북한 정찰총국 산하 해커 조직으로 알려진 '라자루스(Lazarus)'가 대한민국 사법부 전산망을 해킹, 2년간 1TB에 달하는 개인정보를 포함한 정보를 탈취한 사실이 정부 합동수사 결과 드러났습니다. 이 문제는 작년 12월 제기되었는데요. 법원은 작년 2월에 이미 라자루스의 공격을 인지했음에도 불구하고 거의 1년 가까이 숨겨왔습니다. 더욱 웃지 못할 일은, 악성코드에 피해를 입은 대법원 전산망 관리자 계정의 일부 비밀번호가 'P@ssw0rd', '123qwe', 'oracle99' 등 추측이 쉬운 문자열로 구성돼 있었고, 일부 계정은 길게는 6년 넘게 비밀번호를 바꾸지 않았던 것으로 확인되었다는겁니다.
비밀번호 관리 실패, 사법부 보안 붕괴 사례
보통 우리는 비밀번호를 관리할 때 BS 7799라는 정책을 따르는데요. BS 7799는 영국정부의 정보보안 관리시스템 표준(British Standard for Information Security Management System)으로 조직이 고객 정보의 비밀성, 무결성 및 가용성을 보장한다는 것을 공개적으로 확인하는데 초점을 두는 표준입니다. 이 표준은 1999년 10월에 ISO 표준으로 제안, ISO/IEC DIS 17799-1로 채택되었습니다. 99년 만들어진 표준답게 오래되었지만 여기서 요구하는 비밀번호의 최소 복잡도가 '문자와 숫자가 섞인 6자리 이상 규격'이며, 평문화된 패스워드를 직접 서버에 보관하지 않고 변경 시에는 별도의 이메일 인증을 통해 변경처리를 하는 등의 기초적인 내용을 담고 있습니다. 하지만 사법부 전산망에는 영문 대소문자와 특수문자 등을 섞어 구성하게 하는 '비밀번호 복잡도' 정책이나 주기적으로 비밀번호를 바꾸도록 설정하는 '비밀번호 사용 기간 만료' 정책을 설정하지 않은 탓에 쉬운 비밀번호를 장기간 사용, 결국 해커들에게 노출되어 민감한 핵심 정보들이 유출되는 결과를 낳았습니다.
법원의 늑장 대응 역시 문제가 되었습니다. 2년 가까이 해킹을 인지조차 못했고, 10개월이 지나서야 관계당국에 신고했기 때문입니다. 더우기 어떤 정보가 얼마나 유출되었는지 파악조차 제대로 되지 않고 전체 해킹 규모의 0.5%에 불과한 분량만 파악되었는데요. 개인회생사건과 관련해 주민등록번호, 금융정보, 혼인관계증명서, 병원 진단서 등의 개인정보가 다수 포함된 것으로 알려졌습니다. 개인정보보호법에 따르면 방대한 개인정보를 다루는 대형병원이나 기업, 대학 등은 전문성을 갖춘 CPO(Chief Privacy Officer, 개인정보보호책임자)를 갖출 것을 요구하고 있는데 막상 법원을 포함해 공공기관에서 근무하는 CPO는 관련 경력이 없어도 급수만 충족된다면 누구나 맡을 수 있다는 맹점이 있었습니다. 실제로 지난달 1,200여건의 개인정보가 유출된 '정부24'를 포함해 행정안전부의 개인정보를 담당하는 CPO도 관련 분야와 사실상 무관한 경력을 갖춘 인물로 알려졌는데요.
거기다 공공기관에서 실시하는 정보보호에 대한 투자 및 인프라, 인력 확보 역시 문제가 됩니다. 한국인터넷진흥원(KISA)이 발간한 ‘2024 국가정보보호백서’에 따르면 중앙행정기관 23곳, 지방자치단체 31곳, 공공기관 59곳 중 정보보호 전담부서를 운영하는 기관은 61.95%입니다. 전년(72.73%)과 비교하면 11%포인트 감소, 특히 중앙행정기관은 정보보호 전담부서를 운영하는 곳이 30%대에 불과한 것으로 집계되었습니다. 거기다 CISO(Chief Information Security Officer, 정보보호최고책임자)를 둘 의무가 공공기관에 없기도 한데요. 정보통신망법에 따르면 일정 규모 이상의 정보통신서비스 업체는 사업주나 대표자 등을 CISO로 지정해야 하지만 공공기관은 그렇지 못합니다. 2021년 1월 민주당 이해식 의원이 공공기관에도 정보보호와 보안대책을 총괄하는 CISO를 지정하는 내용이 담긴 '전자정부법' 개정안을 발의했으나, 국회에서 계류 중인 상태죠. 미국에서는 CIRCIA를 통해 랜섬웨어 감염 등 보안 사고 발생 시 빠듯하게까지 느껴지는 시간 안에 즉각 보고를 할 것을 요구하고 있어서 크게 차이가 나는데요. 이번 사고들은 각 조직이 보안에 대해 인지를 하고 적합한 투자와 더불어 인력배치를 하면서 사고에 대한 대응 프로토콜을 갖추는 것이 비싼 솔루션을 도입하는것보다 훨씬 더 중요하다는 것이 더욱 크게 체감되는 사고라고 할 수 있겠습니다.
