한국정보보호산업협회 20년사를 통해 본 한국 정보보호 20년 역사
지식정보보안산업협회로 이름 바뀌었던 KISIA, ‘정보보호산업진흥법’에 따라 한국정보보호산업협회로 재출발
랜섬웨어 및 금융정보 노린 악성코드 활발...정부는 법령상 근거 없는 주민번호 수집 단속
[보안뉴스 원병철 기자] 2015년은 지식정보보안산업협회로 이름이 바뀌었던 KISIA가 ‘정보보호산업진흥법’ 시행에 따라 법에 기재된 명칭인 ‘한국정보보호산업협회’로 재출발한 해였다. 2015년은 정보보호산업진흥법 시행으로 정보보호산업의 중요성이 법으로 명문화된 뜻 깊은 한해였으며, 협회가 명실상부하게 정보보호산업을 대표하는 법정 단체로 다시금 자리매김하는 계기가 됐다. 이와 함께 2015년은 랜섬웨어로 많은 피해를 입기 시작한 해였으며, 공공아이핀 부정발급 사건이 일어난 해였다.
공공아이핀 75만건 부정 발급이 낳은 파장
2015년 2월 지역정보개발원에서 관리하고 있는 행정자치부(현 행정안전부) 공공아이핀 시스템에서 75만건의 아이핀이 부정 발급되는 사고가 발생했다. 이 사고는 공공아이핀 정상발급 절차를 우회(프로그램 취약점 이용)한 파라미터 위변조 방식이 사용된 것으로 아이핀이 대량으로 부정 발급된 것으로 확인됐다. 또한, 부정 발급 받은 아이핀 중 12만건이 3개 게임사이트의 신규 회원가입, 기존 이용자 계정 수정 및 변경 등에 이용한 것으로 파악됐다. 부정 발급에는 2천여 개의 국내 IP가 동원됐으며, 중국어 버전의 SW가 사용된 것으로 파악됐다.
당시 공공아이핀 부정발급 대책 수립 TF 합동점검단장이었던 노병규 한국인터넷진흥원(KISA) 개인정보보호본부장은 “이번 사고의 원인이 공공아이핀 시스템의 설계상 오류에서 비롯됐다”고 밝혔다. 또한, 발급건수 급증 등 이상징후에 대한 관제체계가 없었으며, 공공아이핀이 개발된 2008년 이후 프로그램 업그레이드와 보안 투자가 미흡했던 것으로 드러났다.
국내 타깃 사이버공격 ‘검은 광산’ 실체 드러나
2015년에는 웹사이트 관리 미흡으로 인한 피해가 잇따라 일어났다. 2015년 2월에는 메리츠화재에서 70만 건의 고객 음성 파일이 인터넷에 무방비로 노출돼 방치되는 사건이 발생했다. 당시 병원 치료 정보 등 민감한 내용이 녹음된 파일들이 무려 9개월간 노출돼 있었으며, IP 주소만 알면 누구든지 음성파일을 재생하고 다운로드 받을 수 있었다. 이후 9월에는 회원 수 약 200만 명 규모의 인터넷 커뮤니티 사이트 뽐뿌에서 홈페이지 해킹으로 인해 195만명 회원정보가 유출되는 사건이 일어났다. 당시 해커는 홈페이지 구조 및 취약점을 파악하고, SQL 인젝션에 취약한 웹페이지를 확인한 후 SQL 인젝션을 통해 개인정보를 탈취하는 등 3단계의 범행 수법으로 웹사이트를 해킹했다.
이와 함께 2015년에는 우리나라를 타깃으로 사이버공격을 지속적으로 감행해왔던 ‘검은 광산’이라는 공격 캠페인도 밝혀졌다. 2014년 5월부터 2015년 7월까지 특정 그룹에서 동일한 유형의 악성코드를 이용해 국내 여러 기관과 기업을 공격한 정황이 포착된 것이다. 공격 대상은 에너지, 교통, 통신, 방송, IT 기업, 금융, 정치 분야 등을 총망라했다. 공격자는 파워포인트 자료를 보여주는 실행 파일로 가장한 악성코드를 이용해 특정 대상을 공격한 것으로 드러났다.
주요 정보·파일 납치, 랜섬웨어 공포 시작되다
2015년에는 이탈리아 사이버보안 업체이자 감시 툴 제작업체인 해킹팀(Hacking Team)이 해킹 당했다는 소식이 일제히 보도되면서 엄청난 파장을 일으켰다. 해킹팀을 통해 감시 툴을 구매한 곳 가운데 우리나라 국정원이 포함된 것으로 알려지면서 정치 문제로 비화됐기 때문이다. 또 하나는 이탈리아 해킹팀 해킹사고로 인해 제로데이 취약점 등 해킹팀이 보유하고 있던 취약점이 대거 유출되면서 전 세계 해커들이 유출된 취약점들을 악용하기 시작했다는 점이다.
특히, 2015년은 랜섬웨어 피해가 극심했던 것으로 나타났다. 랜섬웨어침해대응센터에서 집계한 결과에 따르면 국내에서는 2015년 10월부터 11월까지 진화된 변종 랜섬웨어 공격으로 피해가 급증했다. 2015년 3~9월까지 랜섬웨어 침해신고가 579건(월평균 85건)에서 10월 656건으로 8배 증가했으며, 11월 927건으로 감염피해가 11배로 급증했다. 랜섬웨어 종류를 살펴보면 3대 랜섬웨어인 △크립토락커(42%) △테슬라스크립트 변종(37%) △크립토월(15%)의 점유율이 94%를 차지했다. 감염경로별로 보면 인터넷(66%), 이메일(25%), P2P사이트(9%) 순으로 드러났다. 또한, 랜섬웨어 감염대상은 개인(39%)이 가장 많았고, 그 다음으로 중소기업(31%), 중견기업(17%), 대기업과 공공기관(4%), 병원(3%), 교육기관(2%) 등으로 나타났다.
