메뉴 보기
한국수력원자력 직원 수백명을 대상으로 사이버 공격이 감행됐다. 한수원 퇴직자들 명의의 이메일이 공격 수단으로 악용됐다. 악성코드가 담긴 이메일은 ‘견적서’ 등의 제목을 달고 있어 수신자들이 무심코 열어보도록 했다.
개인정보범죄 정부합동수사단은 블로그 등에 원전 도면 등을 게시한 유출범과 사이버 공격 집단이 동일범일 것으로 보고 있다. 원전 도면 게시 과정과 사이버 공격이 모두 중국의 선양발 인터넷 주소(IP)를 통해 이뤄졌다는 게 이 같은 판단 근거가 됐다. 합수단은 IP의 실체를 파악하기 위해 중국에 사법공조를 요청했고, 이는 즉각 수용됐다.
# 2013년 6월14일.
서울중앙지검 특별수사팀은 국가정보원 대선·선거 개입 사건 수사결과를 발표했다. 수사팀은 원세훈 전 국정원장을 비롯한 국정원 직원들이 국정원법 등을 어기고 본래 직무에서 벗어나 정치에 관여했다고 결론을 내렸다. 수사결과 발표 과정에서 검찰은 국정원 직원들이 트위터를 활용한 정황이 있다는 것을 언급했다. 수사팀은 이후 트위터 관련 수사에 착수했고, 미국 트위터 본사에 연락해 신원 파악 작업에 나섰다. 하지만 미국 트위터 측의 회신은 지지부진했고 결국 수사팀은 일일이 트위터 사용자와 국정원 직원들을 대조할 수밖에 없었다.
원전과 같은 사회기반시설이나 소니 등 기업에 대한 해킹 등 각종 컴퓨터 활용 범죄가 이어지고 있다. 이들 범죄는 사회가 인터넷·컴퓨터 네트워크에 대한 의존도가 높아짐에 따라 그 피해 정도가 크고, 기술적으로 적발이 어려워지는 형태로 진화하고 있다. 특히 해킹 등의 사이버 테러의 경우 한 국가만의 노력으로 해결할 수 없다는 점에서 국제적인 협력 모델이 필요하다는 의견이 설득력을 얻고 있다.
사이버 공격이 실제 테러와 같이 대규모 인명·물적 피해를 끼칠 수 있다는 깨달음을 준 건 2010년 이란 핵발전소 시스템을 겨냥한 사건이 대표적이다. 이전에는 인터넷의 발달과 컴퓨터 네트워크(통신망)의 고도화로 국가, 기업에 중대한 피해가 발생할 가능성이 있다는 주장이 제기되곤 했지만 경고에 불과했다. 사이버 테러를 감행하려는 집단의 기술 수준이 비교적 낮고, 인적 역량 역시 미달 수준이라는 분석이 지배적이었기 때문이었다.
2003년 미국 국방부와 록히드 마틴사와 같은 방위사업체를 상대로 컴퓨터 공격이 있었고, 2008년 콘피커 웜이란 컴퓨터 파괴 소프트웨어가 프랑스 해군 등 100만개가 넘는 컴퓨터를 감염시켰지만 피해 정도가 크지 않았다.
하지만 2010년 이란 핵발전소를 무력화한 웜 바이러스인 ‘스턱스넷’은 핵재처리 시설의 원심분리기에 대한 공격을 목표로 개발된 신종 ‘사이버 무기’로 평가될 정도로 파장이 컸다. 원심분리기의 압력과 속도 등에 미세하게 대응해 발각될 위험을 최소화한 뒤 공정을 무력화시켰던 스턱스넷은 구조의 정교함 등에 비춰 특정 국가(미국·이스라엘)가 배후에 있다는 해석이 나왔다. 국제 전략센터는 이 사건을 최초의 사이버 전쟁이라고 이름 붙였다. 이 사건은 특히 사이버 공격이 사회 혼란 및 인명·재산 피해와 직결될 수 있다는 점을 각인시킨 사건으로 평가된다.
이 같은 사이버 범죄는 인터넷 환경이 미치는 영향이 커지는 것과 맞물려 다양한 형태로 진화하고 있다. 국가 기관이 일탈을 저질렀던 국정원 대선·정치 개입 사건에서 소셜네트워크서비스(SNS)는 주요 범죄 수단으로 사용됐다. 알카에다는 2012년부터 유튜브 등을 선전도구로 이용했다. 잔혹함으로 악명을 떨치는 테러집단 이슬람국가(IS)는 사람들에게 공포감을 주는 주요 도구로 인터넷을 이용하고 있다.
해킹이나 SNS를 활용한 범죄는 용의자의 신병을 확보할 수단이 피해 국가에 없는 경우가 많고 신속한 대처가 이뤄지지 않으면 피해 정도가 크다는 측면에서 국제 공조의 틀이 필요하다는 의견이 나오고 있다. 현재까지 사이버 테러 등에 대응하기 위해 이뤄진 국제 협력의 장이 존재하지 않았던 건 아니지만 특정 지역에 편중되거나 추상적인 ‘룰’에 의존한 경우가 많았다. 대표적으로 부다페스트 협약(Budapest Convention on Cybercrime)이 있지만 서명국이 45개국에 불과하고, 유럽발 사이버범죄 규제를 목적으로 해 실효성이 떨어진다는 평가다.
이에 따라 유엔과 같은 국제 협력 기구가 관여하는 공식·비공식적 협약 도입이 필요하다는 지적이 일고 있다. 사이버 범죄는 소수의 다국적 기업이 제작한 하드·소프트웨어를 기반으로 한다는 점에서 효율적인 대처가 가능하다는 분석이다.
현재 유엔이 주도하는 반 초국가범죄조약이 해킹·디도스 공격 등과 같은 중범죄를 규제하기 위해 설립돼 2012년 현재 147개 국가가 가입돼 있다. 하지만 사이버 범죄를 직접적으로 다루고 있는 국제법이 없는 등 협약 수준을 넘어 좀 더 강제성이 있는 ‘모델’이 필요하다는 의견이 나오고 있다.
이희경·김민순 기자 hjhk38@segye.com
