‘APT(지능적지속위협, Advanced Persistent Threat)’라는 사이버공격이 요즘 이슈입니다.

APT 공격은 특정 기업이나 조직을 노린 표적공격의 대표 유형입니다. 원자력 발전소와 같은 중요한 산업기반시설이나 구글, 야후같은 유명 인터넷업체, EMC RSA같은 대표적인 보안업체들이 잇달아 이 공격에 속수무책으로 당하면서, 우려와 관심이 최근 무척 높아졌습니다.

1년 전 이란 부셰르 원자력발전소를 공격한 ‘스턱스넷’이 출현하면서 본격적으로 알려지기 시작했죠.

올해 초 구글이 침해사고 사실을 공개한 ‘오퍼레이션 오로라(Operation Aurora)’도 APT 공격으로 분류되고 있고, 지난 3월에 EMC RSA도 APT 공격을 당해 자사의 OTP(One Time Password) 기술이 유출된 것으로 보인다고 발표한 적이 있습니다. 

우리나라에서는 7월 말에 발생한 SK커뮤니케이션즈 3500만명의 개인정보유출 사고가 지능형 표적공격으로 분석되면서, APT 공격 가능성이 제기됐습니다.

APT 공격은 특정한 목표를 겨냥한다는 점에서 불특정 다수를 대상으로 한 기존 해킹과 구별됩니다. 표적으로 삼은 기업이나 기관 등 조직의 네트워크에 은밀하게 침투해 오랫동안 잠복하면서 기밀정보를 유출하는 식으로 공격목표를 달성하기 때문에 사전에 탐지하고 대응하기가 어렵다고 알려져 있습니다. 

공격 역시 일회성이 아니라 장기간에 걸쳐 이뤄지고, 여러 악성코드나 공격 루트를 이용합니다.

현재로서는 일단 APT 공격이 발생하면 이를 막을 뾰족한 대안이 없다고 인식되고도 있습니다. 

그래서인지 APT 공격 위협이 부상하니, 특정 기업이나 기관을 대상으로 침해사고가 발생했거나 기업의 고객정보 등 기밀정보가 유출되면 모조리 APT로 치부해버리는 경향이 나타나고도 있습니다.  

그 이유로 일부 보안전문가들은 모든 표적공격이 APT 공격이 아니고 모든 기업이 APT 공격 대상이 되는 것은 아닐 뿐만 아니라 대부분이 이 공격과 연관이 없는데, APT 보안위협이 과대 포장되고 있다고 지적하기도 합니다.

지만 현재 많은 기업이 표적공격을 문제 삼고 있는 만큼 최신 보안 위협에 효과적으로 대응하기 위해서는 APT를 면밀히 파악할 필요가 있습니다.

APT 공격이 무엇일까요? 아직까지 보안업계에서도 APT 공격 유형이나 방식을 A부터 Z까지 명확하고도 완전하게 정의하고 있지는 못하는 것 같습니다. 그래서 대응방안도 아직 명쾌하게 제시되진 못하는 것이겠죠.

현재 많은 보안전문가들, 보안업체들은 APT를 잡기 위해 다각도로 연구하고 있습니다. 

시만텍 역시 그렇습니다. ‘스턱스넷’ 공격이 발생했을 때 시만텍은 이 악성코드를 신속하게 발견하고 분석해 내면서 두드러진 모습을 보였었죠.  최신 위협을 분석하고 대응방안을 마련하는 것은 보안업체로서 당연한 역할입니다.

20일 시만텍코리아는 기자들을 초청해 최신 보안위협과 보안 대응방안을 설명하는 자리를 가졌는데요. 시만텍 아태 및 일본지역 임원이 이 자리에 참석해 APT 공격이 무엇인지 구체적으로 설명하고, ‘정보중심 보안 전략’을 주축으로 한 나름의 해결방안도 제시했습니다.
(관련기사 시만텍 “APT 표적공격, ‘정보중심 보안’ 전략으로 해결”

<APT 공격의 특징>

사용자 삽입 이미지

APT 공격은 특정 기업이나 조직 네트워크에 침투해, 활동 거점을 마련한 후 기밀정보를 수집해 지속적으로 빼돌리는 보다 은밀한 형태의 표적 공격으로 정의됩니다.