금융정보 노린 악성코드, 2015년 강타
2015년 중반에는 전 세계 1,000여개 은행과 기업을 노렸던 ‘다이어(Dyre)’ 악성코드가 최신 운영체제와 브라우저에서도 정보를 탈취하는 등 더욱 진화한 모습으로 국내에 상륙했다. 또한, 진짜와 구별이 어려운 파밍 사이트로 사용자를 유도해 금융정보를 노리는 뱅키(Banki)류 악성코드도 2015년 하반기에는 배포방식을 바꾸는 등 여전히 기승을 부렸다.
국내의 경우 2015년 상반기에는 자바 애플릿, 하반기는 어도비 플래시 플레이어 취약점을 악용한 악성코드 공격이 가장 많았다. 이러한 악성코드 공격에는 여행·음식·숙박·법인·부동산·결혼·사진·미용·취업·채용·광고 등 중소기업 사이트가 취약한 것으로 드러났다.
한국인터넷진흥원이 발표한 2015년 ‘월간 악성코드 은닉사이트 탐지 동향 보고서’에 따르면 1월 84%, 2월 87%, 3월 89%, 4월 87%, 5월 68%, 6월 54%, 7월 42%, 8월 69%, 9월 67%, 10월 71%, 11월 75%로 매월 높은 비율을 차지했다. 그중에서도 2015년 3월이 89%로 금융정보 탈취형 악성코드가 가장 많이 유포된 것으로 나타났다. 악용된 보안취약점 중에는 1, 2, 3, 5월 상반기에는 자바 애플릿이 두드러졌고, 6월부터 11월까지 하반기까지는 어도비 플래시 플레이어의 보안 취약점을 악용한 비율이 가장 높았던 것으로 조사됐다. 특히, 이탈리아 해킹팀 이슈로 뜨거웠던 2015년 8월에는 어도비 플래시 취약점 악용 비율이 45%로 가장 높았으며, 2015년 1월에는 자바 애플릿 악용 비율이 52%로 가장 높았던 것으로 분석됐다.
이와 함께 2015년 중반에는 POS 단말기 해킹 사건이 발생하는 등 금융정보 탈취 보안위협은 POS 시스템으로까지 확대됐다. 해외에서는 ‘체리피커(Cherry Picker)’, ‘모드포스(ModPOS)’ 등 주요 POS 악성코드가 발견됐다.
IoT 기기 보안위협, 확산되기 시작하다
또한, 2015년에는 인터넷에 연결된 각종 사물인터넷(IoT) 기기들의 보안위협이 이슈가 됐다. 일례로 국내 제조사 공유기 22종을 대상으로 공유기를 자동 공격하는 공격도구도 발견됐다. 이어 해외 홈CCTV, IP 카메라에서도 다수의 보안 취약점과 백도어가 발견됐다. 가정용 CCTV를 해킹해 생중계하는 사례도 발생했다. 이와 함께 블랙햇에서 진행한 자동차 해킹 시연 등으로 인해 자동차 보안위협도 이슈가 됐다. 이와 관련해서는 크라이슬러가 140만대의 차량을 리콜한 바 있으며, 냉장고, 스마트TV, 다리미, 전자레인지 등 생활형 IoT 장비의 보안위협도 확산되기 시작했다.
행정자치부, 법령상 근거 없는 주민번호 수집 단속
2015년 2월에는 당시 행정자치부(현 행정안전부)가 법령상 근거 없는 주민번호 수집 단속 및 처분 강화에 나섰다. 점검대상 158,936개 홈페이지 중 5,800개(3.6%)에서 주민번호 수집·처리 사실을 확인하고, 이들 홈페이지에 대해 법령상 근거가 없을 경우 조속히 수집·처리를 중단(아이핀 등 대체수단 제공, 해당 페이지 삭제)하도록 개선 권고했다.
또한, 2015년 2월 개인정보처리자의 관련 법령과 정책에 대한 이해도를 높이기 위해 개인정보보호의 취약분야이자 교육 파급효과가 큰 개인정보처리 수탁 사업체를 비롯해 예산 부족으로 개인정보보호 교육을 받고 싶어도 받지 못하고 있는 영세사업장 등을 대상으로 권역별 순회교육과 사이버 교육 확대에 나섰다.
개인정보보호 교육을 위한 민간단체와의 협력 강화로 행자부는 업종별 협회 및 단체와 MOU 체결을 확대(2014년 5개→2015년 50개)했으며, 서울 등 전국적으로 구축한 개인정보보호 지역거점 지원센터(2014년 78개→2015년 150개)를 통해 지역주민 대상 개인정보보호 교육을 실시했다.
정부, 개인정보보호법 위반 대대적인 단속·적발
2015년 3월부터는 대대적인 관계부처 합동 단속·점검이 실시됐다. 일제 단속·점검은 6개 관계부처 합동 T/F가 마련한 ‘범정부 개인정보 유출 재발방지 대책’의 일환으로 경찰청에서는 ‘개인정보 침해사범 집중단속’을 통해 총 66건 106명의 침해사범을 검거하고, 유출된 개인정보를 모두 회수 조치했다. 또한, 행정자치부는 개인정보 관리 수탁업체 등 취약분야를 대상으로 관계부처 합동 실태점검을 일제 실시해 ‘개인정보보호법’을 위반한 114개 업체를 적발했다. 방송통신위원회도 온라인 사업자 등을 대상으로 실태점검을 실시해 위반업체에 대한 시정조치를 했으며, 주민등록번호 등 온라인상에 노출된 개인정보 3,282건과 불법유통 게시글 2만8,272건을 삭제 조치했다고 밝혔다.
