北 전 국민 사용 ‘인터넷 뱅킹 보안’ 해킹…또 ‘액티브X’?

지난 8일 국가정보원은 최종일 3차장 주관으로 총리실 국무조정실, 국방부, 미래부 등 4개 정부부처 국장급들과 함께 ‘긴급 국가 사이버안전 대책회의’를 갖고, 최근 북한의 사이버 공격 동향에 대해 설명했다.

국정원이 밝혀낸 북한의 사이버 공격 가운데는 안보·외교 고위 관계자의 스마트폰 해킹 시도도 있었다. 하지만 더 위험한 부분은 바로 거의 대부분의 국민들이 사용하는 ‘인터넷 뱅킹 보안 프로그램 업체’의 전산망을 장악했었다는 점이다.

국정원이 대책 회의에서 밝힌 해당 업체의 프로그램은 인터넷 뱅킹을 하거나 온라인으로 신용카드 서비스를 사용할 때 ‘필수적’으로 설치되는 보안 프로그램인 것으로 알려졌다. 국내 사용자는 2,000만 명으로 추정된다.

국정원에 따르면, 지난 2월 미래부와 한국인터넷진흥원 등과 함께 북한 해킹 조직이 이 보안업체 내부 전산망에 침투, 전산망을 장악했던 사실을 찾아냈다고 한다. 국정원과 미래부 등은 해당 업체와 함께 보안 조치를 실시했다고 밝혔다.

같은 달 국정원은 북한이 금융위원회, 금융보안원과 함께 인터넷 뱅킹용 백신을 납품하는 업체의 전자 인증서까지 해킹, 탈취한 사실을 밝혀냈다고 한다.

북한이 탈취한 전자 인증서는 고객들이 인터넷 뱅킹 등을 하면서 액티브X 같은, 소위 ‘보안 프로그램’을 설치할 때 배포한 회사의 정보를 공지, 사용자들이 신뢰할 수 있도록 만든 것이라고 한다.

국정원은 “북한의 이번 사이버 공격은 2013년 ‘3.20 사이버테러’와 같은 금융전산망 대량 파괴를 노린 테러의 준비 단계로 보인다”면서 “사전에 발견하지 못했다면 대규모 금융 혼란이 야기될 수 있었다”고 설명했다.

국정원은 국민 여론을 의식한 듯 “실제 일반인들의 피해는 없는 것으로 나타났다”고 밝혔지만, 이를 곧이곧대로 믿는 사람은 거의 없다.

국내 보안 전문가들이 수 년 째 지적해온, 한국 금융계의 고질적인 문제인 ‘액티브X 강제 설치’와 공인 인증서 제도, 안랩, 소프트캠프 등을 필두로 한 ‘실시간 온라인 백신 프로그램 강제 사용’ 등이 북한의 해킹 목표가 됐기 때문이다.

한국 정부는 2014년 마이크로소프트가 ‘윈도우XP’에 대한 업데이트를 중단하고 ‘액티브X’ 사용을 지원하지 않기로 했다는 방침에 ‘정부합동대책반’까지 구성했지만, 국내 금융기관과 전자 상거래 업체들은 지금까지도 여전히 ‘액티브X’를 기반으로 한 ‘보안 프로그램’을 강제 설치하도록 강요하고 있다.

2,000만 명이라는, 거의 전 국민이 사용하던 ‘보안 프로그램 업체’의 전산망이 북한에게 장악당하고, 현재 출시되는 컴퓨터의 OS가 대부분 ‘윈도우10’으로 ‘액티브X’를 지원하지 않는다는 점 등까지 고려하면, 북한의 금융계 사이버 공격을 막기 위해서는 무엇보다 금융기업들의 환경 개선 노력이 절실해 보인다는 지적이 나오고 있다.