기관총을 쏴대는 무차별적 공격이 아니라 치밀한 사전 준비를 거친 스나이퍼형의 지능적·차별적·지속적 공격인 셈이라고 시만텍은 설명했습니다.

특정 기업이나 조직을 노리는 표적 공격은 보통 ‘드라이브바이다운로드(Drive-by download)’, SQL 인젝션, 악성코드, 스파이웨어, 피싱이나 스팸 등 다양한 공격 기술을 사용합니다.

APT 공격도 이 같은 기술들을 하지만 공격 성공률을 높이고 첨단 보안 탐지 기법을 회피하기 위해 제로데이 취약점 및 루트킷 기법과 같은 고도의 공격 기술을 복합적으로 이용하기 때문에 지능적이고 위협적입니다.

당한 기업들도 보안 사고가 터지기 전까지는 APT 공격에 당했다는 사실 조차 모르는 경우가 대부분이죠.

APT 공격은 일단 지능적(Advanced)입니다. 제로데이 취약점이나 루트킷 기법과 같은 고도의 지능적인 보안 위협을 동시다발적으로 이용해 표적으로 삼은 목표에 침투해 은밀히 정보를 빼돌리는 ‘킬 체인(Kill Chain)’를 생성합니다.

제로데이 취약점은 프로그램에 문제가 알려지고 난 후 보안패치가 나올 때까지의 시간차를 이용해서 공격하는 것입니다. 보안패치가 나오기 전까지는 각종 보안 위협에 무방비로 노출되는 셈이라 위험하죠.

루트킷 기법은 컴퓨터 운영체제가 구동되기 전에 윈도 컴퓨터의 마스터 부트 레코드(MBR)를 변경해 컴퓨터에 대한 통제권을 획득하는 기법으로, 보안 소프트웨어를 통한 탐지를 어렵게 하는 특징이 있습니다.

현재까지 알려진 최악의 APT 공격인 스턱스넷의 경우 4개의 제로데이 취약점과 루트킷 기법 등을 종합적으로 이용한 것으로 밝혀졌습니다.

APT 공격은 지속적(Persistent)인 특성을 보입니다. 

보안탐지를 피하기 위해 은밀히, 천천히 움직여야 하기 때문에 긴 시간 동안 행해집니다.

다수의 표적 공격이 순식간에 목표를 공격해 필요한 정보를 탈취해가는 이른바 ‘스매시&그랩(Smash and Grab)’형 공격이라면, APT는 표적으로 삼은 목표 시스템에 활동 거점을 마련한 후 은밀히 활동하면서 새로운 기술과 방식이 적용된 보안 공격을 지속적으로 가해 정보 유출·삭제 또는 시스템에 대한 물리적 피해와 같이 궁극적으로 원하는 목적을 이룹니다.

또한 공격 동기(Motivated) 부여확실한 공격 목표(Targeted)를 갖고 있습니다.

APT는 주로 국가간 첩보활동이나 기간시설 파괴 등의 특정 목적을 달성하기 위해 행해지며, 대부분 배후에 특정 국가가 후원하는 첩보조직이나 단체가 연루돼 있을 것으로 예상되고 있습니다. 

이는 APT가 단순히 정보 유출만을 노리는 것이 아니라 공격자가 지속적으로 표적을 원격 조종해 정보 유출을 포함, 시스템 운영을 방해하거나 물리적인 타격까지 노리고 있다는 것을 시사합니다.

지적재산이나 가치있는 고객정보를 가진 조직들이 표적공격의 대상이라면, APT는 주로 정부 기관이나 기간시설, 방위 산업체, 전세계적으로 경쟁력 있는 제품, 기술을 보유한 주요 기업들과 이들의 협력업체 및 파트너사들을 노립니다.

이같은 특징으로 보면 모든 기업들이 APT의 공격 대상이 아님은 분명해 보입니다. 시만텍 역시 APT 공격을 설명하기 시작하면서, “표적공격의 하나의 유형으로, 표적공격을 모두 APT로 볼 수 없다. 표적공격은 APT 보다 광범위하다”고 밝혔습니다. 