2015년 4월부터 5월까지는 관계부처 합동으로 민간 자율점검(4월)과 현장점검(5월)이 실시됐다. 민간 자율점검은 국내 6천여 IT 수탁사를 대상으로 행자부에서 제시한 점검 목록(체크 리스트)을 기반으로 실시했다. 점검결과 80개 업체 중 75개 업체(93.7%)가 개발·운영하는 개인정보처리시스템에서 법 위반사항 403건이 적발됐고, 이들 업체에 개인정보를 위탁처리(시스템 공급·유지보수 등)하는 사업자(위탁자)는 45만여 개에 달하는 것으로 조사됐다. 당시 점검은 국내 380만 대다수 사업자들이 개인정보처리 시스템의 개발·운영을 IT 수탁사에 위탁 처리하고 있고, 계속되는 개인정보 침해사고가 IT 수탁사들의 시스템 개발 및 운영 문제에서 비롯되고 있어 개인정보보호에 IT 수탁사들의 역할이 매우 큰 것으로 조사된 데 따른 조치였다.
개인정보보호법 개정안 국회통과, 징벌적·법정손해배상제 도입
2015년 7월에는 개인정보 유출 피해구제 강화를 위한 징벌적·법정손해배상제 도입, 개인정보 범죄에 대한 제재수준 강화, 개인정보보호위원회 기능 강화 등을 주요 내용을 하는 ‘개인정보보호법’ 개정안이 국회 본회의를 통과했다. 이는 2014년 1월 카드 3사의 개인정보 유출사고를 계기로 마련된 범정부 차원의 ‘개인정보보호 정상화 대책’ 일환으로 추진된 것이다.
개정안에는 개인정보 유출로 인한 피해자들의 경우 법정손해배상제를 통해 300만원까지 손쉽게 손해배상을 받을 수 있도록 했고, 개인정보를 고의적으로 유출시킨 기관과 사업자 등에게는 실제 손해액을 초과해 최대 3배까지 배상하도록 하는 징벌적 손해배상제도 함께 도입됐다. 또한, 개인정보 침해 관련 사범에 대한 처벌도 대폭 강화됐다. 이에 따라 개인정보를 불법 취득 후 영리 목적으로 유통시킨 자에게는 개인정보보호법상 가장 높은 법정형인 10년 이하 징역 또는 1억원 이하 벌금이 부과되며, 개인정보 불법 유출·유통으로 얻은 범죄수익은 전액 몰수·추징된다.
개인정보보호 인증체계 PIMS로 통일
2015년 11월에는 부처별·분야별로 각각 운영되고 있는 개인정보보호 관련 인증 제도를 통합 운영하기 위해 개인정보보호 인증제 운영에 관한 규정(고시)이 전면 개정됐다. 이에 따라 PIPL(Personal Information Protection Level), PIMS(Personal Information Management System) 등 부처별로 상이한 인증명칭과 마크를 개인정보보호 관리체계(PIMS)로 통일했다. PIPL의 65개 심사항목과 PIMS의 124개 심사항목을 86개로 조정하고, 수수료 산정기준도 통일해 단일체계로 운영했다.
이와 함께 정부는 개인정보보호에 있어 가장 큰 문제로 지적된 대통령령의 주민번호 수집 근거를 폐지했다. 2015년 12월 22일 국무회의에서 주민번호 수집을 허용하는 42개 대통령령의 주민번호 수집근거를 폐지토록 의결한 것. 당시 개정은 불필요한 주민번호 수집관행 근절을 위해 관계부처와 함께 수립한 ‘주민번호 수집 근거법령 일제정비 계획’에 따른 것이다. 단순 본인확인 등 반드시 주민번호가 필요하지 않은 업무에서 주민번호 수집을 금지하고 관련 서식에서도 주민번호 기재란을 삭제하거나 생년월일로 대체하는 등의 내용으로 일괄 개정됐다. 또한, 주민번호를 전자적으로 보관하는 경우 보관규모가 100만 명 미만이면 2016년 말까지, 100만 명 이상이면 2017년 말까지 의무적으로 암호화 조치를 완료하도록 했다.
이 외에도 사업자 등이 개인정보 수집에 관한 동의를 받을 경우 정보주체가 동의여부를 선택할 수 있음을 명확히 확인할 수 있도록 관련 내용을 글자 크기나 색깔 등을 통해 구분·표시하게 했다. 이와 함께 한국인터넷진흥원(KISA)과 한국정보화진흥원(NIA)이 수행하고 있는 개인정보보호 업무는 한국인터넷진흥원으로 통합됐다.
정보보호산업진흥법, 12월 23일부터 시행
2015년 6월 제정된 ‘정보보호산업의 진흥에 관한 법률(이하 정보보호산업진흥법)’이 12월 23일부터 시행됐다. 정보보호산업진흥법 시행과 동시에 한국정보보호산업협회로 명칭이 바뀌는 지식정보보안산업협회(KISIA) 심종헌 회장은 법 시행 시 일반 기업에서 눈여겨봐야 할 사항으로 크게 세 가지를 꼽았다.
