사이버범죄수사절차법 도입해서 중대 사이버범죄의 경우 해킹영장 검토해야
국제 공조와 함께 해킹 피해 최소화 및 구제 위한 국가 차원의 노력 필요

[보안뉴스= 이상진 고려대학교 정보보호대학원 교수] 인터파크 고객 1030만 명의 개인정보가 유출됐다. 이미 전 국민의 개인정보가 유출되었는데 그다지 놀랍지 않다. 지능형지속공격(APT)에 당한 것으로 알려졌다. 공격자는 피해자의 취약점을 지속적으로 찾아 공격을 시도한다. 끈질긴 공격을 계속 막다가 한순간 방심하면 당한다.



지능형지속공격에 당하지 않으려면 어떻게 해야 하느냐는 질문을 받으면 난감하다. 계속 막다가 미처 생각하지 못하는 취약점을 공격자가 발견하면 속절없이 당할 수밖에 없는데 대책을 말해달라고 하면 할 말이 없다. 보안전문가를 고용해서 취약한 요소가 있는지 매번 점검하고 미지의 공격에 당할 수도 있으니 이상 행위가 있는지 상시 감시하라고 말하지만 왠지 궁색하다.

인터파크 사건에 대한 언론보도에 의하면, 악성코드가 첨부된 이메일에 직원이 속아 해킹당했고, 이를 발판 삼아 공격자는 데이터베이스에 접근하여 개인정보를 탈취한 것으로 드러났다. 악성코드 메일을 개인이 막는 것은 불가능에 가깝다. 아는 사람으로 위장하여 관계된 일로 메일을 보내오면 열어보지 않을 사람이 몇 명이나 되겠는가? 취약점이 패치되지 않았다면 해킹될 수밖에 없다. 물론 데이터베이스에서 대량의 데이터가 유출되고 있는데 모니터링을 안한 것은 보안관리 체계에 문제가 있어 보인다. 하지만 정확한 사실 관계를 모르기 때문에 이 역시 막을 수 있었는지 말하긴 힘들다.

그러면 지능형지속공격이 발생하면 당할 수밖에 없는가? 방어만 하면 그렇다. 공격자를 잡아야 끝난다. 그런데 피해가 발생하지 않은 상태에서 신고하면 경찰이 나서서 공격자를 잡아줄까? 피해가 발생한 사건도 해결하지 못하는데 기대하기 어렵다.

사이버 공간은 장소의 개념이 없다. 그런데 법은 장소의 틀에 갇혀 있다. 범죄가 발생하면 해당 국가에서 조사해야지 타국에서 수사할 수 없다. 사이버 범죄는 가해자와 피해자가 물리적으로 같은 공간에 있지 않다. 따라서 외국에서 공격하면 해당 국가의 도움 없이 수사할 수 없다. 피해는 발생하는데 이를 방지할 책무가 있는 국가는 자체적인 대책은 없고 국제공조가 유일한 답인데, 해당 국가에서 도와주지 않으면 어쩔 수 없다. 무엇인가 잘못된 것 같다.

국제 공조가 안되는 곳에서 시도된 사이버범죄는 어찌해야 할까? 범죄가 성공하기 전에 역공격을 해서 범죄 발생을 막아야 하지 않을까? 그러면 역공격을 당하는 국가에서 사이버전으로 오해하면 어떻게 될까? 범죄 피해를 막기 위해 어쩔 수 없는 선택이었고 범죄자 이외에 실질적으로 발생한 피해가 없다고 주장할 수 있지 않을까?

지능형지속공격과 같이 사이버범죄는 막기 어렵고 수사할 수 있는 권한도 제한적이다. 국제 공조로 해결할 수 없다면 사이버공간에서 피해를 방지하고 범죄자가 범행을 실행할 수 없도록 하는 조치가 필요하다. 법원의 엄격한 통제하에 해킹을 허용하는 사이버범죄수사절차법을 도입하면 어떨까? 감청영장처럼 사이버범죄에 대해서는 해킹영장의 도입이 필요하다. 악용될 가능성이 크지만 사이버범죄로 인한 피해도 막아야 한다.


개인정보가 탈취되어 전자금융사기에 악용됨으로써 금융자산이 모두 탈취되는 사건이 많이 발생하고 있다. 예금이 전 재산인 사람으로부터 예금을 모두 탈취해 가는 것은 살인과 다름없다. 악용의 가능성을 사후 감시로 막고 사이버범죄를 조기에 막는 현명한 선택이 필요하다.

언제까지 방어만 하라고 하고, 피해가 발생해도 수사할 권한이 없다고만 할 것인가? 열심히 국제 공조를 하고 있겠지만 더 나아가서 피해를 막고 발생된 피해를 구제하는 국가 차원의 노력이 필요하다. 이러한 관점에서 외국에서 우리나라를 공격한 경우에 한해 제한적으로 해킹영장을 도입해 보자. 역해킹을 통해 범죄 사실을 규명하고 탈취된 정보를 삭제하고 추가 범행을 막을 수 있는 체계를 구축하자. 국민의 생명과 재산을 지켜야 하는 국가의 책무를 사이버공간에서도 할 수 있게 법을 만들자.
[글_ 이상진 고려대학교 정보보호대학원 교수(sangjin@korea.ac.kr)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>