<APT 공격 방법>

일반적으로 APT 공격은 침투, 검색, 수집 및 유출의 4단계로 실행됩니다. 각 단계에서는 다양한 공격 기술이 사용됩니다.
사용자 삽입 이미지

1단계: 침투(Incursion)

일반적으로 표적 공격시 해커들은 훔친 인증정보, SQL 인젝션, 표적 공격용 악성코드 등을 사용해 목표로 삼은 기업이나 조직의 네트워크에 침투합니다. APT도 이러한 공격 방법들을 사용하지만 오랜 시간에 걸쳐 공격 대상 시스템에 활동 거처를 구축하는데 초점을 맞춥니다.

- 관찰(Reconnaissance): APT 공격자들은 표적으로 삼은 조직, 시스템, 프로세스, 파트너와 협력업체를 포함해 사람들을 파악하기 위해 수개월에 걸쳐 공격 목표를 철저히 연구하고 분석합니다. 이란 핵 시설을 공격했던 스턱스넷의 경우, 공격팀은 목표로 삼은 우라늄 농축시설에 사용되는 PLC(Prorammable Logic  Controllers)에 대한 전문 지식을 보유하고 있었지요.

- 사회공학기법(Social engineering) : 목표 시스템으로의 침투를 위해 공격자들은 내부 임직원이 실수나 부주의로 링크를 클릭하거나 첨부파일을 열게끔 사회공학적 기법을 접목하기도 합니다. 이메일, 소셜네트워크서비스, 웹사이트 게시판, P2P 등을 다양하게 악용하겠죠.

공격자가 특정 기업의 시스템 관리자를 노린다면 공격자는 사전에 이 관리자의 개인 블로그, 트위터, 페이스북 등을 검색해 생년월일, 가족 및 친구관계, 개인 및 회사 이메일 주소, 관심 분야, 진행중인 프로젝트 등의 정보를 수집한 후 이를 이용해 피싱 메일을 보내는 식입니다.

- 제로데이 취약점(Zero-day vulnerabilities) : 제로데이 취약점은 개발자들이 패치 등을 제공하기 전에 소프트웨어 개발자들 모르게 공격자들이 악용할 수 있는 보안상 허점으로 보안 업데이트가 발표되기 전까지는 무방비 상태와 같습니다.

그러나 제로데이 취약점을 발견 하기위해서는 상당한 시간과 노력이 걸리는 만큼 가장 정교한 공격 기관만이 이를 활용할 수 있습니다.

APT는 공격 목표에게 접근하기 위해 하나 이상의 제로데이 취약점을 이용합니다. 스턱스넷의 경우 동시에 4개의 제로데이 취약점을 이용했습니다. 

- 수동 공격(Manual operations) : 일반적으로 대규모 보안 공격은 효과를 극대화 하기 위해 자동화를 선택합니다.

‘스프레이&프레이(Spray and pray)’로 불리는 피싱 사기를 예를 들면, 자동 스팸 기술을 사용해 수천명의 사용자들 중 일정 비율이 링크나 첨부파일을 클릭하도록 했습니다. 반면에 APT는 자동화 대신 각각의 개별 시스템과 사람을 표적으로 삼아 고도의 정교한 공격을 감행합니다. 

2단계: 검색(Discovery)

일단 시스템 내부로 침입한 공격자는 해당 시스템에 대한 정보를 수집하고 기밀 데이터를 자동으로 검색합니다. 침투로 인해 보호되지 않은 중요한 데이터나 네트워크, 소프트웨어나 하드웨어, 또는 노출된 기밀 문서, 추가 리소스 등이 탐색될 수 있겠죠.

대부분의 표적공격은 기회를 노려 공격을 하지만 APT 공격은 보다 체계적이고 탐지를 회피하기 위해 엄청난 노력을 기울입니다. 검색단계에서는 해당 환경을 전반적으로 프로파일링하고 중요정보를 파악합니다. 

- 다중 벡터(Multiple vectors) : APT 공격시 일단 악성코드가 호스트 시스템에 구축되면 소프트웨어, 하드웨어 및 네트워크의 취약점을 탐색하기 위해 추가적인 공격 툴들이 다운로드 되기도 합니다.

- 은밀한 활동(Run silent, run deep) : APT의 목표는 표적의 내부에 잠복하면서 장시간 정보를 확보 하는 것이므로, 모든 검색 프로세스는 보안탐지를 회피하도록 설계됩니다.

