한국은 해킹되었습니다
심나영, 전영주, 박유진
사이드웨이
2025년 12월 12일
지인을 만나러 이스탄불에 갔을 때였다. 구순을 바라보는 큰 처남 전화번호로 “아버지가 돌아가셨다”는 문자가 왔다. 당연히 큰처남이 돌아가셔서 장조카가 아버지 전화로 문자를 보냈다고 생각했다. 나이가 많으시기는 해도 특별한 지병이 있으셨던 건 아니어서 황망한 마음에 문자로 들어온 링크를 열었다. 링크가 바로 열리지 않는 걸 보는 순간 당했다는 생각이 들었다. 아내에게 전화하니 소식을 듣지 못했다고 했다. 해킹이 확실하다 싶어 우선 은행과 카드사에 신고하고 전화기를 껐다. 서울로 돌아오고 문제를 해결하기까지 내가 겪었던 불안과 수고는 말도 못 한다.
업무에 컴퓨터를 사용하기 시작한 게 88년 무렵이었다. 지금이야 누구나 마찬가지이지만, 사십 년 가까이 컴퓨터가 멈춘다는 건 생각할 수 없는 상황에서 살아왔다. 다행히 바이러스 때문에 몇 번 애를 먹은 일은 있어도 아직 해킹은 당해보지 않았다. 대기업이 아니니 그랬겠다 싶은데, 저자들에 따르면 바로 우리 같은 중소기업이 해킹에 가장 좋은 표적이란다. 당장 먹고살기 바쁜 탓에 보안시스템의 중요성을 알면서도 뒷순위로 밀린다는 것이다. 더 작은 기업은 털어도 돈 나올 구멍이 없고.
저자에 따르면 인터넷진흥원이 중소기업 246개를 점검한 결과 보안관리 체계 평가점수가 34.9점으로 낙제점을 면치 못했다. 이런 상황에서 해킹 피해를 본 기업이 하나둘이 아닐 텐데, 피해 신고는 턱없이 작고 해킹 보험 가입도 아주 저조하다. 사실 해킹당하고도 신고하지 않는 기업이 95퍼센트에 이른다. 이는 신고해서 당할 불이익이 신고해서 얻을 수 있는 이익과 비교되지 않을 만큼 크기 때문이다. 우선 해킹당했다는 소문이 업계에 돌면 그날로 신뢰도는 바닥으로 떨어져 새로운 고객은 물론, 있는 고객도 놓칠 만큼 치명타가 된다. 정부에 신고하는 게 의무이지만, 그렇지 않아도 피해 복구로 정신없는데 요구하는 서류도 많고 시어머니만 늘어나는 셈이다. 그렇다고 정부에서 뾰족한 도움을 주는 것도 아니다. 시스템 복구하는 일이 한시가 바쁜데 해커들에게 돈을 주지 말라는 말만 한단다.
해킹 때문이 아니라 시스템 오류 때문이라도 파일을 백업하는 건 컴퓨터 사용자로서 기본이다. 그런데 기본에 충실해야 한다고 강조하는 나도 그러지 못한다. 그래서 아침에 컴퓨터 켤 때 조금이라도 버벅거리면 가슴이 철렁하고 백업하지 않은 걸 후회한다. 그러다가 잘 돌아가면 파일 백업은 또 남의 일이 되고 많다.
보험은 보험료만 내고 보험금은 안 타는 게 남는 장사라고 한다. 말하자면 백업도 보험이요, 해킹 방지 시스템도 보험인 셈이다. 하지만 보험과 다른 건 보안시스템이 잘 작동하면 문제가 일어나지 않고, 문제가 일어나지 않으니 그게 필요 없는 비용으로 여겨진다는 것이다. 그러니 보안시스템의 가성비를 따지는 것처럼 어리석은 일도 없다.
저자는 중소기업들이 보안시스템에 소극적인 이유를 또 다른 곳에서도 찾는다. 먹고살기 바빠서라는 것이다. 비로 이 먹고살기 바쁜 일은 기업인들에게 수사가 아니고 현실이며, 그 때문에 ‘터널 시야’라는 함정에 빠지게 만든다고 말한다.
“미국 소방청이 1990년부터 2000년까지 발생한 소방관 사망사고를 분석한 결과, 차량사고가 심장발작에 이어 2위를 차지했다. 충격적인 사실은 차량사고로 죽은 소방관의 79퍼센트가 안전벨트를 착용하지 않았다는 점이다. 긴급 출동이라는 극심한 스트레스가 소방관들을 화재진압이라는 한 가지 목표에만 집중하게 만들고, 안전벨트 착용과 같은 기본적인 안전절차를 잊게 만들기 때문이다.”
바로 먹고사는 일에 매몰된 기업인들이 이 소방관과 다를 바 없이 보안시스템이라는 기본적인 안전절차를 잊게 만든다는 말이다. 하지만 해킹으로 인한 피해는 작업을 멈추게 하는 일뿐 아니라 기술을 탈취해가는 것까지 확장된다. 그리고 기술을 경쟁사에 넘긴다며 협박한다.
저자에 따르면 제조업에서는 기술을 불법 복제하는데 대략 3년 정도 걸리고, 경쟁사에서 일하던 우수 인재를 데려오면 똑같은 기술을 만드는데 1년 반 걸린다. 그런데 도면이나 소스 코드 같은 기술자료를 입수하면 6개월이면 충분하다고 한다. 죽을힘을 다해 일궈놓은 기술을 눈 뜨고 빼앗길 수는 없는 일이니, 더 나아가 일거리를 놓치게 되니 기업인으로서는 선택의 여지가 없게 되는 것이다.
