- 스마트 시대의 보안, 어떻게 대처할 것인가

벌써 1년 전이네요. 작년 11월, KT가 국내에 아이폰을 출시한 것을 시작으로 국내에는 스마트폰 열풍이 불었습니다.


그 후로 스마트폰뿐 아니라 스마트패드(태블릿), 스마트TV 등 새로운 ‘스마트’한 디지털기기가 계속 쏟아져 나오면서, 본격적인 스마트 IT 시대가 개막했습니다. 어느덧 국가의 핵심 아젠더도
스마트 코리아가 됐는데요.

개인은 물론이고 기업과 공공기관에서도 스마트폰, 태블릿 등 각종 모바일기기를 활용해 업무환경을 스마트오피스, 스마트워크플레이스로 바꾸려는데 분주합니다.

이러한 시대에는 당연히 ‘스마트 시큐리티(Smart Security)’가 요구됩니다. 그에 걸맞는 보안도 잘 돼있어야 안전하고 편리하게 스마트 기기를 이용할 수 있고, 그로 인한 혜택을 만끽할 수 있겠지요.

스마트폰 열풍과 함께 자연스럽게 모바일 보안도 이슈화됐습니다. 지난 1년 내내 그랬지만 여전히 보안 문제에 대한 해답을 찾는데 혼란을 겪고 있다는 생각이 듭니다.

가장 먼저 금융감독당국이 스마트폰을 이용한 모바일 금융거래 확산에 대비한 보안 대책을 내놨고(많은 논란을 일으켰지만), 정부는 통신사, 휴대폰제조사, 보안업계·학계·관계기관 전문가들과 스마트폰 보안 대책을 마련하는데 부심해 왔습니다.  

보안업계와 이동통신사들도 백신부터 악성소프트웨어 탐지 툴, 스마트폰 통합보안 제품, 모바일 금융거래 보안 솔루션, 데이터 원격삭제 등 단말 보안관리 제품과 같은 다양한 스마트폰, 모바일 보안 솔루션 개발과 출시에 열을 올렸습니다.

그동안에 공인인증서 사용 의무화 논란에서부터 이에 대한 규제 완화, 악성 애플리케이션과 악성코드의 정의와 범위, 유출되는 개인정보의 범위, 과도한 스마트폰 보안과 부족한 인식이 쟁점이 됐었습니다. 아직은 어느 것 하나 명쾌하게 정리되지 않았는데요.

그 이유가 스마트폰, 아니 스마트 시대의 보안 문제가 아직 진짜 현실화된 수준이 아니기 때문일 겁니다. 그래서 “스마트폰 보안은 (잠재) 위협으로 이슈화만 됐지 실체는 없다”, “과도하게 보안위협이 부각됐다”며, 과장된 보안위협에 대한 우려나 부각을 경계해야 한다는 목소리마저 제기됐습니다.

그동안 ‘디지털데일리’ 기사로 지금까지 나온 스마트폰 보안 솔루션과 방안을 나름대로 많이 소개해 왔는데요. ‘딜라이트닷넷’ 창간 1주년에 즈음해, 보안전문가 두 분을 만나 ‘스마트 시대의 보안 대처법과 대응전략’을 주제로 이야기를 나눠 봤습니다. 스마트 시큐리티 구현을 위한 담론 정도가 되겠네요.

대응전략을 제대로 수립하기 위해 지금 우리에게 필요한 것이 무엇인지에 대한 이야기가 주로 진행됐습니다.

스마트 시대와 보안에 대한 두분 전문가 시각을 한번 엿볼까요. 김홍선 안철수연구소 대표와 전상훈 카이스트(KAIST) 사이버보안센터 개발팀장입니다.

먼저, 김홍선 대표는 스마트폰 열풍 이후 현재를 어떻게 보고 있을까요?

“우리는 지금 스마트폰으로 인한 충격에서 헤어나지 못하고 있는 것 같다. 2000년대 초반 인터넷 거품보다 더 심하다. 예전의 인터넷, 벤처 거품은 IT와 관계된 분야에서만 있었지만 지금은 사회 전체가 들끓고 있다. 앱 개발 열풍이 불고 있는 것도 마찬가지다. 한쪽에서는 쫓아가기에 바쁘고, 소프트웨어의 관심과 중요성이 높아졌지만 어떤 방향으로 중심을 잡고 나아가야 할 지 길을 찾지 못하고 있다. 우선 각 분야에서 명확한 자기 자리를 찾아가서 자신의 전문성에 맞는 자기 얘기를 중심으로 해야 한다. 그래야 혼란을 줄이고 가닥을 잡을 수 있다.”

이 말에 이제 개막한 ‘스마트코리아’의 현주소와 향후 해답을 찾아갈 실마리가 압축적으로 담겨 있는 것 같습니다. 

그러면 스마트 시대의 보안을 주제로 구체적으로 들어가 보겠습니다.

김 대표는 “스마트폰이 나온 이후 사이버공간에 있던 모든 장벽이 비로소 허물어졌다”고 규정했습니다.

단말기나 사람, 지역에 관계없이 모두가 인터넷으로 연결돼 있고, 또 집과 회사, 개인용과 업무용으로 구분됐던 모두 장벽이 허물어져 오픈돼 있는 환경이 펼쳐진 것이 스마트 시대의 특징이라는 것입니다.

사이버공간에 무슨 장벽이 있었냐며 의아해하실 줄 모르겠는데요. 김 대표는 기업을 예로 들었습니다.

“인터넷 도입 초창기, 기업의 네트워크는 인트라넷만 구축돼 있어 폐쇄돼 있었다. 이것이 익스트라넷으로 점차 확장되다가 이제는 유무선 환경으로 언제든 인터넷을 사용할 수 있는 환경이 됐다. 단말기도 회사 PC이든, 태블릿이든, 스마트폰이든 관계 없이 모든 기기를 인터넷에 연결할 수 있게 됐다.”

완전히 개방형이 된 만큼 보안위협도 더욱 커졌고, 이전과는 다른 양상이 펼쳐질 것이란 게 김 대표의 예상입니다. “개방화된 시대에서 훨씬 더 집중화된 공격과 훨씬 더 많은 사이버테러가 일어날 것”이라는군요.   

개방화된 환경으로 변화됐기 때문에 공격포인트는 어디에도 있고, 범죄자들은 무엇으로든지 공격대상을 고를 수 있다는 거죠.

김 대표는 “이러한 시대에는 모든 개념을 새롭게 정립해야 한다”며, “보안도 IT 관점이 아닌 개방화된 새로운 사회에 맞는 신뢰성, 신뢰된 사회, 신뢰된 생활 방식을 구축하는 관점에서 접근하는 것이 중요하다”고 강조했습니다.

보통 스마트폰 보안이라고 하면 PC에 백신을 설치하는 것과 같이 ‘단말기 보안’, 또는 ‘IT에 국한된 보안’만을 생각하는데, 프라이버시를 포함해 전체적인 관점에서 입체적인 보안 접근이 필요하다는 것이 그의 주장입니다. 즉, 생활이 바뀔 수 있도록 사회적 인식과 합의, 법제도를 통한 가이드라인이 제시돼야 한다는 것입니다.

그렇다면 개방화된 환경에서 더 많이 발생할 수 있는 사이버 테러를 막는데 안철수연구소가 속해 있는 보안업계의 역할은 무엇인지 물어봤습니다.

김 대표는 “각 업체마다 강점을 가진 전문분야에 집중해 특정문제를 확실하게 해결할 수 있어야 하고, 이를 서비스 방식으로 제공할 수 있어야 한다”는 것을 가장 중요한 요소로 꼽았습니다.

그래서 안철수연구소도 여기에 집중하고 있다는 설명입니다. 스마트폰 보안을 클라우드 방식으로 제공하는 것도, 산업용 기기 전용 보안 제품을 출시한 것도 그 맥락에서라네요.

한편, 전상훈 팀장은 지금이 “향후 나타날 수 있는 스마트폰 보안위협을 보다 종합적인 관점에서 분석하고 전망해야 할 때”라고 강조했습니다.