- 연구 및 분석(Research and analysis) : 정보 검색은 네트워크 구성, 사용자 아이디 및 비밀번호 등을 포함해 확보된 시스템과 데이터에 대한 연구 및 분석을 수반합니다.

따라서 APT 공격을 탐지하면 가장 먼저 해당 공격이 얼마나 지속됐는가를 살펴봐야 합니다.

전형적인 표적공격으로 계좌번호가 유출됐다면 데이터가 유출된 날짜나 피해 정도를 아는 것이 크게 어렵지 않지만, APT 공격은 언제 공격을 받았는지 가늠하기가 거의 불가능하다고 분석됩니다.

침투 및 검색 활동이 매우 은밀히 진행되기 때문에 피해자는 로그 파일을 점검하거나 관련 시스템을 폐기해야 할 수도 있습니다.

3단계: 수집(Capture)

수집 단계에서 보호되지 않은 시스템에 저장된 데이터는 즉시 공격자에게 노출됩니다. 또한 조직 내의 데이터와 명령어를 수집하기 위해 표적 시스템이나 네트워크 액세스 포인트에 루트킷이 은밀하게 설치될 수 있습니다.

- 장시간 활동(Long-term occupancy) : APT는 오랜 기간 지속적으로 정보를 수집합니다. 2009년 3월 발견된 고스트넷(GhostNet)으로 알려진 대규모 사이버 스파이 사건은 103개 나라의 대사관, 외국 부처 및 기타 정부 기관을 포함해 인도, 런던 그리고 뉴욕의 달라이 라마의 티벳 망명 센터 컴퓨터 시스템에 침투했습니다.

인포메이션 워페어 모니터(Information Warfare Monitor) 보고서에 따르면, 고스트넷은 2007년 5월 22일에 데이터를 수집하기 시작해 2009년 3월 12까지 지속된 것으로 나타났습니다. 평균적으로 감염된 호스트가 활동한 시간은 145일이었고, 가장 긴 감염 시간은 660일이었답니다.

4단계: 제어(Control)

APT 공격의 마지막 단계로, 불법 침입자들은 표적 시스템의 제어권을 장악합니다. 이 단계를 통해 공격자들은 지적 재산권을 포함해 각종 기밀 데이터를 유출하며, 소프트웨어 및 하드웨어 시스템에 손상을 입힙니다.

- 유출(Exfiltration) : 기밀 데이터가 웹 메일 혹은 암호화된 패킷이나 압축파일 형태로 공격자에게 전송됩니다.

- 지속적인 분석(Ongoing analysis) : 도난된 신용카드 번호가 금전적 이득을 위해 재빨리 이용되는 반면에, APT에 의해 수집된 정보는 전략적 기회를 포착하기 위한 연구에 이용되곤 합니다.

이러한 데이터는 이 분야의 전문가들에게 하나의 지침서가 되어 영업 비밀을 캐내거나 경쟁사의 행동을 예측하여 대응 방안을 수립하는데 도움이 될 수 있죠.

- 중단(Disruption) : 공격자는 원격 시동이나 소프트웨어 및 하드웨어 시스템의 자동 종료를 야기할 수도 있습니다.

많은 물리적 장치가 내장형 마이크로 프로세서에 의해 제어되고 있는 만큼 시스템이 교란될 가능성이 커집니다. 명령·제어 서버는 은밀하게 표적 시스템을 제어하고 심지어 물리적 피해를 야기할 수도 있죠.

<APT 공격 대응 방안>

시만텍은 APT 공격을 막기 위해서 가장 중요한 것이 기존의 보안 인프라가 갖는 한계를 넘어서 정보 주변을 둘러싼 시스템이 아닌 정보 자체를 보호하는 ‘정보중심의 보안 전략’을 가져가야 한다고 강조했습니다.

시만텍에 따르면, 정보중심의 보안 전략은 보호해야 할 중요 정보가 어디에 저장돼 있고, 누가 접근 가능한지, 어떻게 보호되고 있는지를 파악해 ‘디지털 정보지도’를 작성하는 것입니다. 이를 위해 보호해야 할 정보가 무엇인지 정의(Define)하고, 검색(Discover)하고, 해당 정보의 사용을 통제(Control)하는 정보보호 프로세스를 마련해야 합니다. 

