 상을 받기에 적절하지 않은 곳이 포함돼, 뒷말을 낳고 있다. 케이티에프다.

케이티에프는 지난 10월 경찰 조사에서 가입자 92만명의 개인정보를 유출한 것으로 드러났다. 마케팅 부서의 과장급 직원이 사무실 피시를 통해 고객 개인정보를 빼낸 것으로 밝혀졌다. 검찰은 최근 이 업체를 약식 기소했다.

케이티에프는 지난 2002년에는 가입자 수만명을 몰래 부가서비스(매직엔)에 가입시켜 요금을 받아온 게 드러나, 개인정보 침해 혐의로 검찰에 고발당해 벌금 1천만원을 물었다. 당시 케이티에프는 휴대전화에 가입할 때 제공한 개인정보를 이용해 고객을 본인 동의도 받지 않은 채 부가서비스에 가입시켜 요금을 받은 것으로 밝혀졌다.

형사 처벌은 끝났다. 하지만 민사소송은 아직도 진행중이다. 당시 피해자 100여명이 개인정보 침해에 따른 손해배상을 요구하는 소송을 법원에 제기해, 현재 재판이 진행중이다.

당시 케이티에프는 “혹시 자신도 모르게 가입돼 요금을 물고 있는 가입자가 더 있을지 모르니 요금고지서와 홈페이지를 통해 고지해 달라”는 참여연대의 요구를 회사 이미지를 들어 묵살했다.

피해를 당한 케이티에프 가입자의 조정 신청 건에 대해 “케이티에프는 개인정보 침해에 따른 손해배상으로 50만원을 보상하라”고 한 개인정보분쟁조정위원회의 결정도 “보상금 받아내기 위해 부가서비스 가입신청을 하고도 안했다고 우기는 가입자가 있을 수 있다”며 거부했다.

소비자쪽에서 볼 때, 통신업체에게 가장 중요한 정보가 가입자 개인정보다. 그런데 케이티에프는 고객 개인정보를 부당하게 이용하고, 유출까지 했다. 그 때마다 수십만명의 가입자가 개인정보 침해를 당하는 피해를 당했다.

현행 정보통신망 이용촉진 및 정보보호 등에 관한 법은, 기업이 고객의 개인정보를 수집 및 이용하거나 수집한 고객의 개인정보를 제3자에게 제공할 때는 반드시 사전에 동의를 받게 하고 있다. 동의를 받지 않으면 개인정보 침해에 해당돼 형사처벌과 민사소송 대상이 된다.

통신서비스 가입자가 가입 때 제공한 개인정보 역시 통신요금을 계산해 청구하거나 통화내역 조회 요구 때의 본인 확인, 고객에게 현재 이용중인 통신서비스와 관련해 꼭 필요한 내용을 알리는 용도로만 쓸 수 있다. 고객 개인정보가 케이티에프 담장을 넘어 밖으로 나가서도 안된다.

KTF, 92명 정보유출 이미 형사처벌…민사소송도 진행중

그러나 케이티에프는 고객 개인정보를 부가서비스 마케팅에 활용했다. 또 92만명 것을 담장 밖으로 갖고 나갔다. 그래서 민사소송이 진행중인데 이어, 올해 추가로 형사처벌까지 받았다.

통상적으로 수상자를 정할 때, 상의 주제와 관련해 사회적으로 큰 파장을 일으켰거나 형사처벌이나 소송이 진행중인 곳은 응모하지 않거나 심사 과정에서 제외되는 게 일반적이다. 하지만 케이티에프는 정보보호 대상에 응모했고, 수상자로 선정됐다.

이 때문에 “고객 개인정보를 잘못 관리해 형사처벌에 이어 집단소송까지 받고 있는 업체가 어떻게 수상업체로 선정됐는지 모르겠다”는 뒷말이 돌고 있다.

잘못됐다는 지적은 케이티에프 내부에서도 나온다. 케이티에프 관계자는 “92만명 개인정보 유출 건을 기억하는 쪽에서 문제제기를 할 것 같아, 회사 차원에서는 언론에 알리지 않았다”고 말했다.