먼저 보안 소프트웨어(SW) 지속 서비스 대가와 관련한 부분이다. 외국의 경우 소프트웨어 자체에 하자가 없는 이상 무상유지보수라는 개념이 없다. 그러나 우리나라는 소프트웨어를 구매하면 유지보수 서비스는 자연스럽게 따라오는 것이라는 인식이 대부분이다. 이에 정보보호산업진흥법에서는 보안소프트웨어 구매 시 표준 계약서에 소프트웨어 가격과 1년간의 보안성 지속 서비스 대가에 대한 가격을 명시하도록 했다. 보안소프트웨어 도입과 동시에 유지보수 비용과 보안기능을 유지하는 비용을 산출한다는 개념이다.
두 번째로는 정보보호 준비도 평가다. 이는 금융, 공공, 대기업 등의 정보보호 준비노력(Readiness)을 평가하게 되는 것으로, 보안에 대해 얼마나 투자하고 있는지, 보안인력을 어떻게 관리하고 있는지 등을 평가해 등급을 부여하는 법적 근거가 마련됐다.
마지막으로는 정보보호 공시제도가 있다. 정보보호 투자 우수기업을 시장에 적극적으로 알리기 위해 정보보호 투자 현황, 인증 수준 등을 상장법인 공시 등에 포함할 수 있도록 하고, 공시를 한 기업에게는 정보보호 관리체계(ISMS) 인증 수수료 30% 감면 혜택 등을 제공하는 제도다.
지식정보보안산업협회에서 ‘한국정보보호산업협회’로 재탄생
지식정보보안산업협회(KISIA)가 2015년 12월 23일부터 ‘한국정보보호산업협회’로 명칭이 변경됐다. 2015년 5월 29일 국회 본회의를 통과한 ‘정보보호산업의 진흥에 관한 법률(이하 정보보호산업진흥법)’이 6월 22일 공포되면서 이로부터 6개월이 경과한 날인 2015년 12월 23일부터 정식 명칭이 변경된 것이다. 협회 측은 정보보호산업진흥법에 담긴 한국정보보호산업협회로 명칭을 변경하면서 정보보호가 정보보안, 물리보안, 융합보안을 다 아우르는 개념이기 때문이라고 설명했다. 이를 통해 명실상부 정보보호산업을 대표하는 협회로 재탄생하게 됐다.
[KISIA 역대 회장 인터뷰] 심종헌 제12대 회장(현 유넷시스템 대표)
정보보호산업법 제정, 큰 의의
회장 재임기간 중 가장 큰 화두가 됐던 보안이슈는 한국수력원자력 해킹 사고가 2014년 말부터 2015년 초까지 보안시장을 뜨겁게 달구더니, 핀테크·IoT 시대의 본격적인 개화로 새로운 공격에 대한 경고가 이어졌으며, 실제로 금융기관이 해킹을 당하기도 했습니다. 또한, 스마트카 해킹이 가능하다는 사실이 입증돼 대량의 리콜 사태가 벌어지기도 하는 등 저의 재임기간 동안 보안이슈가 끊이지 않았던 것 같습니다.
재임 당시 정보보호 산업 발전을 위해 가장 중점적으로 추진했던 계획과 그 성과에 대해 설명해 주신다면 취임 초기 정보보호 산업을 구체적으로 뒷받침하는 법률 제정이 필수라고 생각하게 됐습니다. 이에 정부부처, 학계 등의 지원을 받아 정보보호 산업진흥법이 2015년 6월 제정됐으며, 동 법률이 12월 23일부터 시행됐죠. 해당 법률의 경우 개정 필요성 등을 안고는 있지만 여러 정보화 관련 법률에 흩어져 있던 정보보호 관련 제도를 처음으로 집대성했다는데 큰 의의가 있다고 생각합니다. 또한, 정보보호 산업진흥법 제정에 따라 그 법률에 근거하여 한국정보보호 산업협회를 만들 수 있게 됐습니다. 이에 기존 지식정보보안산업협회라는 명칭을 한국정보보호 산업협회로 개명하는 효과로 나타나게 됐고, 2015년 12월 23일에 현판 제막식을 거행할 수 있었습니다.
가장 기억에 남는 에피소드나 협회 운영 시 힘들었던 점은 정보보호산업진흥법 제정이 국회에서 진행되는 등 정보보호에 대한 정치권의 관심이 높아지는 일종의 부작용이었다고 할까요? 각종 정부 행사에 협회의 참석 요구가 많아지고 처음으로 대통령 해외순방 행사에 협회가 사절단 공식명단에까지 오르게 되는 상황에 이르렀죠. 이러한 협회의 위상 강화에 기쁘기도 했지만, 회장 활동에 필요한 시간이 물리적으로 한계를 느낄 정도였습니다.
당시에 업계에서 가장 주목받았던 기업과 보안 솔루션이 있었다면 제가 재임하기 직전부터 재임기간 동안 정보보호 업계의 코스닥 상장이 줄줄이 이어지며 업계에 코스닥 상장 붐을 일으켰습니다. 2013년 하반기부터 파이오링크, SGA, 케이사인, 드림시큐리티 등이 연이어 코스닥 상장에 성공했기 때문이죠. 또한, 가장 주목 받았던 보안 솔루션은 APT 솔루션이었습니다.