이와 함께 ▲평판(reputation) 기반 보안 기술 ▲데이터 유출방지(Data Loss Prevention) 솔루션 ▲보안 정보 및 이벤트 관리(SIEM) ▲정보저장소 보안강화 ▲애플리케이션 계층에서 위험한 파일 형식 차단 등 다각도의 정보보호 체계를 갖추는 것이 중요합니다.

다양한 악의적 공격과 활동을 효과적으로 차단하기 위해 기업 내부의 사용자가 인터넷을 사용할 때 웹에서 악성코드 검사를 수행하도록 강제하는 ‘사전 방역’도 필요합니다.

네트워크상의 모든 트래픽을 검사해 일반적인 봇트래픽 패턴을 탐지하고 활성 봇넷을 차단하는 한편, 감염된 PC를 즉각 격리하는 ‘사후 차단’의 역할도 중요합니다.

이를 통해 각종 사이버 공격의 네트워크 유입을 사전에 차단하고, 만일 유입되더라도 지속적인 탐지 및 모니터링을 통해 악성활동을 차단, 보안 위협을 최소화 할 수 있기 때문입니다.

진화하는 사이버 보안 위협에 대응해 평판 기반과 같은 새로운 보안 신기술 도입도 필수적입니다. 공격용 툴킷의 확산과 악성코드 변종의 범람으로 인해 전통적인 시그니처 기반의 보안 솔루션으로는 각종 보안 위협에 대응하기가 점점 더 어려워지고 있기 때문이죠..

평판 기반의 보안 접근법은 마치 사용자들의 평판을 기반으로 맛집 순위를 매기는 것과 비슷합니다. 극소수의 사람들이 가지고 있는 프로그램을 다운로드하고자 할 경우엔 이를 악성일 가능성이 높다고 보고, 이를 제지하고 최상의 선택을 권고합니다.

직원 교육도 강화해야 합니다. 아무리 좋은 시스템과 보안 솔루션을 구축한다 하더라도 결국 이를 운용하는 것은 사람이고, 확고한 보안 인식이 갖춰지지 않는다면 보안 사고는 언제라도 일어날 수 있습니다.

기업은 보안 가이드라인을 마련해 정기적으로 인터넷 안전, 보안 및 최신 위협에 관해 직원교육을 실시하는 한편, 교육을 통해 정기적인 비밀번호 변경 및 모바일 기기 보안의 중요성을 알려야 합니다.


2011/09/21 09:05 2011/09/21 09:05

사용자 삽입 이미지
네이트·싸이월드 회원 3500만명의 개인정보를 유출한 SK커뮤니케이션즈에 법안이 최근 위자료 지급명령을 내리면서, 피해자들의 집단소송 참여가 더욱 확대되고 있는 분위기입니다.

개인정보 유출 피해자들이 모인 대표적인 인터넷 커뮤니티인 ‘네이트해킹피해자카페(네해카)’는 회원이 계속 불어나고 있습니다. 18일 현재 7만8000여명을 넘겨, 조만간 8만명을 넘길 것으로 보입니다.

‘네이트·싸이월드 해킹 피해자 공식카페’ 회원 역시 5만명에 육박하고 있습니다.

법원의 100만원의 위자료 지급명령이 내려진 것에 확신을 얻은 탓인지 집단소송에 참여하고 싶다는 의사를 밝히는 회원들도 부쩍 늘고 있습니다.

더욱이 네해카 운영자는 최근(14일) 소송을 담당할 법무법인을 선정해 구체적인 소송진행 준비절차에 들어간다고 밝힌데 이어, 19일에는 집단소송에 대한 공식표명을 할 것이라고 밝혔습니다.

다음 주부터는 해킹으로 회원 개인정보를 대량 유출한 SK커뮤니케이션즈를 상대로 한 집단소송이 본격화될 것으로 예상되고 있습니다.

이번 사고의 개인정보 유출 피해자가 역대 최대규모인만큼, 옥션 개인정보 유출 피해 관련 집단소송 규모를 넘어선 사상 최대규모의 집단소송이 벌어질 가능성이 높아지고 있습니다. 

하지만 집단소송 참여에 신중해야 한다는 목소리도 있습니다. 대표적인 대규모 집단소송인 옥션 피해자 집단소송을 비롯해 여러차례 진행된 집단소송에서의 경험 때문입니다. 

