글로벌 해킹 위협 속… 정보보안 예산은 '역주행'

[미디어펜=배소현 기자] 북한과 중국 해킹 조직의 집중 공격으로 한국이 사이버 안보 위기에 처한 가운데, 정작 정부의 정보보안 예산은 역주행하고 있어 대응책 마련이 시급하다는 지적이 제기된다. 인공지능(AI) 기술 발전으로 사이버 공격이 더욱 고도화되는 상황에서 예산 삭감은 국가 사이버 보안 체계에 심각한 공백을 야기할 수 있다는 우려가 커지고 있다.

◆ 한국, 사이버 안보 위기… 북한·중국 '표적'

인공지능(AI)의 발전으로 사이버 공격 기술도 고도화되며 해킹 위협이 전 세계로 확장하는 모습이다. 이 가운데 우리나라는 인접국인 북한과 중국 해킹 조직의 집중포화를 받으며 사이보 안보 위기 상황에 직면해 있다는 우려가 나온다

특히 국제 사회의 제재를 받고 있는 북한은 첨단 기술을 확보하고 외화를 벌기 위해 사이버 공격을 확대하고 있는 실정이다.

12일 사이버 보안 기업 지니언스시큐리티센터(GSC)에 따르면 북한 정찰총국 산하 해커조직 '김수키(Kimsuky)'는 백도어 악성코드 '애플시드(Appleseed)'를 활용해 올해 3월부터 4월까지 페이스북·이메일·텔레그램 이용자를 겨냥한 지능형지속위협(APT) 공격을 이어가고 있다.

애플시드는 C&C서버(Command&Control 서버·공격자가 악성코드를 원격으로 조종하기 위해 상용하는 서버)로부터 전달받은 공격자의 명령을 수행하는 백도어 악성코드다. 공격자는 애플시드를 이용해 감염 시스템을 제어하거나 추가 악성코드를 설치할 수 있는데, 이를 위해 다운로더 기능을 악용하거나 키로깅·스크린 캡처·사용자 시스템 파일 수집 등을 활용해 정보 탈취를 시도한다.

김수키는 '트랜지셔널 저스티스 미션'(Transitional Justice Mission)이란 페이스북 계정을 통해 교회 전도사, 연구원 목사 등으로 신분을 소개하며 국내 대북 분야 종사자 다수에게 메신저 대화를 시도했다. 이후에는 특정 문서를 공유하는 것처럼 관심을 유발해 악성파일을 전송했다. 악성파일은 압축 포맷(EGG)에 비밀번호가 설정된 형태로 전달됐다.

또 김수키는 여러 페이스북 계정을 생성해 사용하기도 했다. 공격자는 공군사관학교 출신으로 자신을 소개했으며 한국인 남성으로 추정되는 사진을 등록해 의심을 피해가기도 했다. 공격자는 '탈북민 자원봉사 활동 방향과 관련해 도움을 부탁드린다' 등의 내용으로 피해자를 현혹한 뒤 페이스북 메신저 등을 통해 악성파일을 전달했다.

이와 더불어 중국발 해킹도 기승을 부리는 모습이다.

미국 법무부는 지난 3월 중국 보안업체 아이순(iSoon)을 해킹 혐의로 기소했는데, 이 과정에서 LG유플러스 및 우리나라 외교부가 해킹 피해를 입었다는 의혹이 제기됐다. 아이순이 7년간 100명 이상의 직원을 두고 43개 이상의 중국 정부 기관에 해킹 서비스를 제공했다는 것이다.

특히 미국 법무부와 보안업계는 아이순이 중국 공안부(MPS)와 국가안전부(MSS)의 지시에 따라 미국·한국·대만·인도·프랑스 등 최소 20개국 정부 기관·외교부·언론사·비정부기구(NGO)·종교 단체·인권운동가·반체제 인사·기업 등을 대상으로 조직적 해킹을 벌인 것으로 확인했다. 또 아이순은 해킹 성공 시 이메일 계정 하나당 1만~7만5000달러를 청구하는 등 해킹을 수익화하는 체계적인 사업 구조를 갖추고 있었던 것으로도 파악됐다.

아이순 내부자가 유출한 자료와 대화 기록에는 LG유플러스 통화기록 3테라바이트(TB), 인도 이민 데이터 95GB, 대만 도로 매핑 데이터 459GB 등이 포함됐다. 유출된 아이순 관계자 간 대화에는 LG유플러스와 외교부 해킹에 관한 내용도 있는 것으로 알려졌다.

아울러 대화 내용에는 한국 외교 관련 이메일 데이터가 확보돼 있고 중국 공안 등으로 추정되는 수요처와 거래하려 한 정황이 담겼다.

◆ 정보보안 예산은 '역주행'… 정부 차원 대응 절실

이처럼 사이버 공격 빈도가 잦아지고 수위가 높아지고 있는 반면에 정보보안 관련 예산은 도리어 역주행하고 있다. 정보보안 관련 투자는 그 효과를 구체적인 금액으로 산출하기 어려운 만큼 정부와 기업이 이를 단순 지출 비용으로 여기는 인식이 아직까지 뿌리 깊게 자리잡고 있기 때문이다.

올해 한국인터넷진흥원(KISA) 사이버침해대응본부 예산은 579억 원으로 전년보다 8.8% 줄었다. 2022년 이후 최저 수준이다. 정보보호 전문인력 양성 예산도 지난해 241억 원에서 올해 222억 원으로 8.1% 감소했다. 정보보호 인적자원개발위원회(ISC)의 조사에 따르면 지난해 기준 국내 정보보호 기업의 33.5%가 인력 확보에 어려움을 느끼는 상황임에도 투자를 오히려 줄인 것이다.

이에 보안업계를 중심으로는 정부 차원의 적극적인 제도적 지원과 함께 보안을 투자로 여기는 사회적 인식부터 자리잡혀야 한다는 목소리가 나온다.

이 가운데 이재명 대통령은 대선 국면에서 사이버 보안 대응 체계 구축 등 사이버 위협으로부터 안전한 대한민국 구현을 위한 공약을 내놓은 바 있다.

또 '개인정보보호법 일부개정법률안'(개별통지 의무화법)과 '정보통신망 이용 촉진 및 정보보호 등에 관한 법률 일부개정법률안'(이행강제금 도입법)을 대표 발의한 이해민 조국혁신당 의원은 이날 "정보주체의 권리 보호와 사이버보안 강화를 위한 제도적 장치 마련이 시급하다"고 강조했다.

그러면서 "앞으로도 기업의 보안투자 장려책 등을 담은 입법 조치를 꾸준히 이어가며 안전하고 신뢰할 수 있는 디지털 환경 조성을 위해 최선을 다할 것"이라고 덧붙였다.