해커로부터 우리를 지키려면

SK텔레콤이 보유한 개인정보가 대량 유출된 것이 지난달 19일 드러났다. SKT를 이용하는 휴대전화기 유심(USIM) 자료들이 도난당했다. 그런 도난이 불러올 재앙들에 대비하느라 온 사회가 혼란스럽다.

지난 6일엔 민관합동조사단이 해킹 프로그램 8개를 추가로 찾아냈다고 밝혔다. 이것은 4월의 개인정보 해킹이 일회적 사건이 아니라는 뜻이다. SKT에 대한 전반적이고 지속적인 침투의 일환이었음을 가리킨다. 이런 상황은 심각하지만 처음 겪는 일이라 우리로선 대응은 그만두고 전모를 파악하기도 힘들다.

미국에서 일어난 비슷한 사건들을 살피면 도움이 될 듯하다. 2023년 마이크로소프트(MS)는 미국 전기통신(telecommunication) 체계에 침투한 중국의 악성 프로그램을 발견했다. 대대적인 추적 끝에 지난해 가을 중국 침투의 전모가 거의 드러났다. MS가 타이푼(Typhoon)이라고 명명한 이 해킹 그룹은 세 조직으로 이뤄졌다.

볼트 타이푼(Volt Typhoon)은 미국의 사회기반시설에 침투했다. 이 그룹이 심은 악성 프로그램들은 유사시 미국 사회기반시설을 마비시키도록 돼 있고 평상시엔 깊이 숨는다. 핵심 임무는 중국의 대만 침공을 돕기 위해 미국과 아시아 사이의 통신 시설을 마비시키는 것이다.

플랙스 타이푼(Flax Typhoon)은 주로 대만에 침투한 그룹이다. 역시 유사시에 대비해 깊이 숨는다. 사물인터넷(IoT) 기기에 침투해 봇넷(botnet·악성 프로그램에 감염돼 조종되는 컴퓨터 망)으로 만들어 목표를 공격한다.

솔트 타이푼(Salt Typhoon)은 미국 전기통신 체계에 침투한 프로그램들을 조작한 그룹이다. 이들의 존재는 지난해 드러났지만 그들의 침투는 2020년으로 거슬러 올라간다. 미국의 주요 전기통신 기업 아홉 곳 모두가 이들에게 뚫렸다. 이들은 주로 보안이 허술한 낡은 기기로 침투해 연결망을 타고 해킹 프로그램을 확산시켰다. 이들은 특히 미국의 방첩 기구들과 요원의 전화 통화를 집중적으로 엿들었다. 이들이 탈취한 정보의 양과 중요성이 워낙 커서 마크 워너 상원 정보위원장은 이번 사건을 “미국 역사에서 가장 심각한 전기통신 해킹”으로 평했다.

솔트 타이푼의 침투에서 가장 심각한 요소는 그들이 심은 프로그램을 다 찾아내는 것이 무척 어렵다는 점이다. 오래전 깊숙이 침투해서 위장했으므로 가만히 있으면 찾아내기가 실질적으로 불가능하다. 워너 위원장은 “헛간 문은 아직도 활짝 열렸거나 거의 다 열렸다”고 진단했다.

미국이 이러한데 우리는 어떠하겠는가? 국민 관련 자료를 가장 많이 보유한 선거관리위원회가 ‘12345’라는 비밀번호를 쓰면서 국정원의 보안 감사는 거부하는 현실이다. 그런 현실을 다수 국민은 심상하게 여긴다. 미국의 주요 전기통신 기업이 모두 뚫렸다는 사실은 SKT만이 아니라 모두 뚫렸을 가능성이 높다는 것을 가리킨다. 정보 보안의 기본 수칙은 안전한 기기를 쓰는 것이다. 미국은 중국 기기들을 솎아내기 시작해 이제는 지방 전기통신망의 일부만 화웨이 기기를 쓴다. 우리 사회엔 그렇게 할 의지도 능력도 없다.

우리 사회 깊숙이 침투한 해킹 프로그램을 잡아내는 일은 기술적으로 무척 어려울 수밖에 없다. 전반적 기술 수준이 낮고 보안 기업들이 영세한 우리 사회에서 국내 기업이 독자적으로 그런 기술을 갖추는 데는 한계가 있다. 정부가 적극적으로 나서서 필요한 투자를 하고 엄격한 보안 조치를 모든 기업이 하도록 유도하기 전에는 우리 전기통신 체계는 침투에 취약할 수밖에 없다.

빚이 많은 정부가 그렇게 투자하려면 우리 정보망을 해커로부터 지키려는 국민의 의지가 있어야 한다. 그런 의지는 국민들이 이 문제의 심각성을 충분히 인식한 뒤에야 형성될 수 있다. 기업도 정부도 정보 유출의 실상을 덮지 말고 실은 ‘우리 사회가 자신의 정보를 지킬 능력도 의지도 없었다’고 밝히는 것이 긴요하다.

워너 위원장의 결론은 깊이 새길 만하다. “우리는 미국 시민이 이런 사정을 알도록 해야 합니다. 사람들이 알아야 합니다.”