“아직은 스마트폰으로는 공격자들이 얻을 가치가 떨어져 그 보안위협이 현실화되지 않았지만, 앞으로 스마트폰을 이용한 상거래, 금융거래가 활성화되는 시점이 오면 위험이 폭발적으로 증가할 것”이란 게 그의 전망입니다.

스마트폰 금융거래가 일반화되는 시점에 PC만큼, 아니 그보다 더 강력한 보안위협이 다가올 것이라고 전 팀장은 확언했습니다. 스마트폰 가입자가 폭증하는만큼 스마트폰 기반 전자금융서비스 가입자도 매달 폭발적으로 증가하는 추세인데요. (참고 - 금융감독원 집계)

모바일 운영체제를 직접 국내에서 개발하고 있지 않기 때문에 기본적으로 한계가 존재하겠지만, 현재 우리가 접근하고 있는 스마트폰 보안 대책은 “단편적”이라는 것이 전 팀장의 지적입니다.

전 팀장은 “스마트폰 보안은 백신 위주의 단말기 보안이나 웜, 악성코드 대책과 같은 단편적인 방식으로는 종합적인 대책을 마련할 수 없다”면서, “스마트폰 단말기와 와이파이, 3G/4G 등 통신망, 인터넷 기반 금융거래 환경, 웹 등 모든 서비스 구성요소까지 포괄해 향후 발생가능한 보안위협과 위험 시나리오를 예상해야 하고, 그에 따른 세부 대책을 수립해야 한다”고 강조했습니다.
   
미래 위협을 전망한다는 것이 쉬운 일은 아닐텐데요. 전 팀장은 “PC와 인터넷에서 경험한 위협에서부터 시작해 이를 바탕으로 스마트폰에서 발생 가능한 것을 찾아내는 것이 하나의 방법이 될 수 있다”고 제시했습니다.

현재 전 팀장은 카이스트 사이버보안센터에서 미래 발생가능한 보안위협에 대처할 도구와 체계, 서비스를 만드는 일을 직접 하고 있습니다.

그는 미래 위협을 예상하는데 있어 올해 등장, 전세계적으로 이슈화된 두가지 악성코드에 주목하고 있습니다. 하나는 지난 8월 이슈화됐던 아이폰 운영체제(iOS) 취약점을 악용해 강제로 탈옥시킬 수 있는 악성코드와 원자력발전소 등 폐쇄된 산업시설을 감염시키는 악성코드 ‘스턱스넷’입니다.

2010/10/21 13:48 2010/10/21 13:48
사용자 삽입 이미지사용자 삽입 이미지
보안업체인 잉카인터넷의 신뢰성과 이미지가 크게 훼손되게 됐습니다.


잉카인터넷이 20일 방송통신위원회로부터 정보통신망법의 개인정보보호 법규를 위반해 500만원의 과태료와 개인정보 기술적·관리적 조치 수립·시행 등 재발방지 대책 시행에 대한 시정명령 처분을 받았습니다. (이날 KT는 가입자 동의 없이 전국동시지방선거 때 선거홍보용
문자메시지를 발송 상품에 이용돼 10억원의 과징금을 함께 받았죠.)


작년 말 루마니아 해커로 알려진 ‘우누(Unu)’에 자사 제품인 ‘엔프로텍트’ 웹사이트가 해킹된 것이 알려진 적이 있는데요. 당시 22명의 고객 개인정보 일부가 이 해커에 노출돼, 대표이사가 직접 사과와 함께 “웹사이트 개편 중 예전 사이트가 일시적으로 노출했던 것이 원인이고, 고객이 주로 사용하는 금융, 공공기관의 보안 제품에서는 개인정보를 전혀 수집하고 있지 않다”고 해명과 자칫 발생할 수 있는 오해의 소지 차단에 힘을 쏟았습니다.

그런데 이번에 방통위의 행정처분으로 잉카인터넷은 또다시 타격을 입게 됐습니다.

잉카인터넷에 대한 행정처분 이유가 적절한 개인정보 관리 계획과 조치가 없었다는 건데요.

방통위는 지난해 12월 현재 108만 명의 개인정보를 수집, 이용하면서 개인정보관리책임자 지정, 개인정보 기술적·관리적 보호조치 이행 등 개인정보를 안전하게 취급하기 위한 내부관리계획을 수립, 시행하지 않았다고 밝혔습니다.

또 잉카인터넷 개인정보처리시스템에 접근권한이 없는 내부직원 9명이 접속했고, 지난 2005년 9월부터 2009년 11월까지 개인정보를 수집, 이용하면서 회원의 비밀번호를 일방향 암호화 저장하지 않은 사실을 확인했다. 또한 3명의 만14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의도 받지 않았다고 설명했습니다.  

잉카인터넷은 이번 행정처분이 지난해 11월 27일 우누의 웹사이트 해킹 사고 때문에 방통위가 조사한 결과 내려진 것이라고 해명했는데요.  

당시 방통위가 홈페이지를 조사했고, 이메일과 비밀번호로 회원가입을 받고 있어 개인정보를 다루는 온라인 사업자의 법적 의무에 맞는 개인정보관리체계가 부족했다고 판단했습니다.

잉카인터넷은 “당시 웹사이트 취약점이 발견됐을 때 즉각 수정, 보호조치를 적용한 것이 방통위로부터 확인됐었고, 개인정보관리책임자와 전담팀을 신설해 매월 1회 정기적으로 내부감사도 시행하고 있어 모든 조치를 이행하고 있다”며, “올해 말에는 정보보호관리체계(ISMS) 인증도 획득한다”고 설명했습니다.

권한이 없는 내부직원의 개인정보처리시스템에 접근한 것은 “당시 웹사이트 문제점을 파악하는 과정에서 접속한 것”이라고 말했습니다.

결국 1년 전에 있었던 웹사이트 해킹 사건(?)이 발단이 돼, 지금까지 영향을 미치고 있는 것이네요. 잉카인터넷 입장에서는 기억에서 지우고 싶은 사건이겠지만 한번 엎질러진 물은 다시 담을 수가 없습니다.

방송통신위원회 김광수 개인정보보호윤리과장은 “잉카인터넷도 온라인으로 개인정보를 수집하기 때문에 법 적용 대상 사업자”라며, “이같은 모든 기업은 적절한 개인정보의 내부관리 계획과 보호 조치를 이행해야 한다”고 강조했습니다.

다른 보안업체들도 명심해야겠습니다. 특히 홈페이지에 회원가입을 받고 있다면 법규준수와 이행에 더욱 엄격하게 신경을 써야합니다.

일반 기업보다도 자사 제품에 취약점을 노출시키거나 웹사이트가 해킹을 당할 경우, 사업 자체에 큰 타격을 입을 수 있기 때문입니다.

잉카인터넷은 온라인게임과 인터넷뱅킹 등 금융권 사이트에서 높은 점유율을 가진 인터넷보안 제품인 ‘엔프로텍트’ 때문에 가뜩이나 극심한 ‘안티’에 시달리고 있는데요. 이래저래 수난시대를 겪고 있는 잉카인터넷이 고객 신뢰 회복을 어떻게 벌여나갈 지 주목됩니다.

위기의식을 갖고 뼈아픈 자기반성과 함께 지속적이고도 많은 노력이 필요할 것 같군요.

2010/10/20 16:40 2010/10/20 16:40

사용자 삽입 이미지
우리가 추석명절과 중부지방에 쏟아진 ‘물폭탄’ 피해·복구에 관심이 온통 쏠려있을 때인 지난 24일, BBC·뉴욕타임즈·파이낸셜타임스(FT) 등 여러 외신은 이란의 핵시설 파괴를 노린 것으로 추정되는 악성 웜의 확산 소식을 전하느라 분주했습니다.

문제의 이 웜은 마이크로소프트 취약점을 악용한 ‘스턱스넷(Stuxnet)’으로, 주로 USB 이동식저장장치를 통해 감염시키는 악성코드입니다. 지멘스의 산업시설 제어장치를 감염시킨 후 산업시설에 침투해 오작동을 일으키거나 작동을 중단시키는 것으로 알려져 있습니다. 이 웜은 지난 6~7월 처음 발견됐지만 1년 전부터 활동한 것으로 추정되고 있습니다.