당시 공공기관이나 기업들의 보안인식 수준은 어땠나요 보안에 취약한 무선은 기본적으로 사용하지 않는 것이 최상의 보안대책이라는 논리로 공공 및 금융권에서 무선보안 사용이 금기시 되고 있었고 이는 비밀스런 무선 활용으로 이어져 네트워크상의 심각한 보안 문제로 대두되는 상황까지 이르게 됐습니다. 그러나 2015년부터 국가기관, 군 등에서 무선보안 지침이 마련되면서 공공과 금융기관에 무선보안 투자가 본격적으로 시작된 점이 개인적으로 인상 깊었습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[원병철 기자(boanone@boannews.com)]
지식정보보안산업협회로 이름 바뀌었던 KISIA, ‘정보보호산업진흥법’에 따라 한국정보보호산업협회로 재출발
랜섬웨어 및 금융정보 노린 악성코드 활발...정부는 법령상 근거 없는 주민번호 수집 단속
[보안뉴스 원병철 기자] 2015년은 지식정보보안산업협회로 이름이 바뀌었던 KISIA가 ‘정보보호산업진흥법’ 시행에 따라 법에 기재된 명칭인 ‘한국정보보호산업협회’로 재출발한 해였다. 2015년은 정보보호산업진흥법 시행으로 정보보호산업의 중요성이 법으로 명문화된 뜻 깊은 한해였으며, 협회가 명실상부하게 정보보호산업을 대표하는 법정 단체로 다시금 자리매김하는 계기가 됐다. 이와 함께 2015년은 랜섬웨어로 많은 피해를 입기 시작한 해였으며, 공공아이핀 부정발급 사건이 일어난 해였다.
[이미지=iclickart]
공공아이핀 75만건 부정 발급이 낳은 파장
2015년 2월 지역정보개발원에서 관리하고 있는 행정자치부(현 행정안전부) 공공아이핀 시스템에서 75만건의 아이핀이 부정 발급되는 사고가 발생했다. 이 사고는 공공아이핀 정상발급 절차를 우회(프로그램 취약점 이용)한 파라미터 위변조 방식이 사용된 것으로 아이핀이 대량으로 부정 발급된 것으로 확인됐다. 또한, 부정 발급 받은 아이핀 중 12만건이 3개 게임사이트의 신규 회원가입, 기존 이용자 계정 수정 및 변경 등에 이용한 것으로 파악됐다. 부정 발급에는 2천여 개의 국내 IP가 동원됐으며, 중국어 버전의 SW가 사용된 것으로 파악됐다.
당시 공공아이핀 부정발급 대책 수립 TF 합동점검단장이었던 노병규 한국인터넷진흥원(KISA) 개인정보보호본부장은 “이번 사고의 원인이 공공아이핀 시스템의 설계상 오류에서 비롯됐다”고 밝혔다. 또한, 발급건수 급증 등 이상징후에 대한 관제체계가 없었으며, 공공아이핀이 개발된 2008년 이후 프로그램 업그레이드와 보안 투자가 미흡했던 것으로 드러났다.
국내 타깃 사이버공격 ‘검은 광산’ 실체 드러나
2015년에는 웹사이트 관리 미흡으로 인한 피해가 잇따라 일어났다. 2015년 2월에는 메리츠화재에서 70만 건의 고객 음성 파일이 인터넷에 무방비로 노출돼 방치되는 사건이 발생했다. 당시 병원 치료 정보 등 민감한 내용이 녹음된 파일들이 무려 9개월간 노출돼 있었으며, IP 주소만 알면 누구든지 음성파일을 재생하고 다운로드 받을 수 있었다. 이후 9월에는 회원 수 약 200만 명 규모의 인터넷 커뮤니티 사이트 뽐뿌에서 홈페이지 해킹으로 인해 195만명 회원정보가 유출되는 사건이 일어났다. 당시 해커는 홈페이지 구조 및 취약점을 파악하고, SQL 인젝션에 취약한 웹페이지를 확인한 후 SQL 인젝션을 통해 개인정보를 탈취하는 등 3단계의 범행 수법으로 웹사이트를 해킹했다.
이와 함께 2015년에는 우리나라를 타깃으로 사이버공격을 지속적으로 감행해왔던 ‘검은 광산’이라는 공격 캠페인도 밝혀졌다. 2014년 5월부터 2015년 7월까지 특정 그룹에서 동일한 유형의 악성코드를 이용해 국내 여러 기관과 기업을 공격한 정황이 포착된 것이다. 공격 대상은 에너지, 교통, 통신, 방송, IT 기업, 금융, 정치 분야 등을 총망라했다. 공격자는 파워포인트 자료를 보여주는 실행 파일로 가장한 악성코드를 이용해 특정 대상을 공격한 것으로 드러났다.
주요 정보·파일 납치, 랜섬웨어 공포 시작되다
2015년에는 이탈리아 사이버보안 업체이자 감시 툴 제작업체인 해킹팀(Hacking Team)이 해킹 당했다는 소식이 일제히 보도되면서 엄청난 파장을 일으켰다. 해킹팀을 통해 감시 툴을 구매한 곳 가운데 우리나라 국정원이 포함된 것으로 알려지면서 정치 문제로 비화됐기 때문이다. 또 하나는 이탈리아 해킹팀 해킹사고로 인해 제로데이 취약점 등 해킹팀이 보유하고 있던 취약점이 대거 유출되면서 전 세계 해커들이 유출된 취약점들을 악용하기 시작했다는 점이다.
