[디도스 사이버테러] 컨트롤기능 없는 뒷북대응

민간의 변종경고에 “분석중”만… 우왕좌왕 화 키운 정부

지난 9일 오후 방송통신위원회 브리핑실. 방통위와 한국정보보호진흥원(KISA) 관계자들이 들어섰다. 최시중 방통위원장과 국내 주요 인터넷서비스업체(ISP) 대표들이 논의한 디도스(DDoS·분산서비스거부) 대응책을 설명하는 자리였다.

관심사는 악성코드에 감염된 좀비PC의 인터넷 연결을 강제로 차단하느냐였다. 방통위는 회의 전에 배포한 보도자료에서 강제 차단을 강구하고 있다고 밝혔다. 하지만 회의 후 “법적 근거가 희박하고, 소비자들의 반발이 우려된다.”며 강제 차단은 하지 않을 것이라고 말을 바꿨다. KISA 관계자에겐 악성코드의 특징과 심각성을 묻는 질문이 이어졌지만 “상당히 지능적이다.”는 말만 하고 자리를 떴다.

답답한 취재진들은 회의 참석차 방통위에 들른 안철수연구소의 김홍선 사장을 마이크 앞에 세웠다. 김 사장은 “이번 악성코드가 공격기능, 포맷기능, 스케줄기능 등으로 분화돼 있어 변종이 계속 이뤄지고 좀비PC 하드디스크를 파괴시킬 수 있다.”고 했다. 방통위와 KISA에서 할 말을 김 사장이 대신한 셈이었다.

우왕좌왕하는 정부의 뒷북대응이 대란을 키우고 있다. 인터넷 보안 업무가 국가정보원, 방통위, 행정안전부, 경찰청 등으로 분산돼 있어 컨트롤타워 기능은 애초부터 기대할 수 없었다. 국내 인터넷 보안과 관련된 가장 많은 정보와 인력을 확보하고 있는 국정원은 ‘북한 배후설’만 내놓았을 뿐 국민들에게 코드 분석 결과나 예방책 등은 제공해 주지 않았다.

민간 보안업체들은 공격 초기부터 악성코드의 변종을 분석해 냈으나, 경찰청은 “변종이 아니다.”고 묵살했다. KISA는 “분석중”이라는 말만 되뇌었다. 안철수연구소는 지난 9일 새벽에 악성코드의 스케줄 기능을 해독, 3차 공격 대상 7개 사이트를 밝혔으나 정부는 오후 6시 실제 공격이 일어나고서야 이 예언을 실감했다.

특히 안철수연구소는 9일 새벽 86개 사이트에 좀비PC의 하드디스크를 망가뜨리는 파일 삭제 기능이 있는 파일이 숨겨져 있다고 각 국가기관에 통보했다. KISA는 위험 예고 등의 조치를 취하지 않고 일단 사이트 접속을 차단하는 선에서 그쳤다. 국정원, 경찰, KISA, 민간 업체가 힘을 모아 이 파일을 분석해 냈다면 10일 0시부터 진행된 좀비PC의 자폭 시간 규명도 훨씬 빨라졌을 것이다. 국가정보원이 이번 테러의 주범으로 밝힌 86개 사이트 인터넷 프로토콜(IP)도 결국은 안철수연구소가 통보한 것이다.

국가정보원과 경찰청은 10일 이 86개 IP를 통해 디도스 공격이 이뤄졌다고 밝혔다. 하지만 방통위와 KISA는 악성코드를 유포한 숙주 IP 5개를 발견해 차단했다고 밝혔다. 확인 결과 실제로 디도스 공격을 유발한 악성코드를 퍼트린 숙주 IP는 5개였고, 86개 IP는 파일을 파괴하는 악성코드를 숨겨놓은 것이었다.



지난 4일에는 미국에서 유사한 디도스 공격이 있었고, 국내에서도 조짐이 보였다. 방통위 관계자는 “미약한 디도스 공격은 1년에도 수십건씩 발생해 크게 신경쓰지 않았다.”고 말했다. 7일 오후 6시부터 대규모 공습이 시작됐지만 정부는 8일 새벽 1시30분에야 인터넷 침해사고 경보단계 중 ‘주의’ 경보를 발령했다. 이때 파악된 좀비PC 2만여대의 인터넷 접속만 차단했어도 사태가 이처럼 커지지는 않았을 것이라는 게 전문가들의 지적이다.

이창구기자