시만텍 등 보안업계는 이 웜이 산업시설을 대상으로 제작된 최초의, 아주 정교한 악성코드라는 분석을 내놓고 있는데요.

이미 이란 뿐 아니라 인도네시아, 파키스탄, 인도 등에서도 감염 사고가 보고된 상황입니다. 그중에서도 이란에서 가장 많은 피해를 본 것으로 분석되고 있지요. 

뉴욕타임스는 26일(현지시간), 이란 정부 관계자의 말을 인용해 “이 웜이 이란 내 컴퓨터 3만대에 영향을 미쳤다. 이는 이란에 대한 사이버(전자적) 전쟁의 일부”라고 보도했습니다. (<-링크)

일부에서는 스턱스넷에 감염된 4만5000여 대의 컴퓨터 중 60%가 이란에 집중돼 있다는 보도도 나오고 있습니다.

그 때문에 이란의 나탄즈(Natanz) 우라늄 농축 시설과 부셰르 원자력발전소 파괴를 노리고 특정국가가 제작했거나 배후에 있는 것이 아니냐는 추측이 나오고 있는 겁니다. 당연히 핵 개발과 실험에 반대하는 미국과 이스라엘, 영국, 그리고 프랑스, 독일, 심지어 중국까지도 용의(?)선상에 올라와 주로 언급되고 있는 국가입니다. 

무엇보다 우리가 주목해야 할 점은 이 스턱스넷 웜의 등장과 감염 확산이 “웜이 ‘무기’화된 첫 사례이자, 사이버전쟁이 ‘파괴공격’ 단계로 진입한 것을 알리는 신호탄”이라고 하는 해외 보안전문가들의 경고일 것입니다.

지능형전력망(스마트그리드) 구축사업이 한창인 지금, 또 자동차·조선 등 각 산업에서 IT와의 융합이 가속화되는 이때 ‘스턱스넷’ 웜으로 인한 이란의 피해를 교훈삼고 대책을 마련하고 미리 점검해봐야 할 것입니다.

이번 사례는 몇 년 전, 사이버공격의 위험성에 경각심을 불러일으켰던 브루스윌리스 주연의 영화인 ‘다이하드4.0’을 다시 생각나게 하네요.(
관련기사-다이하드4.0의 ‘파이어세일’ 공포)
전문가 경고처럼 각종 사회 기간인프라를 단계적으로 파괴하는 것을 보여준 이 영화의 시나리오가 이미 현실화된 시기가 된 것일까요? 

그나저나 우리나라 산업시설에는 혹시라도 이 ‘스턱스넷’ 웜의 악영향이 없는지 궁금하네요.

(덧붙임) 그러고보니 얼마전에 안철수연구소가 산업용 시스템 전용 보안 솔루션을 선보였군요. 예전에 하우리도 산업용PC 전용 백신을 발표한 적이 있었던 것으로 기억합니다. (
관련기사 참고 - 안철수연구소, 첨단생산라인·POS 전용 보안 제품 출시)

2010/09/26 22:39 2010/09/26 22:39

일주일이 넘는 긴 추석명절 연휴를 앞두고 점점 마음이 들뜨고 있습니다. 이틀만 지나면 그간 떨어져 보고 싶었던 부모님과 친지, 고향친구들을 만날 수 있고, 바쁜 일상에서 떠나 지친 몸과 마음을 쉬게 할 수도 있습니다. 많은 사람들이 긴 연휴를 이용해 쉽게 나서지 못했던 해외여행도 계획합니다.

그러나 설, 추석같은 명절이나 광복절(8.15)과 같은 중요한 기념일, 공휴일에 쉬지 않고 일하는 사람들도 많은데요. '보안'을 업으로 삼고 있는 분들도 그 중 하나입니다.

민간의 인터넷침해대응을 책임지는 한국인터넷진흥원(KISA), 공공부문을 담당하는 국가사이버안전센터와 정부통합전산센터, 기업의 데이터센터, 그리고 보안업체(정보보안, 물리·경비보안)들의 관제센터 등은 혹시 모를 보안사고에 대비해 24시간 비상근무를 통해 계속 대응체제를 가동하게 됩니다.

보안업체 등은 연휴에 들어가기 전에는 PC보안 보안점검도 당부하는데요. 보안업체들이 이번 추석에는 PC 사용에 필요한 보안수칙 말고도 스마트폰 보안 10계명을 내놓기 시작했습니다.  

안철수연구소는 16일 ‘안철수연구소가 권하는 보안수칙’으로 PC보안 10계명, 기업보안 10계명과 함께 스마트폰 보안 10계명을 발표했습니다.

* 스마트폰 보안 10계명

1. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.

2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.

3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.

4. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.

5. 스마트폰용 보안 소프트웨어(V3 Mobile 등)를 설치하고 엔진을 항상 최신으로 유지한다.

6. 스마트폰의 잠금 기능(암호 설정)을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.

7. 블루투스 기능을 켜놓으면 악성코드에 감염될 가능성이 높으므로 필요할 때만 켜놓는다.

8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.

9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.

10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.

앞서 에이쓰리시큐리티는 삼성의 갤럭시S의 누적 판매 대수가 백만 대를 넘어섰고, 명절 전후로 KT를 통해 애플의 아이폰4가 배송되는 등 올 상반기부터 이어지고 있는 국내의 스마트폰 열풍은 이번 추석에도 계속 이어질 것으로 전망된다고 밝히면서 ‘추석연휴 안전한 스마트폰 사용 10계명’을 내놨습니다.

보도자료에서 이 회사는 스마트폰은 사용하기에 따라서 움직이는 도중에도 다양한 즐길 거리를 제공해주고, 필요에 따라서는 급하게 처리해야 하는 회사 업무 또한 가능케 해주지만, 해커들도 보안업체가 쉬는 이런 명절에는 긴급대응이 조금 어려운 것을 노리고 공격할 가능성이 높아진 만큼 사용자들의 각별한 주의가 요구된다고 밝혔습니다.

한재호 에이쓰리시큐리티 대표는 “아직까지 스마트폰에서 발생할 수 있는 모든 문제를 해결할 수 있는 보안 프로그램이 없는 상황에서 사용자의 각별한 주의만이 만일의 사고를 최소화 할 수 있는 방법”이라고 강조했습니다.

다음은 에이쓰리시큐리티가 제안하는 안전한 스마트폰 사용 10계명입니다.

1. 장거리 여행을 하기 전에 백업을 받아 놓는다.

우선 여행을 가기 전에 자신의 PC와 연결해 백업을 받아 놓도록 한다. 바쁘게 움직이거나 사람이 많은 곳을 돌아다니다 보면 피치 못하게 발생할 수 있는 분실 사고로 인하여 소중한 정보가 유출되는 것을 방지할 수 있다.

2. 잠금 기능(암호 설정)을 반드시 활성화 시켜둔다.

잠금 기능을 켜놓는다면 일단 분실하더라도 중요 정보가 빠져나갈 경우도 상당 부분 예방할 수 있다. (0000, 1111 등의 쉬운 번호를 이용한다면 위험할 수도 있으니 암호도 생각해서 정의하자.)

3. 최신 보안 패치 상태를 유지한다.

스마트폰의 경우에 기존에 PC에서 사용하던 윈도와 같이 OS의 취약점이 발견될 때 마다 제조업체 등을 통해 보안 패치가 제공되니 이를 최신 상태로 유지하는 것도 필요하다.

4. 탈옥(jailbreak)이나 루팅 등 기기를 임의로 개조해 사용하지 않는다.

임의대로 탈옥(jailbreak) 이나 루팅 등을 통한 개조는 그 자체로도 기기의 취약점을 노출시킬 수 있을 만큼 하지 않는 것이 좋다.

5. 이동 중 보안이 되지 않은 무선 AP 접속을 자제한다.

스마트폰 대부분이 Wi-Fi를 통한 무선인터넷 접속이 가능하지만, 무선 AP(Access Point)의 접속도 주의해야 한다. 무선 AP가 암호화되지 않은 경우에 이를 이용하는 스마트폰 사용자의 정보가 그대로 노출될 수 있으므로 스마트폰 이용자가 입력한 비밀번호 등과 같은 중요 정보도 훔쳐 볼 수 있기 때문이다.