보안 vs 편의: 비밀번호 관리의 딜레마
하지만 일반적으로 보안과 편의는 저울의 양쪽 끝에 위치한 상반된 요소라는 인식이 있습니다. 불편함을 감수해야 보안성을 달성할 수 있고, 편리하게 만들면 사고가 날 수 있는 가능성이 커진다는거죠. 대표적 사례가 지난번 네이버 사건에서 트집이 잡혔던 싱글 사인 온, 그리고 비밀번호입니다. 심지어 가장 강력하다고 알려진 암호 프로토콜을 사용하는 블록체인 거래에서도 해킹 사고는 자주 발생합니다. 블록체인 자체는 해킹이 거의 불가능하지만 거래소의 지갑에 보관된 개인 키와 공개 키는 해커나 내부자에 의해 유출될 수 있기 때문입니다. 대표적인 사례가 Mt.Gox라는 비트코인 거래소 해킹 사건이었죠. 거래소가 사용하는 핫 월릿(인터넷에 연결된 지갑)의 키가 유출된 것이었습니다. 아무리 강력한 시스템이라 하더라도 취약점은 존재할 수 밖에 없는데요. 그렇다면 각 개인이 할 수 있는 최선의 비밀번호 관리는 어떤 방식이 있을까요?
물론 충분한 보안 절차가 동반되어 있다면 비밀번호가 상대적으로 취약하다 하더라도 문제가 되지 않을 수 있습니다. 당장 미국의 핵 미사일 발사 비밀번호가 20여 년 가까이 '00000000'이었다는 걸 생각해 보면 말이죠. 하지만 이런 십여 단계에 거친 강력한 보안 프로토콜을 우리는 사용할 수 없기에, 우리는 비밀번호를 관리해야 할 필요가 있습니다. 비밀번호를 관리하는데 있어 가장 먼저 생각해 볼 만한 방법은 어딘가에 적어두는 것입니다. 대한민국 군대에 있는 모니터 뒤나 키보드 아래 등에 항상 붙어있는 쪽지인 '1q2w3e4r!' 같은 것 말이죠. 농담 삼아 이런 걸 이야기하는 게 국가 기밀 누설이라고 말하기도 할 정도로 흔한데요. 이런 비밀번호 관리(?)는 물리적 침입 등과 같은 사회공학적 해킹에 너무 쉽게 파훼될 수 있습니다.
다음으로 생각해 볼 만한 것은 구글 비밀번호 관리자나 OS에 내장된 비밀번호 관리자입니다. 하지만 크롬은 모든 로그인 정보를 암호화하는 마스터 비밀번호를 사용하지 않는다는 문제가 있습니다. 물론 모바일의 경우 생체정보 인증을 마스터 비밀번호로 사용할 수 있지만, PC의 경우 상대적으로 로컬 공격에 취약하다는 문제점을 보여주죠. 거기다 모든 계정에 대한 보안이 브라우저 보안에 좌우되기 때문에, 브라우저 계정에 대한 로그인에는 다중 인증과 같은 보안 정책을 강력하게 설정해 둘 필요가 있습니다. 물론 비용을 조금 더 지불하더라도 신뢰할 수 있는 회사에서 제공하는 독립형 비밀번호 관리자나 전용 관리자를 사용하는 것이 도움이 될 수 있습니다.
재미있는 것은 NIST(National Institute of Standards and Technology , 미국 국립표준기술연구소)의 새로운 비밀번호 안전 사용법에 대한 6가지 계명입니다. 상식과는 많이 다른 내용들이 있는데요. 침해되었다는 증거나 정황 없이 기계적으로 비밀번호를 주기적으로 바꾸기만 하는 건 불필요한 자원 낭비라는 점인데요. NIST는 '모든 비밀번호를 계속해서 바꾸는 게 아니라 바꿀 비밀번호가 어디에 있는지 확인하고 즉각적인 조치를 취해주는 것이 더 올바른 방향'이라고 말했습니다. 또한 비밀번호의 강력함을 결정하는 것은 복잡성이 아니라 길이라며, 대/소문자 가릴 것 없이 최대한 길게, 간단한 문장의 형태로 암기하기 쉬운 비밀번호를 사용해 글자수를 늘리고 기억하기도 편리하게 만드는 것이 효과적이라고 조언해 줬습니다. 직접적으로 독립형 비밀번호 관리자나 관련 제품군을 추천하진 않았지만, 붙여 넣기를 허용하라는 등 관리자 사용을 암시적으로 추천하기도 했습니다.
비밀번호 관리의 중요성과 실천 방법
지금 사용중이신 비밀번호는 안전하신가요? 보안은 하나의 취약점만 생겨도 뚫릴 수 있기에 개인과 조직이 유기적으로 맞물려 돌아가며 보안성을 제고할 필요가 있습니다. 그 보안성 제고의 첫 걸음은 꼼꼼한 비밀번호 관리가 아닐까 합니다. 당분간 비밀번호라는 체계 자체는 꾸준히 유지될 가능성이 크기 때문입니다. 비밀번호 관리, 안전한 기업보안의 핵심입니다.
비밀번호는 단순히 기억하기 쉬운 것이 아닌, 해커로부터 안전한 것이어야 합니다. 이를 위해 강력한 비밀번호를 생성하고, 주기적으로 변경하며, 다중 인증 방식을 사용하는 것이 좋습니다. 또한, 비밀번호 관리 프로그램을 활용하여 각 계정마다 고유한 비밀번호를 사용하는 것도 좋은 방법입니다. 모든 보안의 시작은 비밀번호 관리에서 출발하며, 작은 습관이 큰 보안의 차이를 만듭니다.