지난 2008년 옥션 해킹 사고 이후 피해회원 14만여명이 옥션을 상대로 개인정보 유출에 따른 피해배상을 요구하는 집단소송을 제기했지만 1심에서 패소한 전례가 있었습니다.
(관련기사 법원, 개인정보유출 해킹 사고 ‘옥션 과실 없음’ 인정, “옥션 개인정보 유출 배상책임 없다” )

더욱이 옥션 해킹 사고 이후 일부 변호사가 그럴 듯한 명목과 무책임한 배상액을 내세워 피해자들을 부추기면서 돈벌이 수단으로 이용했다는 비판이 많이 제기됐었습니다.

1심 재판이 끝난 뒤엔 아무런 해명이나 의견수렴 절차를 거치지 않고 항소를 포기해버리고 사건을 방치하는 무책임한 행태까지 나타나 많은 피해자들이 또다시 상처를 입기도 했었죠. 그로 인해 변호사들이 많은 네티즌, 피해자들로부터 원성을 샀습니다.  

옥션 관련 소송 결과와 무책임한 변호사들의 행태로 인한 허탈감과 분노감 때문인지, 많은 사람들이 이같은 집단소송이 결국은 원고측과 피고측 변호사들만 배불리는 결과를 불러왔다는 지적이 많았습니다.
(관련글 공돈 100만원이 탐나시나요?

네해카 등도 이런 점을 감안해 법무법인 선정 등 소송 준비 과정을 신중하게 진행하는 듯 보입니다.

네해카 운영자는 18일 올린 공지에서 “피해자들이 법에 기대 위로 받지는 못할망정, 일부 부도덕한 변호사에게 상업적으로 이용당해 다시 한 번 상처받는, 비극적인 일이 없도록 막겠습니다. 집단 소송 잘못된 문화는 네해카가 반드시 바꾸겠습니다”고 밝혔습니다.

또 “네해카는 피해자들이 직접 개설해 운영하는 최초이자 역대 최대 규모의 피해자 카페이며 변호사들에게 이용 당하지 않도록 피해자들을 보호하는 순수 공익 피해자 커뮤니티”라며, “피해자들 입장에 서서 집단소송 과정에서 절대로 실망시켜드리지 않는 철저하고 공정한 소송 진행과 마무리를 약속드립니다”고 강조했습니다. 

변호사들도 이같은 집단소송에 참여하려면 신중해야 한다는 조언을 하고 있습니다. 

지난 16일 열린 ‘3500만명 개인정보 유출 사태의 원인 및 대책 마련을 위한 토론회’에 패널로 참가한 김학웅 법무법인 창조 변호사는 “최근의 집단소송은 현대형 소송의 특징 중 하나인 ‘소액 피해 다수 피해자’가 의뢰인과 변호사 사이에서 발생하는 것은 아닌지 (우려스럽다)”고 지적했습니다.

김 변호사는 “옥션 사고 직후 3만원의 소송비용을 내면 200만원을 받을 수 있다는 이야기가 공공연하게 떠돌았지만 결국 기각됐다. 대규모 원고인단을 모집해 집단소송하는 것은 무리가 있고, 사업자가 기술적 보호조치의무를 이행하면 손해배상 책임이 없어 소송 승패여부가 달라질 수 있기 때문”이라며 신중을 기해줄 것을 당부했습니다.  

그의 조언은 이것입니다. “불법 행위로 인한 손해배상은 안 날부터 3년, 있은 날로부터 10년이며, 상사 채무불이행으로 인한 손해배상 청구소송은 있은 날부터 5년간 유효하다. 그러므로 집단소송은 1심 판결을 지켜본 후에 참여해도 늦지 않다.”

소송에 참여하기 전에 그 결과에 확신을 갖고 싶다면 귀담아 듣는 것도 좋겠습니다.

2011/08/18 15:18 2011/08/18 15:18

3500만명의 고객정보가 유출된 SK커뮤니케이션즈(SK컴즈)의 네이트·싸이월드 해킹 사고를 계기로 우리나라 ‘주민등록번호’ 제도가 또다시 핫이슈로 부상하고 있습니다.