6. 믿을 수 없는 웹사이트에 방문하지 않는다.

스마트폰을 통한 웹서핑이나 이메일도 주의해야 한다. 스마트폰OS에 따라서 다를 수 있지만, 웹서핑하다가 클릭만 해도 스마트폰의 정보가 해커에게 모두 빠져나갈 수도 있다.

7. 아무 모바일 앱이나 설치하지 않는다. (10번 참조)

8. 이메일이나 문자 메시지로 들어 온 링크의 클릭은 주의한다.

이메일이나 문자메시지를 통해 악성코드가 포함된 모바일 앱을 배포하여 이를 해킹에 활용할 수도 있으니 주의해야 한다.

9. 블루투스 기능이나 테더링 기능은 반드시 사용할 때만 활성화 시킨다.

블루투스 기능을 통한 악성코드 배포의 경우에는 국내에서는 크게 이슈가 되지 않지만, 해외 악성코드 전파 경로 1위를 차지하는 만큼 주의가 요구된다.

테더링(Tethering, 인터넷 접속이 가능한 기기를 이용하여 다른 기기에도 인터넷을 접속할 수 있게 해주는 기술)의 허용도 이를 통한 해킹이 가능한 만큼 자신이 블루투스 기기와 접속해야 하거나, 테더링을 이용할 때가 아니라면 반드시 꺼두는 것이 좋다.

10. 무조건 YES라고 하기 전에, 설명을 반드시 읽어본다.

모바일 앱을 설치하거나 사이트를 방문할 때 나오는 경고는 꼭 읽어보고 주의해야 한다. 어떤 앱들은 메모리를 조작하기도 하고, 위치 정보를 가져가기도 하는 데 이런 경우에 스마트폰은 사용자에게 주의를 주기 위하여 경고를 보여주는 데 이를 읽지도 않고 무심코 동의했다가는 큰 코 다칠 수 있기 때문이다.

에이쓰리시큐리티는 이밖에도 스마트폰용 보안 소프트웨어를 사용하거나 중요한 정보(계좌번호, 비밀번호 등)는 가능하면 남기지 않는 것이 좋으며, 회사 업무시스템에 접속하는 기록 등은 가능한 삭제하는 것도 하나의 방법이라고 전했습니다.

스마트폰이 필수단말기로 빠르게 자리잡아가면서 변화되는 작은 풍경 중 하나인 것같습니다.


2010/09/16 16:44 2010/09/16 16:44
사용자 삽입 이미지
마이크로소프트(MS)의 차세대 모바일 플랫폼인 ‘윈도폰7’ 출시시기가 점점 다가오면서 국내 사용자들의 관심이 커지고 있습니다.


MS는 최근 윈도폰7 RTM을 휴대폰 제조사들에게 배포했고, 엊그제는 이를 기념해 야심찬(?) ‘아이폰·블랙베리 장례식’ 퍼포먼스를 거행하기도 했다는데요.


윈도폰7은 디자인과 사용자환경(UI), 호환성, 성능면에서 윈도모바일과는 전혀 다르게, 획기적으로 설계돼 있다고 알려져 있습니다. 더불어 보안측면, 적어도 스마트폰 악성·유해 애플리케이션 방지를 위한 대책도 크게 강화돼 있다고 평가할 수 있습니다.


기존 윈도 모바일의 개방성은 버리고 애플의 아이폰과 같은 폐쇄적인 정책을 따라갔기 때문입니다.


MS는 그간 PC의 ‘윈도’ 운영체제(OS)를 대상으로 엄청난 공격에 시달려왔죠. 그래서 보안이 강화된 OS를 만들고자 오랫동안 아주 많은 공을 들였습니다. 스마트폰 플랫폼의 보안위협도 예외는 아닐 것입니다.


악성·유해 앱 대책 강화... 윈도폰 마켓플레이스, 애플 폐쇄정책 따라가는 MS


MS는 연초 윈도폰7을 처음 공개하면서, 차세대 모바일 플랫폼인 윈도폰7부터는 자사 앱스토어인 윈도폰 마켓플레이스를 통해서만 애플리케이션(앱)을 설치할 수 있도록 정책을 가져가겠다고 발표했습니다.


보안을 위해 윈도폰 마켓플레이스에서 제공될 스마트폰 앱에는 ‘디지털서명’ 기술도 기본 적용할 예정이랍니다.


앞으로 윈도폰 마켓플레이스는 검증된 인증서를 사용해 프로그램 개발·게시자를 확인, 보증할 수 있는 디지털서명이 적용된 앱만 제공하게 됩니다. 디지털서명이 없는 앱은 사용자가 구매하거나 내려받을 수 없습니다. 아마도 마켓플레이스에 등록이 안되겠지요.


당연히 설치한 앱의 업데이트도 마켓플레이스를 통해서만 할 수 있습니다.


디지털서명은 기존 PC OS에서 이미 제공하는 MS의 기술입니다. 디지털서명이 안된 파일을 사용자들이 내려 받고자 할 경우 ‘보안경고’를 띄워주기도 합니다.


아래는 MS 윈도 사이트(http://windows.microsoft.com/ko-KR/windows/home)에서 검색해본 디지털서명의 정의입니다.


디지털 서명이란?

이 도움말 항목에 정보는 Windows Internet Explorer 7 및 Windows Internet Explorer 8에 적용됩니다.
디지털 서명은 파일에 추가될 수 있는 전자 보안 표시입니다. 디지털 서명으로 파일의 게시자와 디지털 서명을 한 후 변경된 파일을 확인할 수 있습니다.
파일에 유효한 디지털 서명이 없으면 파일이 올바른 출처에서 제공된 것인지 또는 게시된 후 바이러스 등으로 인해 변경되지 않았는지를 확인할 방법이 없습니다. 파일을 만든 사람과 파일의 내용이 열어도 안전한 내용인지 확실하지 않으면 파일을 열지 않는 것이 더 안전합니다.
디지털 서명이 유효하더라도 파일 내용이 위험할 수 있습니다. 게시자의 ID와 어디에서 파일을 다운로드하는지를 기반으로 파일 내용에 대한 신뢰 여부를 결정하십시오.


블랙베리를 제공하는 림(RIM, 리서치인모션)과 구글도 안드로이드 보안을 위해 모든 앱에 이같은 디지털서명을 적용토록 하고 있습니다.


물론 안드로이드는 자체서명된(Self-Signed) 인증서를 허용하고 있어, 악성 앱을 유포하는데 악용될 수 있는 허점을 지적받고 있지만요.


위의 MS 설명에도 밝히고 있지만 디지털서명이 돼 있다고 해서 해당 프로그램이 모두 악의적인 행위를 하지 않을 것이라고는 볼 수 없습니다. 이미 PC환경에서는 실제 디지털서명을 악용한 악성코드도 나와 있고요. 


그래서 MS는 디지털서명뿐만 아니라 윈도폰 마켓플레이스에 등록되는 앱을 일정기준에 따라 사전 심사/검증절차를 거친다는 방침입니다.


폐쇄성을 기반으로 한 윈도마켓플레이스 정책으로 악성프로그램, 또는 유해프로그램 대책을 강화하고자 하는 MS의 방침이 뚜렷하게 드러납니다.


따라서 기존 윈도모바일 6.x버전을 지원하는 앱을 윈도폰7 사용자에게 제공하기 위해서는 별도로 윈도마켓플레이스 등록절차를 거쳐야 합니다.


윈도폰7의 멀티태스킹도 제한됩니다. 보안때문이라기 보다는 기존에 윈도 모바일이 느리다는 한계를 극복하기 위해 채택한 것 같은데요. 결과적으로 백그라운드에서 동작할 수 있는 악성코드 실행을 봉쇄하는데 큰 효과를 볼 수 있을 것으로 보입니다.


윈도폰7에서 제공될 멀티테스킹은 음악을 들으면서 인터넷익스플로러를 통해 검색을 하거나 문자메시지를 보내는 일을 동시에 할 수 있는 정도라고 합니다. 


