일선 국립대, PC서 카카오·라인 사용금지...“해킹사태에 보안 강화” 교직원은 반발

서울대병원 해킹 등에, 공격 봉쇄하려는 듯
국립대 정보·보안감사 진행...3개대에 지침
방통대, 방화벽 설정해 PC서 채팅앱 차단
보안 강한 ‘코러스 알리미’ 사용 권고
교직원 “학생과 상담 어떻게 하라는 것” 불만

교육부가 대학을 글로벌 수준의 기초연구 거점으로 육성하는 ‘지-램프(G-LAMP)’ 사업을 추진한다. 6개 대학을 신규 선정해 5년간 매년 평균 50억원을 지원할 방침이다. (사진=연합뉴스)

일부 국립대학이 교직원을 상대로 업무용 PC에서 카카오톡, 라인, 텔레그램, 왓츠앱 등 상용 메신저를 삭제하고 차단하라는 ‘보안 지침’을 내렸다. 정보·보안 감사에 따른 후속 조치다. 앞서 서울대병원이 해킹 당하면서 83만명에 달하는 개인정보가 무더기 유출되면서, ‘보안 조치’가 한층 강화된 대목이다.

17일 정보기술(IT) 업계와 교육계에 따르면, 교육부는 국립대를 상대로 정보·보안감사를 진행했다. 그 결과 3개 대학의 문제점을 파악해 업무용 PC에서 업무외적 불필요한 소프트웨어들을 삭제하라는 지침을 내렸다. 지적을 받은 국립대 세 곳은 보안을 한층 강화했다. 특히 한국방송통신대는 교직원을 상대로 학교내 업무용 PC에서 카카오톡, 라인, 텔레그램, 왓츠앱 사용 차단에 나섰다. 방화벽을 설정해 상용 채팅앱 서버의 IP 주소·도메인을 전면 차단해, PC에서 개인용 채팅앱을 사용해 문서를 주고 받는 것을 원천 봉쇄한 것이다. 대신 39개 국립대 전용 메신저인 ‘코러스 알리미’ 사용을 권고했다. 코러스 알리미는 한국교육학술정보원 주도로 개발했다. 업무관리시스템에 사용자 등록 후, 교번과 초기 비밀번호를 입력해 로그인할 수 있는 메신저다. 쪽지, 파일 전송, 메시지함, 받은 파일, 메모, 원격 제어, 코러스 포털 등 기능이 있다. 코러스 알리미는 사용자 요구와 보안 기준을 높이고자 마련한 메신저다.

정부가 이처럼 국립대에 대한 대대적 보안 강화에 나선 까닭은 잇따른 백도어(Backdoor) 해킹 사고가 큰 원인으로 풀이된다. 앞서 북한 추정 단체는 서울대병원을 해킹해 83만명에 달하는 개인정보를 유출했다. 경찰청 국가수사본부에 따르면, 북한 정찰총국 산하 해커 집단인 김수키와 관련이 있는 것으로 추정된다. 특히 당시 해커 집단은 국내외 서버 7개를 장악한 뒤 공유폴더와 연동된 서울대병원 내부망에 침입하는 방법을 사용했다. 김수키는 특정인을 사칭해 접근한 뒤, 관리자 권한을 탈취하는 것으로 악명높다. 만약 서버 관리자가 김수키가 보낸 특정 주소(URL)을 클릭할 경우, 악성 코드가 설치되면서 보안 시스템을 우회하는 백도어가 포함된 코드가 활성화된다. 이후 김수키 그룹은 ‘긴급 업데이트’나 ‘중요 문서 첨부’와 같은 내용으로 위장한 피싱 이메일을 2차적으로 발송해 병원 내부 정보망으로 접근하고 정보를 탈취한다.

올 들어 국내 대학 등 100곳 무더기 해킹...성적표 증명사진 등 탈취

이 뿐 아니다. 올 1월에는 국내 사립대, 병·의원, 중소기업, 지방자치단체 산하기관 등 약 100곳이 무더기 해킹당했다. 일부 대학에선 학생 성적표, 교직원 증명사진, 내부 결재 서류 등이 유출됐고 또 다른 사이트에선 관계자 수십 명의 주민등록번호와 주소 등이 탈취당했다고 경찰청 사이버테러수사대가 밝힌바 있다. 카카오나 네이버 밴드 등은 메시지 전송 시 ‘엔드투엔드(end-to-end)’ 암호화 방식을 사용하지 않고, 서버를 경유하는 방식으로 메시지를 전달한다. 특정 상황에서 메시지 내용이나 주고 받은 문서가 서버에 저장되는 방식이다.

다만 엄격한 보안에 대한 논란은 있다. 한 방통대 교수는 페이스북을 통해 “업무와 연구라는 것이 교내에서만 이루어지는 것은 아니다”면서 “학생과 상담은 어떻게 할 것이며, 외부 과제와 연구는 어떻게 할 것이냐”고 반문했다. 하지만 교육부 관계자는 “외부망과 내부망을 혼용할 때 보호 조치를 하라는 내용의 지침을 전달했다”면서 “국립대를 상대로 보안조치를 강화하라고 한 것은 맞다. 다만 상용 메신저를 금지한 것은 아니다”고 설명했다. 교육부는 매해 15개 내외 산하기관과 대학을 선정해 보안 감사를 한다. 교육부 정보보안 기본지침 72조에 따르면, 업무에 불필요한 메신저 등은 업무용 컴퓨터에 설치하지 않도록 규정하고 있다.

한 보안 업체 관계자는 “해킹에 있어 전용 메신저 개발 및 도입은 좋은 대안이 될 수도 있다”면서도 “다만 특정 앱을 차단하는 것보다는 전반적인 보안 인식 교육, 시스템 보안 강화, 네트워크 분리 등 종합적인 접근이 필요하다”고 말했다.