공무원 4백만명 정보 새나간 역대 최고 규모 해킹, 더 커질 듯
보안 강조하는 정부, 정작 자신들은 당한 것에 또 당하고

[보안뉴스 문가용] 지난 목요일 미국 인사관리처(Office of Personnel Management, 이하 OPM)에서 대규모 정보유출 사고가 발생했다고 주말부터 연일 헤드라인을 장식하고 있다. 무려 4백만 명이 넘는 연방 공무원의 정보가 나간 것은 미국 정부가 겪은 그 어떤 해킹 사고보다 큰 규모이기 때문이다.
 


현재 OPM은 FBI 및 미국 국토안전부와 손을 잡고 수사를 진행 중에 있다. 그래서 쉽사리 ‘이게 다다’라고 발표할 수도 없는 상황. 앞으로 또 어떤 국가 행정부서에서 이번 수사를 통해 비슷한 사건의 흔적을 발견할 지 알 수 없는 상황인 것이다. OPM은 발표문을 통해 “침입의 흔적 발견 후 네트워크 보안 및 방지책을 강화했으며, 현재는 원격 접근과 원격 네트워크 관리자 기능을 제한하고 있다”라고 발표했다.

실제로 OPM은 모든 인터넷 사용연결 현황을 검토하여 합법적인 사업분야만 공공 인터넷을 사용할 수 있도록 조치를 취했다. 또한 OPM은 안티멀웨어 툴을 전체 네트워크 환경에 보강함으로써 추가적인 악성 소프트웨어가 더 침입하지 않도록 했다. 동시에 공격자가 남겨두었을지도 모르는 멀웨어에 대한 가능성까지도 모두 제거했다고 밝혔다.

또한 이번 주부터는 피해자들에게 개인정보가 유출되었다는 사실을 알리는 서신도 발송할 예정이다. 그러면서 무료 신용도 체크 서비스와 아이덴티티 보호 서비스를 18개월 간 제공할 예정이기도 하다.

하지만 아직까지 최초 침입이 어떻게 이루어졌는가, 해커가 얼마나 서버에 머물러 있었나, 어떻게 이 침입 사실이 발견되었는가 등 사건 자체에 대한 추가 상황이 드러나지는 않은 상황이다. 다만 몇몇 매체에서 ‘익명의 정부 관계자’를 언급하며 ‘중국 쪽이 의심이 간다’는 발언을 언급하고 있는 상황이다. 현재까지 알려진 바 해커가 노린 것은 사회보장번호 등 개인식별정보인 것으로 보이지만 과연 국가의 후원을 받은 자의 소행인지는 확실치 않다고 뉴욕 타임즈는 밝히고 있다.

OPM은 연방 정부 기관의 모든 인사업무를 관할하고 있는 곳이라고 볼 수 있는데, 그렇기 때문에 여기에는 사실상 모든 국가 기관 부서의 개인식별정보가 저장되어 있다. 뿐만 아니라 정부 기관과 계약 관계에 있는 모든 조직에 속한 사람들의 정보도 가지고 있다. 그래서 이번 사건은 최초에 알려진 4백만 건 이상의 규모가 될 공산이 크다.

중요한 건 OPM의 해킹 사고가 이번이 최초가 아니라는 것이다. 지난 7월 미국 국토안전부는 OPM의 데이터베이스에 누군가 침입한 흔적을 발견했다는 사실을 발표한 바 있다. 그 때 역시 해커들은 수많은 연방 공무원들을 노린 것으로 밝혀졌고, 특히 OPM의 최고 기밀에 접근할 수 있는 권한을 가진 이들이 주요 타깃이었다. 지금의 사건과 그때의 사건에 어떤 연결고리가 있는지는 아직까지 불확실하다.

지난 몇 달간 미국의 정부관련 기관들은 숱한 침입 시도를 겪어왔다. 지난 가을에는 백악관과 국무부에서 침입의 징후가 발견되었고, 그보다 조금 전에는 미국 우편국에 대대적인 해킹 공격이 있었다. 이때 8십만 명의 직원 정보가 유출되었으며 2백 9십만 건의 우체국 사용자의 정보 역시 같은 운명에 처했다. 미국 해양대기국에서 난리가 난 건 불과 며칠 후였다.

결국 공기관에서 그렇게 보안 보안을 외치고 있지만 실제 변화는 극히 천천히 이루어지고 있다는 걸 여과 없이 보여주는 게 이런 일련의 사건들이라고 베라코드(Veracode)의 크리스 와이소팔(Chris Wysopal)은 정리한다. “심각한 오류의 발생 빈도수나 그걸 패치하려는 노력의 정도를 봤을 때 국가 기관은 모든 부분에서 최하위입니다.” 게다가 이 오류들이 대부분 SQL 인젝션이라던가 XSS라던가 이미 널리 알려진 것들이라는 것도 시사하는 바가 있다. “정부기관이니만큼 개인정보를 철저히 관리해 준다고 생각하겠죠. 의료 정보, 금융 정보, 생산업 계통 소식들도요. 그러나 절대 그렇지 않습니다.”

웹룻(Webroot)의 보안첩보 책임자인 그레이슨 밀본(Grayson Milbourne)은 “이것이야 말로 왜 정부의 사이버 보안 정책에 개혁이 필요한 것인지를 적나라하게 보여주는 사건”이라고 평했다. “게다가 그 개혁이 당장에 필요하죠. 지금도 늦은 감이 있는데요. 지금에 와서 범인이 중국이니 아니니 따지는 건 의미가 없습니다. 문제의 근원은 OPM 및 정부기관에서의 게으름에 있거든요.”
Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>