IPSec VPN 기능 없애고 문서RM도 지원 안할 듯…기업 모바일오피스 보안 기능 모두 제외


그런데 RTM 버전 완료로 조금씩 공개되고 있는 윈도폰7에서 독특한 점을 발견했습니다.


MS에 따르면, 윈도폰7 RTM 버전에서는 오피스 문서에 적용되던 윈도 권한관리서비스(Rights Management Services)를 제공하지 않고, 윈도모바일 6.5에서 지원했던 IPSec VPN(가상사설망) 기능도 없습니다. 


윈도 RMS는 국내에서 많이 사용하는 기업용 DRM(디지털저작권관리), 즉 문서보안 기술입니다.


기밀문서가 외부로 유출되지 않도록 하기 위해 권한이 없는 사람이 전자문서를 무단으로 열람하거나 변경, 사용하지 않도록 보호하기 위한 기술이지요.


IPSec VPN은 암호화된 터널을 통해 정보를 전송할 수 있는 기술로, 스마트폰에서 기업 내부 업무시스템에 접속해 사용하는 환경에서는 기본적으로 필요한 보안기술로 지목되고 있습니다.


IPSec VPN 관련기능은 ‘다이렉트액세스’라는 이름으로 윈도7 개인용 일부버전(윈도7 얼티미트)에서도 무료로 기본 제공되는 것으로 알고 있습니다. 


윈도폰7에서 이들 기능이 제외돼 있다는 점은 MS가 윈도폰7이 개인용 시장에만 너무 집중하고 있는 것이 아닌가 하는 생각을 품게 됩니다. 


현재 국내에서는 스마트폰을 이용해 모바일 오피스, 모바일 워크플레이스 구축 움직임이 활발히 이뤄지고 있는데요.


윈도폰7을 갖고 기업 시장에 활발히 공급하고자 전략을 세우고 있는 통신사들의 전략은 어찌될지 모르겠습니다.


그동안 모바일 오피스 구축에서 가장 많이 이용됐던 윈도 모바일 플랫폼 차세대 버전이 늦게 나오면서 기업에는 적합지 않게 나올 경우? 과연 성공할 수 있을지 모르겠습니다.

한국MS 관계자는 이에 대해 “현재 윈도폰7 RTM 버전에서 두 기능이 제외돼 있다”고 인정하면서도, “정확한 것은 정식버전이 나와 봐야 안다”고 말했습니다.


정확한 것은 (국내는 아니지만) 일반에 정식으로 공개되는 오는 10월 알게 되겠지요.

이제 본격 승부수를 던지는 MS... 앞으로 스마트폰(OS) 시장의 최종 승자는 누가될 지 너무 궁금합니다. 


2010/09/13 14:36 2010/09/13 14:36
작년에 발생한 7.7 분산서비스거부(DDoS) 공격이 원래는 미국 정부기관을 대상으로 했다가 성공을 거두지 못해 한국으로 공격대상을 바꾼 것이란 분석이 나왔습니다.

이미 공격을 겪은 이후인 지금 시점에선 크게 의미는 없지만, 색다른 분석이어서 포스팅해봅니다.


헤럴드 프로콥 아카마이 수석 엔지니어 부사장은 7일 국내 출시한 아카마이 클라우드 보안 서비스(관심있는 분은 여기로)를 소개하기 위해 가진 기자간담회에서 작년에 미국에서 발생한 7.4 DDoS 공격 분석결과와 대응과정을 소개했습니다.


그 과정에서 프로콥 부사장은 “미국 정부사이트를 대상으로 공격을 벌였지만 아카마이가 철저히 방어해 결국 포기하고, 한국으로 대상을 옮겨 공격한 것”이라고 말했습니다.


개인적으로 스스로 자사의 분산형 네트워크 구조를 기반으로 한 보안 서비스가 DDoS 공격 대응에 탁월하다는 점을 강조하려다보니 과한 분석을 내놓지 않았나 싶은데요.  


이미 다들 알고 있다시피, 작년 7월 7일 오후 6시 40분쯤에 우리나라 주요 웹사이트를 대상으로 공격이 일어나기 이전에 미국의 독립기념일인 7월 4일에 미국 정부기관 등의 사이트를 대상으로 공격이 시작된 것은 맞습니다.


아카마이 분석에 따르면, 7월 4일 오후 2시에 아카마이의 네트워크 운영센터에서 경보가 발생했고, 오후 4시에 공격자 근원지를 발견했습니다. 그 이후 급속도로 트래픽이 증가해 평상시의 598배인 124Gbps에 달했다고 하는데요.


아카마이는 앞서 두시간 진행된 공격은 테스트였다고 보고 있습니다. 


공격 트래픽은 4시간 만에 100Gbps 이상 올라갈 정도로 빠르고 규모도 컸으며, 3일 동안 방식을 바꿔가면서 공격이 이뤄졌다고 합니다.


이 정도의 공격규모라면 정상 서비스를 유지하기 위해선 2500대의 백업 서버가 필요한 수준이라네요.


제대로 공격이 통하지 않자 7월 5일에는 공격 방식을 바꾸면서 트래픽이 낮아졌다고 합니다.


공격 IP의 90% 이상이 한국의 IP로 들어온 것으로 분석됐답니다. 우리나라의 많은 사용자 PC가 봇에 감염돼 공격에 악용된 좀비PC였기 때문입니다.


아카마이가 공격진원지도 분석하고 있는지를 물어봤는데요.
프로콥 부사장은 “공격근원지(IP)는 한국이지만, 그 배후에 누가 있는지는 모른다”며, “실제 공격근원이 한국에 있을 가능성은 낮은데, 한국은 고대역폭의 광대역망이 잘 갖춰져 있어 한국에 있는 PC를 이용한 것”이라고 설명했습니다.

한국의 7.7 DDoS 공격이 발생한 원인과 관련해 아카마이의 분석이 맞는지 아닌지, 아무도 모릅니다. 그럴 수도 있고, 아닐 수도 있겠죠.


한국 사이트 대상 공격 이전에 백악관 등 미국의 주요기관 사이트를 대상으로 먼저 공격이 있었다는 점에서는 개연성이 아예 없다고 볼 수는 없습니다. 


그런데 한국인터넷진흥원(KISA)과 우리 정부는 우리나라 주요사이트 22개를 대상으로 7월 7일부터 3일 간 공격이 발생하던 같은 기간에 14개 미국 사이트를 대상으로 공격이 계속 있었다고 분석하고 있는데요. 이 분석과는 배치됩니다. 


아카마이의 분석을 토대로 짧게 생각해보면, 만일 공격자가 미국을 대상으로 한 공격에서 큰 효과를 봤다면 우리나라의 7.7 DDoS 공격은 없었을 수도 있겠습니다만... 사실 이런 가정은 큰 의미는 없습니다.


혹시 그랬다 하더라도 이후 언제라도 DDoS 공격은 발생할 수 있을테니 말입니다. 


작년 7.7 DDoS 공격을 누가했는지, 왜 했는지
아직도 오리무중입니다. 

국가정보원에서는 공격진원지를 북한을 지목했는데요, 이 때문에 논란도 많았습니다. 많은 분들이 심증을 갖고 있을 지는 모르겠는데요, 우리정부나 미국정부도 아직까진 공격배후에 관해선 ‘공식적으로’ 밝힌 바는 없습니다.



2010/09/08 18:17 2010/09/08 18:17
스마트폰 애플리케이션이 휴대폰 단말기에 부여되는 고유의 기기식별번호(IMEI)와 가입자인증모듈(USIM) 일련번호(SN)를 이용하는 행위에 관해 어떻게 생각하십니까? 또 이를 위험하다고 진단하는 백신은요?
사용자 삽입 이미지

한 안드로이드 기반 스마트폰 백신이 이같은 고유정보를 자동 추출하는 애플리케이션(앱)을 탐지, 사용자에게 경고메시지를 띄운 것이 이슈가 되고 있습니다.

이 백신이 위험하다고 진단한 앱은 증권정보사이트인 이토마토의 ‘증권통’니다. 별도의 인증절차를 거치지 않도록 함으로써 사용자에게 편의성을 제공하기 위해 이같은 정보로 인증을 해온 것이라는데요.