특히, 2015년은 랜섬웨어 피해가 극심했던 것으로 나타났다. 랜섬웨어침해대응센터에서 집계한 결과에 따르면 국내에서는 2015년 10월부터 11월까지 진화된 변종 랜섬웨어 공격으로 피해가 급증했다. 2015년 3~9월까지 랜섬웨어 침해신고가 579건(월평균 85건)에서 10월 656건으로 8배 증가했으며, 11월 927건으로 감염피해가 11배로 급증했다. 랜섬웨어 종류를 살펴보면 3대 랜섬웨어인 △크립토락커(42%) △테슬라스크립트 변종(37%) △크립토월(15%)의 점유율이 94%를 차지했다. 감염경로별로 보면 인터넷(66%), 이메일(25%), P2P사이트(9%) 순으로 드러났다. 또한, 랜섬웨어 감염대상은 개인(39%)이 가장 많았고, 그 다음으로 중소기업(31%), 중견기업(17%), 대기업과 공공기관(4%), 병원(3%), 교육기관(2%) 등으로 나타났다.
금융정보 노린 악성코드, 2015년 강타
2015년 중반에는 전 세계 1,000여개 은행과 기업을 노렸던 ‘다이어(Dyre)’ 악성코드가 최신 운영체제와 브라우저에서도 정보를 탈취하는 등 더욱 진화한 모습으로 국내에 상륙했다. 또한, 진짜와 구별이 어려운 파밍 사이트로 사용자를 유도해 금융정보를 노리는 뱅키(Banki)류 악성코드도 2015년 하반기에는 배포방식을 바꾸는 등 여전히 기승을 부렸다.
국내의 경우 2015년 상반기에는 자바 애플릿, 하반기는 어도비 플래시 플레이어 취약점을 악용한 악성코드 공격이 가장 많았다. 이러한 악성코드 공격에는 여행·음식·숙박·법인·부동산·결혼·사진·미용·취업·채용·광고 등 중소기업 사이트가 취약한 것으로 드러났다.
한국인터넷진흥원이 발표한 2015년 ‘월간 악성코드 은닉사이트 탐지 동향 보고서’에 따르면 1월 84%, 2월 87%, 3월 89%, 4월 87%, 5월 68%, 6월 54%, 7월 42%, 8월 69%, 9월 67%, 10월 71%, 11월 75%로 매월 높은 비율을 차지했다. 그중에서도 2015년 3월이 89%로 금융정보 탈취형 악성코드가 가장 많이 유포된 것으로 나타났다. 악용된 보안취약점 중에는 1, 2, 3, 5월 상반기에는 자바 애플릿이 두드러졌고, 6월부터 11월까지 하반기까지는 어도비 플래시 플레이어의 보안 취약점을 악용한 비율이 가장 높았던 것으로 조사됐다. 특히, 이탈리아 해킹팀 이슈로 뜨거웠던 2015년 8월에는 어도비 플래시 취약점 악용 비율이 45%로 가장 높았으며, 2015년 1월에는 자바 애플릿 악용 비율이 52%로 가장 높았던 것으로 분석됐다.
이와 함께 2015년 중반에는 POS 단말기 해킹 사건이 발생하는 등 금융정보 탈취 보안위협은 POS 시스템으로까지 확대됐다. 해외에서는 ‘체리피커(Cherry Picker)’, ‘모드포스(ModPOS)’ 등 주요 POS 악성코드가 발견됐다.
IoT 기기 보안위협, 확산되기 시작하다
또한, 2015년에는 인터넷에 연결된 각종 사물인터넷(IoT) 기기들의 보안위협이 이슈가 됐다. 일례로 국내 제조사 공유기 22종을 대상으로 공유기를 자동 공격하는 공격도구도 발견됐다. 이어 해외 홈CCTV, IP 카메라에서도 다수의 보안 취약점과 백도어가 발견됐다. 가정용 CCTV를 해킹해 생중계하는 사례도 발생했다. 이와 함께 블랙햇에서 진행한 자동차 해킹 시연 등으로 인해 자동차 보안위협도 이슈가 됐다. 이와 관련해서는 크라이슬러가 140만대의 차량을 리콜한 바 있으며, 냉장고, 스마트TV, 다리미, 전자레인지 등 생활형 IoT 장비의 보안위협도 확산되기 시작했다.
행정자치부, 법령상 근거 없는 주민번호 수집 단속
2015년 2월에는 당시 행정자치부(현 행정안전부)가 법령상 근거 없는 주민번호 수집 단속 및 처분 강화에 나섰다. 점검대상 158,936개 홈페이지 중 5,800개(3.6%)에서 주민번호 수집·처리 사실을 확인하고, 이들 홈페이지에 대해 법령상 근거가 없을 경우 조속히 수집·처리를 중단(아이핀 등 대체수단 제공, 해당 페이지 삭제)하도록 개선 권고했다.
또한, 2015년 2월 개인정보처리자의 관련 법령과 정책에 대한 이해도를 높이기 위해 개인정보보호의 취약분야이자 교육 파급효과가 큰 개인정보처리 수탁 사업체를 비롯해 예산 부족으로 개인정보보호 교육을 받고 싶어도 받지 못하고 있는 영세사업장 등을 대상으로 권역별 순회교육과 사이버 교육 확대에 나섰다.
개인정보보호 교육을 위한 민간단체와의 협력 강화로 행자부는 업종별 협회 및 단체와 MOU 체결을 확대(2014년 5개→2015년 50개)했으며, 서울 등 전국적으로 구축한 개인정보보호 지역거점 지원센터(2014년 78개→2015년 150개)를 통해 지역주민 대상 개인정보보호 교육을 실시했다.
