유령유권자·투표지 무단인쇄···북 해킹에 국가지도자 바뀔 판

[가상 해킹에 뻥 뚫린 선관위]
선관위 장비중 5%만 점검했는데
시스템 보안 '허점' 줄줄이 드러나
합동점검 성적 '31.5점'으로 낙제
자체평가 결과 '100점' 만점 무색
선관위 "TF 구성, 확인·점검할 것"

10일 판교에 위치한 사이버안보협력센터에서 백종욱 국정원 3차장이 ‘선관위 사이버 보안점검 결과’에 대해 브리핑을 하고 있다. 사진 제공=국가정보원

[서울경제]

국가정보원 등의 합동 점검에서 드러난 중앙선거관리위원회의 투·개표 관리 시스템 허점은 자칫 민주주의의 근간을 훼손할 수 있을 정도로 심각했다. 북한 해커를 비롯한 외부 세력이 마음만 먹으면 언제든지 선거 결과를 바꿀 수 있을 정도로 해당 시스템의 보안이 허술했다. 자칫하면 국가 지도자를 비롯한 선출직 공무원의 당락을 적성국이 조작할 수도 있을 정도였다.

합동 점검 결과 해킹으로 투표 여부를 바꾸고 유령 유권자를 만들 수 있다는 것과 투표 조작을 넘어 개표 결과까지 바꿔버릴 수 있다는 사실이 확인됐다. 또한 통합 선거인명부 시스템의 경우 접속 권한 및 계정 관리가 부실해 사이버 공격에 취약했다. 국정원은 “이를 통해 ‘사전투표한 인원’을 ‘투표하지 않은 사람’으로 표시하거나 ‘사전투표하지 않은 인원’을 ‘투표한 사람’으로 표시할 수 있다”고 지적했다. 무엇보다 존재하지 않는 유령 유권자도 정상적인 유권자로 등록할 수 있어 선거 결과에 악영향을 미칠 수 있는 것으로 나타났다.

또 사전투표 용지에 날인되는 청인(廳印·선관위 도장), 사인(私印·투표관리관의 도장) 파일도 훔칠 수 있고 실제 사전투표 용지와 QR코드가 같은 투표지를 무단으로 인쇄하는 것도 가능했다. 위탁 선거에 활용되는 선관위 ‘온라인 투표 시스템’ 역시 정당한 투표권자가 맞는지를 인증하기 위한 절차가 미흡해 해커가 대리투표하더라도 확인이 불가능한 것으로 드러났다.

이번에 보안 점검을 위한 해킹 테스트인 가상 해킹 결과 가운데 가장 충격적인 것은 유사시 해커가 투표 조작을 넘어 개표 결과까지 바꿔버릴 수 있다는 점이다. 국정원은 “개표 결과가 저장되는 개표 시스템은 안전한 내부망에 설치·운영하고 접속 비밀번호를 철저하게 관리해야 하지만 보안 관리가 부실해 해커가 개표 결과 값을 마음대로 변경할 수 있음이 확인됐다”고 평가했다.

게다가 투표지 분류기에서는 USB 등 외부 장비의 접속을 통제해야 하지만 비인가 USB를 무단으로 연결해 해킹 프로그램을 설치할 수 있어 이를 통해 투표 분류 결과도 바꿀 수 있다는 사실 또한 발견됐다.

이 외에 항해 중인 선박에서 진행되는 선상 투표 시스템의 암호화가 허술해 유권자의 기표 결과 열람은 물론 선관위 전산망을 통해 재외공관의 재외 선거망까지 침투해 재외국민 선거인명부 탈취와 재외공관 업무용 PC 접근이 가능한 것으로 나타났다. 백종운 국정원 3차장은 “외부에서 내부 선거망까지 충분히 해킹된다는 것을 확인했다”고 말했다.

더욱 심각한 것은 선관위가 최근 2년간 국정원으로부터 통보받기 전까지 북한발 해킹 사고에 대해 인지조차 하지 못하고 있었고 적절한 대응 조치도 이뤄지지 않았다는 점이다. 국정원에 따르면 국정원은 북한에 의한 해킹 공격 8건을 선관위에 통보했다. 선관위는 국정원의 통보 전까지 피해 사실을 인지하지 못했고 이후로도 해킹 원인을 조사하거나 자료 유출 여부를 확인하지 않은 채 방치했다. 심지어 피해자에게 통보 등 적절한 조치를 하지 않아 동일한 직원 대상의 사고가 연속적으로 발생한 것으로 드러났다. 2021년 4월께 북한 ‘킴수키(Kimsuky)’ 조직에 의해 상용 메일이 탈취돼 대외비 문건 등 업무 자료가 유출된 사실까지 확인됐다.

이와 관련해 국정원 측은 북한발 선거 조작을 아직 확인하지는 못했으나 그 가능성은 있다고 설명했다. 국정원 관계자는 “선관위가 과거 사용하던 임대 장비를 이미 반납해 이번 점검에서는 전체 선관위 장비 6400여 대 가운데 5% 수준인 317대만 점검했다”고 덧붙였다.

선관위는 보안 수준 평가 결과도 낙제점을 받았다. 선관위가 지난해 ‘주요 정보통신 기반시설 보호 대책 이행 여부 점검’을 자체 평가한 결과 ‘100점 만점’이었다고 국정원에 통보했지만 이번 점검에서 같은 기준으로 재평가한 결과 31.5점에 불과했다고 국정원은 밝혔다. 특히 취약점 분석 평가를 관련 법령에서 정한 ‘정보 보호 전문 서비스 기업’이 아닌 무자격 업체를 통해 실시한 것으로 드러났다.

선관위는 해킹을 통한 선거 조작 우려에 대해 “다수의 내부 조력자가 조직적으로 가담하지 않고서는 사실상 불가능한 시나리오”라고 해명했다. 그러면서도 “내년 국회의원 선거에 국민들이 안심하고 투표할 수 있도록 시스템 접근 제어 및 통제를 더욱 강화하고 보안 장비를 추가하는 한편 ‘보안 컨설팅 결과 이행 추진 태스크포스(TF)팀’을 구성해 개선 사항 후속 조치 이행 상황 등을 확인·점검할 예정”이라고 설명했다.

더불어민주당은 이번 조사 결과에 대해 “강서구청장 보궐선거를 하루 남긴 시점에 유권자의 불안을 가중하는 무책임한 주장을 퍼뜨리는 행태는 선거 개입이라고 의심하지 않을 수 없다”고 주장했다.

이현호 기자 hhlee@sedaily.com강도림 기자 dorimi@sedaily.com