문제의 백신은 미래에셋, 동양종금증권 등 여러 증권사에 납품돼 있는 쉬프트웍스의 ‘브이가드’입니다. 초기 스마트폰 시장에서 요즘 안드로이드 기반 백신중에서는 소위 제일
잘나가는 제품입니다.

해당 앱 공급사인 이토마토가 운영하는 뉴스토마토가 이 스마트폰 백신이 정상 앱을 악성·불법으로 몰고 가고 있다며 문제를 제기, 이 백신이 “정상 앱을 무단 차단하는 무법 백신”이라고 주장하면서 논란으로 번지고 있는데요.


뉴스토마토는 쉬프트웍스와 백신 ‘브이가드’의 진단 방식과 행위에 반발해, 연이어 관련기사를 쏟아내고 있습니다. 일부 기사 아래 링크합니다.
쉬프트웍스 눈엔 어플개발사가 범죄집단'?
무법 백신 '브이가드' 보급, 금융당국 책임없나
모바일백신 'VGUARD', 안드로이드 어플 무단차단 파장


이 때문에 IEMI 등의 정보를 사용한다는 것으로 앱을 위험하다고 분류하는 진단방식은 적절치 않다는 의견과 함께 이 정보만으로는 해킹 등의 위험성이 적은데 쉬프트웍스가 스마트폰 보안 문제를 과도하게 부각하고 있다는 시각이 존재합니다. (물론 사전 고지를 했는지 여부에 대해 주장하는 바가 각각 다릅니다.)


반면에 IEMI는 현행 통신비밀보호법상 보호돼야 할 ‘단말기기 고유번호'이고(관련 블로그 포스팅 링크), 휴대폰 복제나 도청에도 이용될 수 있어 무단수집과 사용은 위험하며 개인정보보호를 위해 이용자에게 사전 동의와 누구라도 인지할 수 있는 고지절차가 필수라는 의견도 교차하고 있습니다. 


홍민표 쉬프트웍스 대표는 “단말기 고유정보인 IEMI는 휴대폰 복제까지도 가능한 중요한 개인정보라 볼 수 있다. 그런데 사용자 동의 없이 자동으로 추출해 암호화되지 않은 상태로 서버로 보내고, 이 정보와 USIM의 고유번호를 이용해 인증을 하고 있다. 이는 엄연한 개인정보 유출”이라고 설명했습니다.


홍 대표는 블로그(링크)에도 이토마토의 주장에 대한 입장을 밝혔는데요. 써놓은 글 일부를 붙여보겠습니다.


이 개인정보를 고객의 동의 없이 이용하는데, 중략...

앱에서 정확한 약관으로 최초 실행시 앱에서 어떤어떤 용도에 의해서 USIM 넘버와 IMEI 값을 가지고 인증을 한다 라고 말을 해줬어야합니다. 그리고 해당 데이터들은 어떤 데이터인지 인지를 시켰어야 합니다.
실제로 중국등 짝퉁 휴대폰 제조업체들은 이 IMEI 값을 밀거래로 대량으로 구입을 하여, 폰복제나 짝퉁폰 제작에 사용하고 있습니다. 이런 위험성이 있구요, 개인정보 도용이 분명한 부분입니다. 해당 정보 수집이 잘못되었던 안되었던 분명히 문제가 있는 부분입니다.

자신이 소유한 폰 자체에 대한 IMEI 관련 된 부분도 문제가 되는데 이러한 아주 중요한 전자적으로 부여한 고유번호를 서버에서 수집하고 그것을 인증 절차로 사용된다면 분명히 문제가 있고, 정보보호를 하는 입장으로써는 당연히 해당 앱을 위험할수 있다라고 경고할 수 있습니다.


“위험” 과 “바이러스” 혹은 “악성코드”로 진단하는 것은 분명히 다릅니다.


이 문제에 아직 방송통신위원회와 한국인터넷진흥원(KISA)도 명확한 입장을 내놓지는 못하고 있습니다. 전문가들도 의견이 분분합니다.


현재 많은 애플리케이션이 실제로 업데이트할 때라거나 서비스에 필요하다는 이유로 IMEI와 같은 정보를 이용하고 있다고 하네요.


물론 이같은 앱을 모두 ‘악성’이라고 볼 수는 없을 것입니다. (물론 쉬프트웍스도 ‘악성’이라는 용어를 사용하지는 않았습니다.)


그럼에도 스마트폰상에서 보호해야 할 개인정보의 범위(예를 들어 IMEI, USIM 일련번호가 포함되는지 여부) 규정, 그리고 앱의 단말기 고유정보 수집·이용 등에서 요구되는 기준과 가이드라인이 필요할 것 같습니다.


많은 전문가들도 대부분 필요성을 인정하고 있다고 생각됩니다. 방통위는 이미 ‘월페이퍼’ 안드로이드 악성코드 이슈가 제기된 직후 스마트폰 민·관 합동 대응반을 통해 이와 관련 논의와 분석을 시작했다고 하더군요.


스마트폰 사용이 폭발적으로 확산되는 초기에 제대로된 ‘인식’을 갖추도록 하고 ‘실천’할 수 있도록 기반을 갖추는 것은 아주 중요합니다. 


스마트폰은 개인용 단말기이고, 단말기 자체의 정보부터 시작해 이 안에 담긴 다양한 정보, 서비스 이용정보가 악의적으로 도용될만한 위험성이 충분하다는 것은 분명하기 때문입니다.


특정 기업이 앱을 통해 휴대전화 고유정보와 개인정보를 동의나 고지 없이 마구 수집하고 있다면 이용자들은 당연히 개인정보유출 및 사생활 침해를 제기할 것입니다. 만일 고유정보를 사용한다면 반드시 명확한 사용목적과 범위 등을 밝히고 동의를 구해야 합니다.


얼마 전에 있었던 한가지 사례가 생각이 납니다. PC의 경우인데요, SK커뮤니케이션즈가 네이트온 메신저 피싱 피해 차단조치 강화를 이유로 PC 고유의 식별정보인 MAC주소와 컴퓨터이름을 수집하려는 방안을 시행하려다 개인정보유출 등을 우려한 사용자 비판과 우려, 이로 인한 회원탈퇴 움직임으로 철회한 일입니다.


고객 보호, 보안을 보다 강화하기 위한 조치였지만 아이러니하게도 결국 거센 이용자 저항에 부딪쳤습니다.


사용자들이 내 정보를 수집하는 것에 대한 거부감, 불쾌함이 그만큼 크다는 점을 알아야 할 것 같습니다.  



2010/08/30 08:00 2010/08/30 08:00

한글과컴퓨터(한컴) 인수전이 막바지에 들어서고 있습니다. 5일, 우선협상대상자가 3개로 좁혀졌는데요, 누가 새 주인이 될 지 관심이 모아집니다.

이날 우선협상자로 선정된 최종 후보군은 한림건설-하우리, 소프트포럼, 하나온-네오플럭스-세븐코스-파로스인베스트먼트코리아 컨소시엄으로, 셋 중 한곳이 한컴을 차지하게 됩니다. (관련기사 한컴 매각 우선협상 대상자 3곳 선정)

그런데 한컴 인수전에 유독 보안업체들의 참여가 두드러집니다. 적어도 작년 초와 올해 치러진 인수전에는 그랬습니다.

초반부터 적극적인 인수 의지를 밝힌 SGA를 비롯해 안철수연구소, 소프트포럼이 단독으로 참여했고 한림건설과 컨소시엄을 구성한 하우리도 보안업체입니다.

소프트포럼은 1년 전에 있었던 인수전에도 참여했었습니다. 그땐 한컴을 인수할 최종 후보자로 넥스지가 이름을 올리기도 했었군요. 물론 넥스지는 전날까지도 인수하는 것으로 알고 있다가 뒤통수를 맞고 결국 셀런에게 한컴이 돌아갔었죠.  

올 초 <정보보안산업 15주년 기획>을 하면서 어느덧 보안업체들이 소프트웨어 산업의 주역으로 성장해가고 있다는 기사를 쓴 적이 있습니다. 어쩌면 이번에 국민기업, 국내 대표 소프트웨어 기업인 한컴 인수에 보안업체들이 적극 참여한 양상도 이를 보여주는 하나의 사례가 아닌가 싶습니다.