그러면 보안시스템을 만들면 이런 피해로부터 안전할까? 전문가들은 랜섬웨어를 100퍼센트 막아내는 건 불가능하다고 단언한다. 그러니 위험을 없애겠다는 불가능한 목표를 세울 게 아니라 위협과 함께 살아갈 슬기로운 방법을 찾아야 한다고 말한다. 바로 ‘보안 백업’이 랜섬웨어의 유일한 해결책이라는 것이다. 기업 자료의 복사본을 회사 서버와 완벽히 분리해 잠금 기술을 적용한 저장공간에 두는 것이다. 그저 백업만으로는 소용이 없는데, 이는 해커들은 침입한 PC를 통해 모든 공유 폴더나 외장 하드를 샅샅이 뒤지면서 데이터와 백업파일까지 모조리 파괴하기 때문이다. 그러니 원본과 백업이 같은 네트워크 안에 존재한다면 해커에게는 똑같은 파일 덩어리일 뿐이다.
작년까지 일하던 현장은 국가 기밀시설이어서 보안관리가 매우 엄격했다. 위에서 말한 대로 서버와 분리해서 잠금 기술을 적용한 저장공간에 복사본을 보관해야 했다. 귀찮은 일이지만 그렇게 하지 않으면 더 귀찮은 일이니 따르기는 했다. 아이러니한 것은 우리가 사용하는 컴퓨터는 본사 서버에 연결되어 있고, 본사는 발주처만큼 보안시스템이 견고하지 못했는데, 그건 지적하지 않더라는 것이다.
그러고 보니 보안점검이 철저했던 첫 직장이 떠오른다. 국책연구소였고 국가기밀과 관련한 사업들이 적지 않아 퇴근할 때마다 까다롭게 보안점검 절차를 확인했다. 몇 년 후 지금 회사로 옮겼는데, 주로 인프라 시설을 설계하는 일이어서 국가기밀이기는 다를 바 없었지만 국책연구소 보안 절차를 경험한 내 눈에는 그저 건성이었다. 심지어 비밀취급인가자만 하는 일도 다르지 않았다. 성과가 먼저였기 때문이다.
이런 성과 중심의 사회 분위기는 지금까지 이어지고 있다. 저자는 바로 그 연장선에서 우리 정부부터 보안을 지키지 않는다고 지적한다.
“보안의 제1원칙은 분산이다. 그래서 모든 온라인 계정의 비밀번호가 모두 달라야 한다. 그런데 한국 사회는 관리의 편의성이라는 명목으로 이를 무시하고 어느 개인의 모든 문을 열 수 있는 만능열쇠인 주민등록번호를 정부 손에 쥐여줬다. 편리함을 선이자 미덕으로 여기는 사회에서는 보안이 마지막 순위로 밀려날 수밖에 없다.”
하긴 정부 탓할 일도 아니다. 다른 나라는 우리와 같은 주민등록번호가 없어 선거할 때 본인 확인하는 게 큰일이라고 한다. 당장 며칠 전에도 트럼프가 선거할 때 신분 확인 절차를 엄격하게 하겠다고 발표해 소란스러워졌지 않은가. 물론 그건 외국인 억제 목적으로 한 일이기는 하지만. 예전에는 그럴 때마다 왜 우리 같은 주민등록번호를 사용하지 않는지 의아했는데, 생각해보니 나 역시 편리함을, 효율을 선이자 미덕으로 살아왔기 때문이었다.
한 가지 궁금한 일이 있다. 다행히 이제는 없어졌지만, 한때 Active-X로 인한 불만이 엄청났었다. 당시 해외 근무하던 내게는 그 불편함이 훨씬 크게 느껴졌다. 해킹으로 인한 문제가 우리에게만 국한된 것도 아닌데, 그런 면에서 미국이나 유럽이 뒤질 게 아닌데, 한국 온라인 결제할 때마다 불평을 입에 달고 살아야 했다. 저자들은 우리 사회가 편리함과 효율을 선이자 미덕으로 여겨 보안의 기본을 무시했다고 하는데, 어떻게 보안의 기본을 무시한 결과가 Active-X와 같은 사례였는지 의아하다.
저자는 요즘은 해커들이 돈을 받고 시스템을 풀어주는 데 그치지 않고 언제든 다시 공격할 수 있는 빌미를 남겨놓는다고 말한다. 그런 면에서 저자가 “해킹은 데이터를 훔치는 데서 끝나지 않는다. 사람들의 삶에 불안을 심고 그것을 일상으로 만들어버린다” 말한 게 실감 나게 다가온다.
나는 변화에 잘 적응하는 것과는 달리 변화를 참 싫어한다. 그래서 반드시 적응해야 할 일이 아니면 외면하고 만다. 아마 익숙함을 포기하기 싫기 때문일 것이다. 그래서 컴퓨터 운영체제가 업그레이드되었다 해도 마지막 순간까지 미루다가 서비스를 중단해야 비로소 업데이트한다. 개선된 거를 조금 늦게 쓰면 되는 일이라고 생각했기 때문이다. 그런데 그게 착각도 여간 큰 착각이 아니다. 이건 모두가 기억해야 할 내용이다.
“윈도우 업데이트는 보안에서 필수 중 필수이다. 운영체제를 업그레이드하지 않으면 겉보기에는 컴퓨터가 정상적으로 작동하지만, 사실은 보안 체계가 없는 시한폭탄이 되는 셈이다. 이전 버전에 새로운 취약점을 발견해도 업데이트를 제공하지 않기 때문이다.”
이거 한 문장으로도 책값과 책 읽은 시간 값은 했다.