KTF “개인정보 유출때문에 수상사실 언론에 알리지는 않아”

정통부와 정보보호진흥원도 심사과정에서 민사소송이 진행중이고, 개인정보를 유출한 것을 스크린하지 못한 것은 잘못이라고 인정했다. 그러나 “정해진 기준에서는 심사가 제대로 이뤄졌고, 따라서 케이티에프의 상을 취소할 수는 없다”고 못박았다.

정통부 김기권 정보보호정책과장은 “정보보호대상은 네트워크의 보안상태로 수상자를 뽑는다”며 “해킹이나 바이러스 등 네트워크를 통한 침투에 얼마나 잘 대비를 하고 있느냐가 큰 점수를 차지한다”고 말했다. 그는 “올해는 39개 기업과 대학이 응모해, 서류심사 및 현장심사, 바이러스 침투 심사를 거쳐 수상자를 뽑았다”고 밝혔다.

하지만 전문가들은 정보관리 책임자와 직원들의 정보보호 의식, 정보관리체제 등이 엉망인 상태에서의 네트워크 보안은 아무런 의미가 없다며, 상의 심사기준이 잘못됐다고 지적했다. 안에 정보 도둑이 득실거리고, 뒷문이 열려있는데, 앞에 높은 방화벽을 쌓아봤자 무슨 소용이 있느냐는 것이다.

정통부 “정보보호대상은 네트워크 보안상태로 수상 결정”

실제로 케이티에프의 경우, 외부에서 해킹을 통해 고객 개인정보를 빼낸 게 아니라, 내부 직원이 고객 개인정보를 갖고 나갔다. 업계의 한 전문가는 “가입자가 1천만명이 넘는 통신업체의 고객 개인정보관리시스템이, 마케팅 직원이 부서 컴퓨터로 고객 92만명의 개인정보를 파일로 만들 수 있을 정도로 허술하게 운영될 수 있느냐”고 의문을 제기했다.

지금이라도 정부가 상의 권위를 유지하고, 국민들을 헷갈리게 하지 않으려면, 상의 이름을 ‘네트워크 보안대상’ 정도로 바꿔야 하지 않을까 싶다. 정보보호대상이란 이름을 계속 쓰려면, 적어도 케이티에프를 수상자에서 빼는 조처는 필요해 보인다.

이 상이 현재 진행중인 재판과, 앞으로 또 일어날지도 모르는 개인정보 침해 사건 때 정상 참작 요인으로 이용되지 않을까 우려되기 때문이다.

<한겨레>

4-1. 출연연 42곳 보안상태 들여다보니...

　과학기술부와 한국과학기술원(KISTI)이 지난 9월 한달간 국책연구기관 및 과학기술 관련 단체 42개에 대한 정보보안 실태를 전면 점검한 결과는 가히 충격적이다.

　과기부 산하 국책연구기관 및 과학기술 관련 단체 42개 가운데 KAIST는 백신만으로 보안침해사고에 대비해 왔고, 바이러스 백신조차 없는 기관이 4개나 되는 등 국가핵심연구센터가 외부 보안위협에 고스란히 노출돼 있음이 드러났기 때문이다.

　◇KAIST, 백신만으로 보안=국내 최대 이공계 국책 연구대학인 KAIST는 바이러스 백신만으로 침해사고에 대응해 왔다. 또 백신조차 없는 기관 및 단체는 △한국과학기술한림원 △건설기술연구원 △해양연구원 △해양연 부설 극지 연구소 등 4개나 됐다.

　이번 실태조사에서 점검한 보안 항목은 △침입차단시스템 △침입탐지시스템 △바이러스 백신 △서버보안 프로그램 등 4가지 부문에서 이뤄졌는데, 4가지 보안 시스템을 모두 갖추고 있는 기관은 불과 7개에 지나지 않았다.

침입차단시스템을 갖춘 기관은 42개 기관 및 단체 가운데 원자력안전기술원 등 29개 기관으로 71% 수준인 것으로 확인됐다.

　◇보안 인력 및 교육, 조직도 허점=이번 조사대상 42개 기관 및 단체 가운데 독립적인 보안 조직을 갖춘 기관은 △광주과학기술원 △한국과학재단 △한국한의학연구원 △지질자원연구원 △에너지기술연구원 등 7개 기관에 불과했다. 또한 중앙과학관과 한국과학재단만이 보안인력 전담 조직을 갖추고 있을 뿐 대부분의 기관 및 단체가 보안인력을 겸임으로 운영하고 있었다.

