박용 미래전략연구소 경영지식팀 기자
두 사건은 국내에서 가장 우수한 정보보호 인프라를 보유한 것으로 알려진 금융권에서 일어났다. 이는 해커가 마음만 먹으면 다른 업종의 기업도 언제든지 침투해 전산망을 망가뜨리고 중요 정보를 빼낼 수 있다는 뜻이다. 최근에는 해킹을 하고 돈을 요구하는 협박 범죄나 이권을 노린 청부 해킹까지 벌어지고 있다. 당장 해킹 피해를 보지 않았다고 해서 “우리는 안전하다”고 팔짱만 끼고 있을 순 없는 것이다.
대책은 늘 사후약방문식이다. 대형 해킹사고가 터지면 정보보호 인력이 적다거나 비용 절감을 위해 전산 업무를 아웃소싱하면서 취약성이 커졌다는 원인 분석이 나오고 투자를 늘려야 한다는 목소리가 높아진다. 물론 인프라와 기술 투자는 당연히 필요하다. 하지만 훌륭한 기술과 시스템만으로 사고를 근본적으로 막을 수 없다. 정보보호 시스템과 기술에 막대한 투자를 하는 기업이 해커의 먹잇감이 되거나 세계적인 보안회사조차 해커에게 뚫리는 것만 봐도 그렇다.
얼마 전 세계적인 보안기술을 자랑하던 RSA도 이렇게 당했다. ‘2011년 채용계획’이라는 이름의 첨부파일이 담긴 e메일이 보안권한을 가진 내부직원에게 전송됐는데, 이 첨부파일에는 시스템관리자 계정을 빼내 시스템에 접근할 수 있는 악성코드가 심어져 있었다. 이 관리자가 무심코 클릭한 e메일 한 통이 철통같던 보안을 ‘무장해제’한 것이다. 해커는 목적을 달성하기 위해 권한을 가진 관리자가 누구인지, 그의 e메일 주소가 무엇인지부터 파악했을 것이다. 검찰에 따르면 이번 농협 사건도 7개월간 철저히 준비된 시나리오에 따른 해킹으로 드러났다.
하지만 한국은 사회공학 해킹에 둔감하다. 대표적인 사회공학 기법의 하나인 전화를 이용한 보이스피싱이 창궐하는 것만 봐도 그렇다. 이들은 경찰청, 우체국, 농협, 검찰청 등 공공기관을 사칭해 사람들의 심리적 약점을 노린다. 수법이 얼마나 교묘했으면 해커를 상대하던 공공기관의 전직 간부나 법원장까지 속아 넘어간다. 게다가 요즘은 트위터, 페이스북 등 소셜미디어가 확산되면서 정보 공유와 확산 속도가 빨라지고 있다. 해커들이 지금 이 순간에도 소셜미디어에 넘쳐나는 개인정보 등을 수집하고 있을지 모를 일이다.
전설적 해커인 케빈 미트닉은 정보보호의 가장 큰 위협 요인은 조직 구성원의 부주의이며 훌륭한 정보보호 기술도 인간에 의해 무력화될 수 있다고 경고했다. 3중 성벽을 갖춘 난공불락의 요새였던 비잔틴 제국의 수도 콘스탄티노플이 오스만튀르크에 함락된 결정적 계기는 성벽의 작은 쪽문을 잠그지 않았던 누군가의 작은 실수였다고 한다. 보안은 그런 것이다.
박용 미래전략연구소 경영지식팀 기자 parky@donga.com@@@
DBR 웹사이트 www.dongabiz.com, 개인 구독 문의 02-721-7800, 단체 구독 문의 02-2020-0685
고객불만 잘 관리하려면
▼ MIT 슬론매니지먼트리뷰
▼ 전쟁과 경영