보안업체들은 대부분 소프트웨어 업체들입니다. 아직도 국내 전체 보안 시장은 NHN의 매출 규모에도 못 미칠 정도로 작은 규모이지만, 티맥스소프트나 핸디소프트와 같은 기존 국내 소프트웨어 기업들이 맥을 못추며 곤두박질치는 상황에서도 많은 보안업체들에게선 밝은 미래와 희망을 엿볼 수 있습니다.

보안업체는 이제  ‘영세기업’이 아닙니다. 인수는 생각지도 못하고 오직 인수합병 매물로 나올 가능성만 있다고 치부해서는 더더욱 안됩니다.  

필요하다면 스스로 괜찮은 회사를 물색해 인수를 추진할만큼 자금력이 탄탄하고 자기 브랜드와 기술력으로 소프트웨어 사업을 벌이면서 계속 성장해나가고 있는 회사들이 꽤 있습니다.

물론 1, 2차 우선협상대상에 이름을 올린 보안업체들 - 소프트포럼, 하우리, SGA -은 대주주나 경영자 개인이 탄탄한 자금력을 갖고 있거나 다 자기자본은 아닐지라도 그만한 현금동원력을 가진 곳입니다.

저마다 한컴 인수에 나선 목적이 조금은 다를 수 있습니다. 그 중에선 혹시 기존 회사의 사업과 시너지를 내고 보다 회사를 발전시키겠다는 것 자체에 더 많은 관심을 갖고 있기 보다는 한컴의 다른 활용가치에 더 무게를 둔 곳이 있을 수 있겠죠. 결과적으로 한컴의 현금으로 유동성 위기에 빠진 계열사를 지원했던 셀런이 그랬던 것처럼요.

그래도 이들 업체는 자기시장과 자기제품으로 보안 소프트웨어 시장에서 열심히 사업을 벌여나가고 있는 곳이기에 사업 시너지 효과면에서 기대를 걸만 합니다.

하우리는 이번 한컴 인수전에 친분이 두터운 한림건설 회장의 제의에 응해 참여하게 된 것으로 알려졌습니다.

가까운 친인척 관계로 신뢰관계가 형성돼 있는데다가 하우리는 10년이 넘게 소프트웨어 사업을 벌여온 회사여서 한컴 인수에 유리하게 작용할 수 있기 때문입니다.

지분관계 등 향후 구체적인 방향은 일단 확실히 낙점돼야 하겠지만 건설업보다는 하우리가 벌이는 사업과 시너지 효과를 낼 수 있다는 점은 분명합니다.

더욱이 오래전인 2003년에 한컴은 하우리 인수를 검토했던 적도 있습니다. 7년 뒤인 지금은 상황이 역전됐지만요. 지난 2008년에도 한컴은 향후 지분인수를 장기 목표에 두고 그 첫단계로 하우리와 총판계약을 맺어 보안 제품을 공급 및 유통 사업을 했던 적도 있습니다.

프라임그룹이 주인으로 있던 막바지 시점이었는데요, 이 사업을 적극 추진했던 임원이 갑자기 그만두고 내부사정이 어지러워지며 큰 성과를 내지 못하고 흐지부지 됐었습니다. 

이렇게 긴 시간을 두고 여러차례 제휴·협력이나 인수 등이 추진된 것은 두 업체간 사업시너지는 충분하다고 여겨지기 때문일 겁니다.

더욱이 한컴의 경쟁요소 중 하나인 ‘씽크프리’와 하우리가 신규 사업으로 진행하는 모바일 보안 사업을 결합해 큰 성장동력을 창출할 수 있습니다.

또 만일 하우리가 한컴을 인수해 서로 합병한다면, 하우리는 코스닥에 다시 입성할 수도 있습니다. 그리고 한정된 보안사업 영역을 탈피해 소프트웨어 업체로 확장해나갈 수 있겠죠.

공공시장은 하우리도 한컴 이상으로 충분한 영업력을 확보하고 있지만, 교육 시장 등 한컴이 강점을 바탕으로 자기시장을 더욱 확대, 강화할 수 있습니다.

소프트포럼의 경우엔, 일단 대표이사인 김상철 회장이 M&A의 귀재로 알려져 있다는 점이 가장 먼저 생각이 나는 것이 사실입니다. 개인의 자금력도 상당한 것으로 전해집니다.

김상철 회장이 소프트포럼의 오너가 된 후 투자 M&A 회사인 SF인베스트먼트와 국내 유망기업을 발굴해 투자금을 조성하고 해외 증시에 상장시키는 등 해외에 진출시키는 사업을 하고 있는 캐피탈익스프레스를 설립했죠.

소프트포럼은 지난 7월에도 전기자동차업체인 ATTR&D의 유상증자에 참여해 2대 주주(13.41%)로 등극했습니다. 이 때문에 소프트포럼 주가는 연속 상한가를 기록했습니다.

이처럼  최근들어 소프트포럼 이름으로 지분인수 등 M&A 관련 일이 적극 추진되네요.

그동안 김 회장은 소프트포럼이 진행하는 보안소프트웨어 사업에는 크게 관여하지 않는 것으로 알고 있습니다.

다만 소프트포럼이 만든 ‘코드게이트’라는 해킹방어대회 및 보안컨퍼런스는 김상철 회장 의지로 만들어져 운영되고 있는 행사입니다. 지식경제부, 행정안전부 등 정부가 하는 행사처럼 보이고자 하고 있지만요. 정부나 방송사 등 언론, 각종 협단체의 힘을 더해 국내를 대표하고 세계적인 행사로 키우는 것을 목표로 하고 있습니다. 무엇보다 시기적으로 정부의 요구와도 딱 맞아떨여졌습니다.

국민기업이자 대표 소프트웨어 기업 명성을 가진 한컴이 이름을 더욱 드높이고 이익까지 실현해준다면 훌륭할 것입니다.

또 여전히 소프트포럼은 소프트웨어 개발·공급을 주력으로 하고 있는 업체입니다. 공개키기반구조(PKI) 및 공인인증 관련 분야에서는 1~2위를 다투는 대표적인 기업입니다. 이러한 솔루션이나 DB보안 제품 등이 금융권과 함께 주력하는 공공 시장 영업을 강화할 수 있습니다.

당연히 IT시장 핫이슈인 스마트폰 관련 신규 분야 진출에 활용할 수도 있습니다.

종 결과가 어떻게 나오든, 회사를 창업한 이찬진씨가 회사를 내놓은 뒤 지난 10년 간 8번이나 주인이 바뀌면서 우여곡절을 경험한 한컴이 새주인을 제대로 만나 사업을 일구고 회사 비전을 실현하는데 집중할 수 있길 바랍니다.

그런데 소프트포럼과 하우리가 우선협상대상에 선정돼 한컴 인수 가능성이 높아졌다는 언론 보도가 잇따르면서 상승세를 보였던 한컴의 주가는 이날 크게 떨어졌습니다. 반면 소프트포럼 주가는 급등했죠. 물론 다시 급하강했지만요.

사용자 삽입 이미지

그런 면에서 보안업체들이 시장에 확실한 성공비전이나 신뢰를 주기엔 아직 갈 길이 먼 것 같긴 합니다.


 

2010/08/06 10:16 2010/08/06 10:16

사용자 삽입 이미지
안철수연구소가 그간 온라인 다운로드 방식으로만 제공해온 개인용 종합 PC 보안·관리 솔루션 패키지 제품인 ‘V3 365 클리닉 PC 주치의’를 출시하면서 전국 49개 ‘홈플러스’ 매장에서 판매하기 시작했습니다.

소프트웨어를 돈을 주고 사는 것이 일반화돼 있는 미국이나 일본에서는 백신 제품도 유통점에서 쌓아놓고 판매하고 있다지만, 대형할인점에서 개인용 보안 패키지를 판매하는 것은  국내에서는 처음이라네요.  

‘V3 365 클리닉’은 그간 온라인 다운로드 방식으로만 제공됐는데요, 이번에 패키지 제품이 출시됐습니다.
이 제품명에 붙은 ‘PC주치의’는 ‘V3 365 클리닉’의 핵심 서비스입니다.