단일 보안사고로 개인정보 유출 규모가 사실상 인터넷을 사용하는 모든 국민의 개인정보가 유출된 것으로 간주할 수 있다는 점에서 이번 사고 직후 보다 획기적이고 근본적인 개인정보보호 대책이 필요하다는 공감대가 형성됐기 때문입니다.  

주민번호 제도 자체를 손질하건, 수집·활용 관행을 바꾸건 간에 주민번호는 개인정보보호 방안의 중심에 있는 것이 사실입니다.

주민등록번호제도는 1962년 제정·공포된 주민등록법에 따라 50년 가까이 운영돼 왔습니다. 행정업무를 쉽게 처리할 수 있게 하고 범죄 발생시 범인 검거에 결정적인 역할을 하는 등 긍정적인 면도 많지만 지나친 국가통제·감시 수단이라는 비판도 꾸준히 제기돼 왔습니다.

주민번호는 가장 확실한 개인 식별, 본인확인 수단이니 온·오프라인을 막론하고 광범위하게 활용돼 왔습니다. 그러다보니 이를 유출해 악용하는 사례가 많아졌습니다. 특히 오프라인에서의 관행이 그대로 인터넷에 적용되면서 문제는 더욱 심각해졌습니다.

지난 2008년 발생한 옥션 해킹 사고는 1870만명의 회원정보를 통째로 유출하는 첫 대형 개인정보 유출 사례가 됐고, 그 전후에도 계속해서 인터넷상에 개인정보가 노출되거나 해킹 등으로 유출돼 왔습니다.

이제 우리나라 인터넷 사용자 대다수는 영구불변하고 가장 확실한 신원확인 수단인 내 주민번호가 제대로 보호받지 못한 채 불법 유출돼 마케팅에, 범죄에 불법 활용되고 있고 인터넷상에 떠돌고 있다는 것을 알고 있습니다.  

해외 웹사이트에서는 한국인의 주민번호를 쉽게 찾아볼 수 있습니다. 그만큼 우리나라 국민이 스팸이나 피싱, 금융사기를 비롯한 다양한 범죄에 노출돼 있다는 것을 의미합니다. 

누구나 합의하고 있는 기본 원칙은 온·오프라인을 막론하고 사회적으로 광범위하게 사용하고 있고 명백하게 개인을 식별할 수 있는 주민번호의 수집·활용·보관을 최소화해야 한다는 점입니다. 

그 이유로 이번 사고 발생 이후 방송통신위원회와 행정안전부, 여당(한나라당)까지 나서 여기에 초점을 둔 개인정보보호 강화 대책을 잇달아 내놓고 있습니다. (당정, 주민등록번호 활용 최소화 합의, 방통위 “인터넷상 주민번호 수집 원칙적 금지”)

정부의 대책은 인터넷상의 개인정보 수집·활용을 최소화하도록 하고(추가방안 마련 중), 인터넷상의 식별번호 수단인 ‘아이핀(i-PIN)’ 사용을 확대하고 보호조치를 강화하는 게 골자입니다.

하지만 진보네트워크센터(진보넷) 등 시민단체는 주민번호 재발급과 행정목적 이외의 민간 주민번호 수집·사용 금지와 사실상의 인터넷실명제인 제한적 본인확인제 폐지를 해결책으로 제시하고 있습니다.

지난 2008년 옥션을 비롯해 하나로텔레콤 등에서 잇달아 개인정보 유출 사고가 이어졌을 때부터 시민단체는 줄곧 민간·인터넷상의 주민번호 수집 금지, 주민번호 변경·재발급을 포함한 주민번호제도 개선·폐지 등을 요구해 왔습니다. (관련기사 “개인정보유출, 주민등록번호 수집이 문제”)

당시 정부에 주민번호 변경을 신청했던 진보넷은 지난 2일부터 주민번호 변경을 요구하는 청원 운동을 다음 아고라(http://agora.media.daum.net/petition/view.html?id=110274)에서 시작했습니다. (관련기사 개인정보유출 피해자 10명, 주민번호 변경 청구)

개인정보가 유출된 피해자들인 청원 참가자들로부터 주민번호 변경 청구서를 받아 행정안전부에 제출할 계획입니다.

진보넷은 주민번호 변경 청원운동 대국민 제안서에 “공공기관에, 은행에, 인터넷사이트에 앞으로도 주민번호를 계속 써야 한다. 전국민의 주민번호가 이미 유출됐는데 평생 이 번호를 그대로 쓰라는 건 말도 안된다”고 강조했습니다.