정부, 개인정보보호법 위반 대대적인 단속·적발
2015년 3월부터는 대대적인 관계부처 합동 단속·점검이 실시됐다. 일제 단속·점검은 6개 관계부처 합동 T/F가 마련한 ‘범정부 개인정보 유출 재발방지 대책’의 일환으로 경찰청에서는 ‘개인정보 침해사범 집중단속’을 통해 총 66건 106명의 침해사범을 검거하고, 유출된 개인정보를 모두 회수 조치했다. 또한, 행정자치부는 개인정보 관리 수탁업체 등 취약분야를 대상으로 관계부처 합동 실태점검을 일제 실시해 ‘개인정보보호법’을 위반한 114개 업체를 적발했다. 방송통신위원회도 온라인 사업자 등을 대상으로 실태점검을 실시해 위반업체에 대한 시정조치를 했으며, 주민등록번호 등 온라인상에 노출된 개인정보 3,282건과 불법유통 게시글 2만8,272건을 삭제 조치했다고 밝혔다.
2015년 4월부터 5월까지는 관계부처 합동으로 민간 자율점검(4월)과 현장점검(5월)이 실시됐다. 민간 자율점검은 국내 6천여 IT 수탁사를 대상으로 행자부에서 제시한 점검 목록(체크 리스트)을 기반으로 실시했다. 점검결과 80개 업체 중 75개 업체(93.7%)가 개발·운영하는 개인정보처리시스템에서 법 위반사항 403건이 적발됐고, 이들 업체에 개인정보를 위탁처리(시스템 공급·유지보수 등)하는 사업자(위탁자)는 45만여 개에 달하는 것으로 조사됐다. 당시 점검은 국내 380만 대다수 사업자들이 개인정보처리 시스템의 개발·운영을 IT 수탁사에 위탁 처리하고 있고, 계속되는 개인정보 침해사고가 IT 수탁사들의 시스템 개발 및 운영 문제에서 비롯되고 있어 개인정보보호에 IT 수탁사들의 역할이 매우 큰 것으로 조사된 데 따른 조치였다.
개인정보보호법 개정안 국회통과, 징벌적·법정손해배상제 도입
2015년 7월에는 개인정보 유출 피해구제 강화를 위한 징벌적·법정손해배상제 도입, 개인정보 범죄에 대한 제재수준 강화, 개인정보보호위원회 기능 강화 등을 주요 내용을 하는 ‘개인정보보호법’ 개정안이 국회 본회의를 통과했다. 이는 2014년 1월 카드 3사의 개인정보 유출사고를 계기로 마련된 범정부 차원의 ‘개인정보보호 정상화 대책’ 일환으로 추진된 것이다.
개정안에는 개인정보 유출로 인한 피해자들의 경우 법정손해배상제를 통해 300만원까지 손쉽게 손해배상을 받을 수 있도록 했고, 개인정보를 고의적으로 유출시킨 기관과 사업자 등에게는 실제 손해액을 초과해 최대 3배까지 배상하도록 하는 징벌적 손해배상제도 함께 도입됐다. 또한, 개인정보 침해 관련 사범에 대한 처벌도 대폭 강화됐다. 이에 따라 개인정보를 불법 취득 후 영리 목적으로 유통시킨 자에게는 개인정보보호법상 가장 높은 법정형인 10년 이하 징역 또는 1억원 이하 벌금이 부과되며, 개인정보 불법 유출·유통으로 얻은 범죄수익은 전액 몰수·추징된다.
개인정보보호 인증체계 PIMS로 통일
2015년 11월에는 부처별·분야별로 각각 운영되고 있는 개인정보보호 관련 인증 제도를 통합 운영하기 위해 개인정보보호 인증제 운영에 관한 규정(고시)이 전면 개정됐다. 이에 따라 PIPL(Personal Information Protection Level), PIMS(Personal Information Management System) 등 부처별로 상이한 인증명칭과 마크를 개인정보보호 관리체계(PIMS)로 통일했다. PIPL의 65개 심사항목과 PIMS의 124개 심사항목을 86개로 조정하고, 수수료 산정기준도 통일해 단일체계로 운영했다.
이와 함께 정부는 개인정보보호에 있어 가장 큰 문제로 지적된 대통령령의 주민번호 수집 근거를 폐지했다. 2015년 12월 22일 국무회의에서 주민번호 수집을 허용하는 42개 대통령령의 주민번호 수집근거를 폐지토록 의결한 것. 당시 개정은 불필요한 주민번호 수집관행 근절을 위해 관계부처와 함께 수립한 ‘주민번호 수집 근거법령 일제정비 계획’에 따른 것이다. 단순 본인확인 등 반드시 주민번호가 필요하지 않은 업무에서 주민번호 수집을 금지하고 관련 서식에서도 주민번호 기재란을 삭제하거나 생년월일로 대체하는 등의 내용으로 일괄 개정됐다. 또한, 주민번호를 전자적으로 보관하는 경우 보관규모가 100만 명 미만이면 2016년 말까지, 100만 명 이상이면 2017년 말까지 의무적으로 암호화 조치를 완료하도록 했다.
이 외에도 사업자 등이 개인정보 수집에 관한 동의를 받을 경우 정보주체가 동의여부를 선택할 수 있음을 명확히 확인할 수 있도록 관련 내용을 글자 크기나 색깔 등을 통해 구분·표시하게 했다. 이와 함께 한국인터넷진흥원(KISA)과 한국정보화진흥원(NIA)이 수행하고 있는 개인정보보호 업무는 한국인터넷진흥원으로 통합됐다.
정보보호산업진흥법, 12월 23일부터 시행
2015년 6월 제정된 ‘정보보호산업의 진흥에 관한 법률(이하 정보보호산업진흥법)’이 12월 23일부터 시행됐다. 정보보호산업진흥법 시행과 동시에 한국정보보호산업협회로 명칭이 바뀌는 지식정보보안산업협회(KISIA) 심종헌 회장은 법 시행 시 일반 기업에서 눈여겨봐야 할 사항으로 크게 세 가지를 꼽았다.