　정보보안 교육의 경우는 대부분이 사내 게시판 등을 통해 수시로 또는 연간 1회에서 4회 정기적으로 하고는 있으나 1년 동안 한 번도 실시하지 않는 기관 및 단체도 9개나 됐다.

　◇영세한 예산구조 개선이 관건=이번 보안실태 점검결과 기관 및 단체의 보안 예산 배정액을 늘리지 않고는 근본적인 대책을 마련할 수 없다는 것이 중론이다.

　실제 한국과학기술정보연구원이 보안에 6억7000만원으로 가장 많은 예산을 쏟아붓고 있을 뿐 10개의 출연연 및 단체는 아예 보안 예산 자체가 없었다. 예산 배정을 해 놓았더라도 1000만원 미만인 곳이 9개 기관이었다.

　출연연 보안담당 관계자는 “출연연구기관 대부분이 보안의식만으로 침해사고에 대응할 수는 없다”며 “무엇보다 예산 배정 문제가 선결 과제”라고 말했다.
　

4-2. [사설]'보안 의식 부재'가 더 문제다

　과학기술 분야 국책연구기관과 과학기술부 산하 단체의 중요 정보시스템을 온라인 침해 사고로부터 종합적·체계적으로 보호할 국가과학기술정보보안센터를 설립하기로 한 것은 옳은 결정이다. 지난 상반기 주요 국가연구기관의 전산망이 해커에게 구멍이 뚫려 마치 내 집인 양 마음대로 들락날락할 정도로 허술해 국가안보마저 위협할 가능성이 높다는 점을 감안하면 더욱 그렇다. 특히 세계적인 정보화에 따라 정보침해 형태가 다양해지면서 국가 차원의 보호 방안에 대한 요구가 높아지고 있는 상황에서, 과학기술 관련 국가기관의 온라인 정보침해사고 대응시스템을 통합·체계화해 그 기능을 대폭 강화하겠다는 의지로 받아들여져 긍정적으로 평가된다.

　사실 과학기술 연구기관에 대한 보안의 중요성은 아무리 강조해도 지나치지 않다. 지금과 같은 치열한 기술경쟁시대에는 유형의 물질적 재산보다 무형의 노하우·정보·기술이 생존과 경쟁의 핵심 무기가 되고 있기 때문이다.

보안이 허술해 출연연구기관에서 개발된 첨단기술이 유출될 경우 단순히 개발비만 손해보는 게 아니라 첨단기술의 상용화에 따른 로열티 등 금전적 손실은 물론 국가경쟁력까지 떨어질 수 있는 것이다. 그만큼 첨단기술의 개발보다 개발된 기술의 보안이 더 중요한 상황이다.

　특히 우리나라는 국가기술력에서 세계 13위권에 올라 있고 특히 정보기술(IT) 분야는 세계 선두수준이어서 기술을 노린 산업스파이들의 각축장이 되고 있는 실정이다. 그런데도 불구하고 과학기술 연구기관의 보안의식은 매우 낮을 뿐 아니라 온라인 정보 보안상태가 허술하기 짝이 없다. 정부가 최근 과학기술 관련 국책연구기관 및 단체 42곳을 대상으로 정보보안실태를 점검한 결과는 차라리 수준 이하라고 봐야 한다. 침입차단 및 탐지 시스템, 바이러스 백신, 서버 보안프로그램 등 4가지 보안시스템을 모두 갖춘 기관은 7곳에 불과했고 그나마 침입차단시스템을 갖춘 기관도 전체의 71%인 29곳에 그쳤다고 한다. 지난 상반기 벌어진 해킹사건이 결코 우연이 아니었음을 보여주기에 충분하다.

　더욱이 백신만으로 보안침해사고에 대비해온 연구기관이 있는가 하면 바이러스 백신조차 없는 기관이 4곳이나 된다니 과학기술연구기관의 정보보호 능력이 얼마나 취약한지를 잘 보여준다. 정보보안 예산 자체가 없는 기관이 10곳이고, 예산이 있더라도 1000만원 미만인 곳이 허다하다는 사실만 보더라도 그 현실을 짐작하기 어렵지 않다.