이를 요구하는 성명서에서는 “주민번호는 해당 유출사이트 뿐 아니라 대한민국 모든 민간과 공공 사이트에도 접속할 수 있는 만능 인증키이며 원격 거래에도 사용되고 있기 때문에 주민번호 유출은 추가적인 중대 피해로 이어질 수밖에 없다. 그런데도 주민번호를 변경할 수 없기 때문에, 유출 피해자는 주민번호의 도용을 속수무책으로 당할 수밖에 없다”고 지적했습니다.

이번 사건으로 사실상 전국민의 주민번호가 유출된 상황에서 그로인한 피해를 최소화할 수 있는 유력한 방법이 주민번호 변경이라는 것입니다. 

아이핀이 대안이 될 수 없는 이유로는 “아이핀은 정부가 인터넷에 주민번호 대신 보급중인 13자리 가상 주민번호로 5개 민간 신용정보회사들이 발급하고 있다. 아이핀 역시 식별번호이고,  아이핀은 본인확인정보를 5개 민간 신용정보회사로 집중시킨다는 점에서 오히려 부당한 표적이 될 가능성을 높다”고 밝혔습니다. 

이에 대해 행정안전부는 주민번호 변경을 허용하지 않는다는 입장을 내놨습니다. 

주민번호를 변경하려면 막대한 사회적 비용을 초래할 수 있고 자동차 면허, 부동산 등기, 예금 등 광범위하게 사용해 왔기 때문에 오히려 불편을 겪을 우려가 있다는 이유에서입니다. 

대신에 개인정보보호를 위해 주민번호 대체수단이 필요하다는 인식을 갖고 주민등록번호와 증 발행번호로 이원화한다는 계획입니다.

주민등록번호를 대체하는 역할로, 개인정보를 식별하거나 유추할 수 없는 체계로 증 발행번호를 구성해 필요시 변경을 허용한다는 방안입니다.

이미 작년 9월 주민등록증 수록항목에 발행번호를 추가하는 주민등록법 개정안을 국회에 제출했습니다.

또 유예기간을 두고 향후 주민번호 사용을 원칙적으로 제한하는 방안도 검토 중이라고 밝혔습니다.

이에 대해 진보넷은 아이핀과 발행번호 발급을 통해 주민번호를 이원화한다는 방침이 근원적인 대책이 되지 않는다는 입장을 이렇게 말하고 반문하며 다시 확인했습니다.

“행안부가 주민증 발행번호 제도 도입을 명시했다는 법안은 바로 전자주민증 도입 법안”
“행안부는 주민증 발행 번호 제도를 도입하겠다면서 주민번호 병행 사용 방침을 밝히고 있다. 이게 대체 무슨 대책이란 말인가?”
“이번 개인정보 유출 사고를 전자주민증 도입의 계기로 삼으려 한다는 사실이 매우 유감스럽다”며, “정부망을 포함해 어떤 시스템도 완벽한 보안이란 존재하지 않으며 불필요한 개인정보의 전자적 유통을 최소화하는 것이 정답”

반면에 행안부는 전자주민증에 있는 보안성 높은 IC칩에 주민등록번호 등 민감한 개인정보를 내장하고 증 발행번호를 고유번호로 쓰면 주민등록번호의 역할을 대신할 수 있어 해결책이 된다는 것입니다. 따라서 주민등록번호 변경 등에 따른 큰 사회적 혼란을 없애고 주민번호 유출에 따른 오·남용 문제도 해결될 수 있다는 입장입니다.

시민단체와 정부는 이렇게 팽팽하게 맞서고 있습니다.  

이번 사고 이후 정부가 최근 내놓은 대책은 미흡하다고 여겨지는 것은 사실입니다.

또 시민단체가 제시한 주민번호 재발급이 너무 엄청나다는 생각이 들어서인지 다음 아고라 주민번호 재발급 청원운동 참여자 수도 그리 크게 늘고 있지는 않습니다.

과연 털려나간 개인정보 유출 피해를 막고 향후 이런 사태를 방지할 수 있는 근본 해결책이 되면서도 실현할 수 있는 방안을 찾을 수 있을까요?

2011/08/15 22:19 2011/08/15 22:19