안철수연구소의 전문가들이 원격으로 사용자 PC에 접속해 악성코드 감염 등의 보안 문제나 프로그램 오류 등으로 생긴 PC 장애를 해결할 수 있도록 도와주는 고객지원 서비스입니다. 소프트웨어 사용 방법을 잘 모르는 사용자들도 도와줍니다. PC 사용에 친숙하지 않은 분들에게는 유용하겠죠.

그래서인지 ‘V3 365 클리닉’은 고객 만족도가 계속 높게 유지되고 있다고 합니다.

이 패키지를 한번 구매한 사용자는 이 ‘PC주치의’ 서비스를 1년 간 필요한 만큼 받을 수 있습니다.

사용자 삽입 이미지
재미있는 점은 안철수연구소가 국내 최초로 대형 할인점에 이 패키지 제품을 출시하면서 안철수 박사(카이스트 교수)를 제품 모델로 등장시킨 것입니다.

다들 아시다시피, 안철수 박사는 22년 전 지금은 ‘V3’로 불리는 토종 바이러스 치료 소프트웨어 ‘백신(Vaccine)’을 국내 최초로 개발한 인물입니다. 지금은 안철수연구소의 경영일선에서 떠나 카이스트 교수로서 후학 양성과 벤처 생태계 조성에 힘쓰고 있습니다.

사람을 고치는 ‘의사’에서 악성코드에 감염된 PC를 치료하는 백신 개발자로 성공해 주목을 받았었고, 이후 성공한 경영인으로, 교수로서 사회에서 존경을 받고 있습니다.

원조 ‘PC 주치의’라 할 수 있는 그는 이번 ‘V3 365 클리닉 PC 주치의’ 모델로는 최적이 아닐 수 없습니다.

어느 때보다 사용자 보안인식과 보안생활화가 강조되는 이 때, 안철수 박사와의 이미지가 국내 개인사용자 보안수준 제고에 긍정적인 영향을 미칠 수 있습니다.

특히, 대형 할인점은 여성뿐만 아니라 남성, 즉 부부와 아이들까지 가정구성원들이 함께 나와 먹거리 장만도 하고, 가정에 필요한 각종 물품을 살 수 있는 곳입니다. 아이들 장난감, 옷, 가전제품, PC 및 주변기기까지 없는 게 없습니다. ‘홈플러스’ 매장에 국한되긴 합니다만, 이제는 보안 소프트웨어까지 판매합니다.

안 박사는 작년에 인기 TV 프로그램 ‘무릎팍도사’에 출연하면서 자녀 교육에 관심이 높은 부모들에게 큰 반향을 일으키기도 했었죠. 매장에 진열된 V3 패키지를 보거나 사면서 부모는 컴퓨터로 인터넷과 게임을 하는 아이들에게 백신이 무엇인지, 왜 필요한지를 설명하면서, 그리고 직접 사면서 보안의식을 함양시킬 수 있는 교육의 장으로 활용한다면 좋겠네요.

사실 안철수 박사가 모델이 된 것은 이번이 처음은 아닙니다.

사업 초창기인 1996년 ‘V3 프로 95’ 제품을 출시할 때 패키지 모델이 된 적이 있었습니다. 바로 이 사진입니다.
사용자 삽입 이미지

TV와 신문 등 언론매체 광고 모델이 된 적도 있습니다. 이 광고는 저도 생생히 기억하는데요. “안철수가 변했다”는 카피와 함께 형형색색으로 물들인 요상한(?) 머리스타일로 변신한 안철수 박사가 광고 모델로 등장했었습니다.
사용자 삽입 이미지

지난 2000년, 안철수연구소가 CI를 새롭게 바꾸고 로컬 백신 기업에서 글로벌 통합보안 기업으로 변신하겠다는 의지를 담은 광고였다고 합니다. 아래는 추억의 예전 안철수연구소 CI입니다.
사용자 삽입 이미지

그리고 10년... 안철수연구소는 글로벌 통합보안 기업이 되기 위해 계속 노력하고 있습니다.

물론, 일각에서는  “또다시 ‘안철수 박사’를 모델로 내세움으로써 안철수연구소가 그 이름아래 안주해 편한 길을 가려하고 있는 것이 아니냐”는 비판적인 시각도 있습니다.

이와 함께 “네트워크 보안 등 새로 진출한 사업분야에서 그간 두드러진 성과를 내지 못해 결국은 ‘백신’과 ‘PC보안’ 사업 중심으로 뒷걸음질 하고 있는 것”이란 냉소적 분석도 나옵니다.

이러한 평가나 추측은 현재의 안철수연구소가 딛고 넘어야 할 과제임은 분명합니다.

다만, 안철수연구소를 직접 경영하던 시절에 등장한 광고와 이번 ‘V3 클리닉 PC주치의’ 패키지 광고 모델로서의 의미는 일단 다르다고 생각합니다.

또 안 박사가 모델이 된 V3 패키지 출시가 ‘V3’ 제품(보안기술)의 또 다른 획기적인 진화, 개인용 무료백신 시대에 개인용 보안관리 유료 서비스 확산 분수령이 됐으면 합니다.

그리고 보안 제품뿐 아니라 일반 소프트웨어 제품이 유통점에서 ‘유료’로 판매되는 모델이 이번 기회를 계기로 우리나라에서도 점점 자리잡아 나가길 바라마지 않습니다.

이 제품으로 홈플러스 매장 판매를 시작한지 보름정도 지났는데요. 안철수연구소에 물어보니 의외의 지역인 안산 지역 매장에서 가장 잘 판매되고 있다고 합니다. 컴퓨터와 관련 주변기기도 원래 안산 매장이 잘 팔린다고 하네요. 조금은 의외였습니다.

앞으로 안철수연구소는 다른 유통점으로도 이 제품 판매를 계속 확대할 계획이라고 합니다.


 

2010/07/27 16:16 2010/07/27 16:16

방송통신위원회가 국민의 정보보호 인식제고를 위해 정보보호 홍보 TV방송을 시작합니다.

작년 7.7 분산서비스거부(DDoS) 공격 사태를 거치면서 이용자들의 PC보안 인식과 보안생활화가 아주 중요하게 부각된 것이 계기가 됐습니다.

이번 7월에도 작년에 치료되지 않은 좀비PC가 주요 국가기관, 은행, 포털 등의 웹사이트에 DDoS 공격을 가했었죠. 

방송통신위원회는 지상파 TV(KBS, MBC, SBS)와 보도전문채널(YTN, MBN)을 통해 평시엔 사이버침해 유형, 안전한 PC 이용방법, 악성코드 감염 방지 요령 등 정보보호 실천수칙을, 비상시에는 사이버침해 관련 상황과 대국민 행동요령을 신속히 전파한다는 계획입니다.

우선은 정보보호의 중요성을 알리기 위한 캠페인방송, 시사/교양정보 프로그램, 다큐멘터리 등의 형태로 시작될 예정입니다. 

원래는 TV 뉴스에서 제공하는 일기예보처럼 매일 국민들이 알아야 하는 정보보호 동향이나 사이버위협, 조치방안 등을 알려주는 형태로 기획이 됐었던 것으로 알고 있었습니다만, 아무래도 사회적으로 심각한 파급력을 주는 사이버공격은 예기치 않게 생겨 그런지 예보 보다는 홍보방송 형태가 되는 것 같습니다.

래도 1.25 인터넷대란이나 전자금융거래 관련 보안사고, 7.7 DDoS 공격, 대규모 개인정보유출 사고처럼 큰 사건이 나지 않는 이상, 평소에 TV방송에서 정보보호를 이슈로 집중적으로 다뤄지진 않았던 점을 생각하면 고무적입니다.

일단 시작할 방송사별 프로그램입니다.

사용자 삽입 이미지

앞으로 시청자들뿐 아니라 특히, 정보보호 전문가 등 관계자분들이 관심있게 살펴보고 방송사와 방송통신위원회, 한국인터넷진흥원에 의견을 적극적으로 개진하는 것이 중요할 것 같습니다.


 

2010/07/14 13:35 2010/07/14 13:35