먼저 보안 소프트웨어(SW) 지속 서비스 대가와 관련한 부분이다. 외국의 경우 소프트웨어 자체에 하자가 없는 이상 무상유지보수라는 개념이 없다. 그러나 우리나라는 소프트웨어를 구매하면 유지보수 서비스는 자연스럽게 따라오는 것이라는 인식이 대부분이다. 이에 정보보호산업진흥법에서는 보안소프트웨어 구매 시 표준 계약서에 소프트웨어 가격과 1년간의 보안성 지속 서비스 대가에 대한 가격을 명시하도록 했다. 보안소프트웨어 도입과 동시에 유지보수 비용과 보안기능을 유지하는 비용을 산출한다는 개념이다.
두 번째로는 정보보호 준비도 평가다. 이는 금융, 공공, 대기업 등의 정보보호 준비노력(Readiness)을 평가하게 되는 것으로, 보안에 대해 얼마나 투자하고 있는지, 보안인력을 어떻게 관리하고 있는지 등을 평가해 등급을 부여하는 법적 근거가 마련됐다.
마지막으로는 정보보호 공시제도가 있다. 정보보호 투자 우수기업을 시장에 적극적으로 알리기 위해 정보보호 투자 현황, 인증 수준 등을 상장법인 공시 등에 포함할 수 있도록 하고, 공시를 한 기업에게는 정보보호 관리체계(ISMS) 인증 수수료 30% 감면 혜택 등을 제공하는 제도다.
[사진=KISIA]
지식정보보안산업협회에서 ‘한국정보보호산업협회’로 재탄생
지식정보보안산업협회(KISIA)가 2015년 12월 23일부터 ‘한국정보보호산업협회’로 명칭이 변경됐다. 2015년 5월 29일 국회 본회의를 통과한 ‘정보보호산업의 진흥에 관한 법률(이하 정보보호산업진흥법)’이 6월 22일 공포되면서 이로부터 6개월이 경과한 날인 2015년 12월 23일부터 정식 명칭이 변경된 것이다. 협회 측은 정보보호산업진흥법에 담긴 한국정보보호산업협회로 명칭을 변경하면서 정보보호가 정보보안, 물리보안, 융합보안을 다 아우르는 개념이기 때문이라고 설명했다. 이를 통해 명실상부 정보보호산업을 대표하는 협회로 재탄생하게 됐다.
[KISIA 역대 회장 인터뷰] 심종헌 제12대 회장(현 유넷시스템 대표)
정보보호산업법 제정, 큰 의의
▲제12대 KISIA 회장 심종헌 유넷시스템 대표
재임 당시 정보보호 산업 발전을 위해 가장 중점적으로 추진했던 계획과 그 성과에 대해 설명해 주신다면 취임 초기 정보보호 산업을 구체적으로 뒷받침하는 법률 제정이 필수라고 생각하게 됐습니다. 이에 정부부처, 학계 등의 지원을 받아 정보보호 산업진흥법이 2015년 6월 제정됐으며, 동 법률이 12월 23일부터 시행됐죠. 해당 법률의 경우 개정 필요성 등을 안고는 있지만 여러 정보화 관련 법률에 흩어져 있던 정보보호 관련 제도를 처음으로 집대성했다는데 큰 의의가 있다고 생각합니다. 또한, 정보보호 산업진흥법 제정에 따라 그 법률에 근거하여 한국정보보호 산업협회를 만들 수 있게 됐습니다. 이에 기존 지식정보보안산업협회라는 명칭을 한국정보보호 산업협회로 개명하는 효과로 나타나게 됐고, 2015년 12월 23일에 현판 제막식을 거행할 수 있었습니다.
가장 기억에 남는 에피소드나 협회 운영 시 힘들었던 점은 정보보호산업진흥법 제정이 국회에서 진행되는 등 정보보호에 대한 정치권의 관심이 높아지는 일종의 부작용이었다고 할까요? 각종 정부 행사에 협회의 참석 요구가 많아지고 처음으로 대통령 해외순방 행사에 협회가 사절단 공식명단에까지 오르게 되는 상황에 이르렀죠. 이러한 협회의 위상 강화에 기쁘기도 했지만, 회장 활동에 필요한 시간이 물리적으로 한계를 느낄 정도였습니다.
당시에 업계에서 가장 주목받았던 기업과 보안 솔루션이 있었다면 제가 재임하기 직전부터 재임기간 동안 정보보호 업계의 코스닥 상장이 줄줄이 이어지며 업계에 코스닥 상장 붐을 일으켰습니다. 2013년 하반기부터 파이오링크, SGA, 케이사인, 드림시큐리티 등이 연이어 코스닥 상장에 성공했기 때문이죠. 또한, 가장 주목 받았던 보안 솔루션은 APT 솔루션이었습니다.
당시 공공기관이나 기업들의 보안인식 수준은 어땠나요 보안에 취약한 무선은 기본적으로 사용하지 않는 것이 최상의 보안대책이라는 논리로 공공 및 금융권에서 무선보안 사용이 금기시 되고 있었고 이는 비밀스런 무선 활용으로 이어져 네트워크상의 심각한 보안 문제로 대두되는 상황까지 이르게 됐습니다. 그러나 2015년부터 국가기관, 군 등에서 무선보안 지침이 마련되면서 공공과 금융기관에 무선보안 투자가 본격적으로 시작된 점이 개인적으로 인상 깊었습니다.
*해당 기사의 저작권은 한국정보보호산업협회(KISIA)에 있습니다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-10-31] .jpg)
