백신만 잘 깔면 막을 수 있었다?

[경제뉴스 톺아읽기] 엑티브 엑스가 주범… 열 사람이 한 도둑 못 막는다

[미디어오늘 이정환 기자]

분산서비스 거부, 이른바 디도스(DDoS) 공격이 청와대와 네이버, 국민은행 등의 사이트를 집중 공격해 사이트 접속을 마비시킨 데 이어 10일부터는 악성코드에 감염된 이른바 좀비 PC들이 자체적으로 하드 디스크를 포맷하고 데이터를 파괴할 거라는 분석까지 나왔다. 다행히 9일 저녁 예고됐던 3차 공격은 큰 피해 없이 마무리 됐지만 변종 악성코드가 나타날 가능성도 배제할 수 없는 상황이다.

경찰청 사이버테러 대응센터에 따르면 좀비 PC는 최소 5만대로 추산되는데 이 가운데 90% 이상이 국내 PC인 것으로 확인됐다. 배후에 북한이 있다 없다로 논란이 계속되고 있고 정부의 보안 불감증을 질타하는 목소리도 높다. 한국일보는 "조직적이고 장기적으로 계획된 사이버 전쟁"이라는 최시중 방송통신위원회 위원장의 말을 제목으로 뽑아 올렸다. 일부에서는 좀비 PC들의 인터넷 접속을 강제로 차단해야 한다는 주장까지 나오기도 했다.

주목할 부분은 과연 이번 디도스 공격을 사전에 막을 방법이 없었느냐다. 안철수 한국과학기술연구원 석좌교수는 자신의 블로그에 올린 글에서 "그동안 인터넷 대란과 개인정보 유출이 계속돼도 별다른 조치가 없었다"면서 "이번 사태는 우리 스스로 자초한 측면이 있다"고 지적했다. "네티즌이 자발적으로 참여하지 않으면 국가 전체의 사이버 안전을 담보할 수 없다"는 이야기다.

그렇다면 과연 무슨 대책을 세울 수 있었을까. 좀비 PC가 되지 않도록 대비하는 방법과 좀비 PC의 공격을 방어하는 방법이 있겠지만 둘 다 쉽지 않다. 수백만대의 PC를 모두 관리하기가 불가능한데다 그 가운데 몇만대만 뚫려도 속수무책이다. 디도스 공격의 경우 정상적인 트래픽과 구분이 되지 않기 때문에 선별적으로 차단하는 것도 쉽지 않다. 공격을 당한 사이트들도 대부분 별도의 우회 접속 주소를 만드는 것 이상의 대책을 내놓지 못했다.

일부에서는 포털 사이트에 접속할 때 강제로 백신 프로그램을 설치하도록 해야 한다는 주장까지 나오고 있지만 과연 백신만 설치하면 해결되는 것일까. 전문가들은 변종 악성코드가 늘어나면서 백신으로도 잡히지 않는 경우가 많다고 지적한다. 악성코드가 발견되고 나서야 백신이 업데이트 되기 때문이다. 주기적으로 백신을 업데이트하더라도 최신 악성코드에 감염될 가능성이 있다는 이야기다.

▲ 액티브 엑스를 설치하겠느냐고 묻는 보안 팝업 창.

좀 더 근본적인 원인은 우리나라의 과도한 마이크로소프트 편향과 액티브 엑스 의존도라는 지적도 나오고 있다. 우리나라는 마이크로소프트 윈도우즈 점유율이 99%가 넘고 웹 브라우저도 인터넷 익스플로러의 점유율이 90% 이상인 것으로 추산된다. 맥이나 리눅스 사용자는 인터넷 쇼핑이나 뱅킹을 이용할 수 없다. 세계적으로도 우리나라만큼 마이크로소프트 점유율이 높은 나라는 많지 않다.

액티브 엑스를 남발하는 국내 웹 사이트들이 보안 위험을 부추겼다는 지적도 나온다. 국내 웹 사이트들은 포털 사이트는 물론이고 은행이나 정부 기관들까지 액티브 엑스를 설치하지 않으면 정상적으로 서비스를 이용할 수 없는 곳이 많다. 안철수연구소는 "웹 서핑 도중 액티브 엑스를 설치를 묻는 보안 경고창이 뜰 때 무조건 YES를 누르지 말라"고 당부하지만 대부분의 경우 설치하지 않을 도리가 없다.

이번 디도스 공격의 숙주가 된 좀비 PC들은 대부분 이 액티브 엑스를 통해 악성코드에 감염됐을 것으로 추산된다. 만약 새로운 악성코드가 나타나고 백신이 이를 잡아내지 못할 경우 언제라도 이런 사이버테러가 재연될 가능성이 있다는 이야기다. 세계적으로도 액티브 엑스를 사용하지 않는 추세지만 우리나라 웹 사이트들은 유독 액티브 엑스로 '떡칠'이 돼 있다. 심지어 악성코드를 막겠다는 은행 보안 프로그램들까지 액티브 엑스로 돼 있는 현실이다.

열 사람이 지켜도 도둑 하나 못 막는다. 대부분 언론이 보안의식을 강화해야 한다, 예산을 늘려야 한다, 국가적인 위험관리 체계가 필요하다는 지적을 쏟아내고 있지만 정작 뻥 뚫린 액티브 엑스를 내버려두고는 아무리 천문학적인 비용을 쏟아부은들 언제라도 속수무책으로 당할 수밖에 없다. 애초에 웹 사이트가 사용자의 PC를 제어하지 못하도록 액티브 엑스를 뿌리 뽑는 것이 가장 시급한 선결과제다.

Copyrights ⓒ 미디어오늘. 무단 전재-재배포 금지