이미지 크게보기

지난 7일 오후 시작된 디도스(DDoS·분산서비스거부) 공격이 온나라를 ‘소리 없는 전쟁’의 공포로 몰아넣었다. 이번 대란으로 청와대와 국회, 국방부 등 주요 정부기관이나 기업들의 웹사이트들은 속수무책으로 당해야 했다. 공격 대상을 바꾸면서 이틀 연속 이어진 1, 2차 공격에 다들 당황했으며, 예고된 3차 공격을 방어하는 데도 급급해야 했다.

10일 오후 현재까지 다행히도 4차 공격 징후는 없고 소강국면에 접어든 것으로 파악돼 이제서야 정부나 해당 기업들은 한숨을 돌리고 있다. 이 과정에서 놀라운 점은 정부나 기업의 웹사이트를 공격한 컴퓨터들이 정작 선량한 국민들 자신의 것이었다는 점이다. 보안 불감증에 빠진 결과 우리 자신의 컴퓨터가 해커의 손에 의해 ‘돌격대’로 바뀔 수 있다는 교훈을 깨닫는 계기가 됐다.

전문가들의 조언을 받아 이번 ‘7·7 디도스 사이버테러’의 배경과 과제를 알아본다.

1.신종 디도스 무엇이 다른가

디도스는 엄청난 양의 데이터를 특정 서버에 한꺼번에 보내 부하가 걸리도록 해 서비스를 못하게 하는 일종의 해킹 방식이다. 정보시스템의 데이터나 자원을 정당한 사용자가 적절한 대기 시간 내에 사용하는 것을 방해하는 행위로 주로 시스템에 과도한 부하를 일으켜 정보 시스템의 사용을 방해한다. 디도스는 표적이 된 사이트에 계속 접속할 수 있는 바이러스성 프로그램을 유포시켜 이 프로그램에 감염된 PC, 이른바 좀비PC는 표적 사이트에 반복적으로 접속하게 된다. 1차 디도스 공격에서는 25개 사이트를 공격하도록 사전에 설계된 악성코드가 각 개인의 PC에 심어진 뒤 공격이 시작된 것으로 파악됐다. 한국정보보호진흥원(KISA)측은 “애초 특정 사이트에 대한 공격 명령이 악성코드에 심어진 경우는 이번이 처음”이라고 말했다.

2.어떻게 감염됐나

디도스 공격을 유발한 악성코드는 대량의 스팸메일을 보내는 방식으로 피해를 확산시켰다. 무차별적으로 보내진 대량의 스팸메일 속에는 컴퓨터를 감염시키는 바이러스가 숨겨져 있고, 무심코 첨부파일 또는 메일을 열어봤다가 감염되는 것이다. 만약 PC에 이를 막는 보안 프로그램이 설치돼있거나, 사후에라도 보안 프로그램을 깔면 아무 문제가 없다. 그러나 이런 방식으로 감염되는 PC들은 아무 보호막이 없는, 이른바 ‘좀비PC’인 것이다. 이번 사이버테러를 통해 감염된 좀비PC는 수만대에 달한다. 이 악성코드는 좀비PC내에 숨어있다가 미리 설계된 시간이 되면 일제히 특정 사이트를 공격하는 형태로 활동에 나서는 것이다. 보통 자신의 PC가 감염되더라도 악성코드의 파일용량이 수십 킬로바이트(KB)에 불과해 이용자는 평소와 큰 차이를 느끼지 못한다.

3.예방은 어떻게

전문가들은 역시 해결방법이나 예방법 모두 개인의 보안 의식에 달려있다고 주장한다. 지금이라도 인터넷 포털 등을 통해 바이러스 백신 프로그램을 내려받아서 자신의 PC를 한번 체크하는 게 사실상 유일한 예방법일 수 있다. 특히 기업과 공공기관은 디도스 공격을 차단하기 위해 통합위협관리(UTM) 시스템 또는 침입방지시스템(IPS) 등의 네트워크 보안 솔루션을 갖추거나 시스템 처리 용량을 늘려야 한다. 개인은 로그인 계정의 패스워드를 자주 변경하고, 웹서핑 시 보안경고 창이 뜰 경우 신뢰할 수 있는 기관의 서명이 있는 프로그램만 설치에 동의해야 한다. 또 e메일 확인 시 발신인이 불분명하거나 수상한 첨부 파일이 있는 것은 모두 삭제하고 메신저 프로그램을 사용하면 메시지를 통해 URL이나 파일이 첨부돼 오면 함부로 선택하지 말고 상대가 직접 보낸 것이 맞는지 확인해야 한다.

4.역대 최대 디도스 피해는

디도스는 2000년 2월 아마존, 이베이, 야후 등 전자상거래 관련 사이트들이 사이버 공격을 받아 운영할 수 없는 사건이 발생하면서 일반인들에게 알려지기 시작했다. 2001년 7월에는 윈도2000과 윈도NT 서버를 경유해 미국 백악관의 사이트를 디도스를 공격하는 방법으로 마비시키는 웜바이러스 ‘코드레드’의 변종인 ‘코드레드Ⅱ’가 등장해 전 세계를 긴장시키기도 했다. 코드레드 바이러스는 발견된 지 보름 만에 전 세계적으로 30만대의 시스템을 감염시켰으며 원형과 변종 코드레드의 피해를 본 국내 시스템도 최소 3만여대에 이르렀다. 2003년 1월에는 디도스가 KT 전화국 DNS 서버를 공격해 공격 2시간 만에 일부 전화국 서버 접속 성공률을 10%로 하락시킨 뒤 하나로통신, 두루넷 등 다른 인터넷 서비스 공급자(ISP)들과 SK텔레콤, KTF, LG텔레콤 등 무선인터넷 사업자들의 망에도 트래픽 증가를 유발시켜 사실상 인터넷 대란이 발생했었다.

5.왜 오후 6시인가

3차에 걸쳐 진행된 디도스 사이버테러가 매일 오후 6시에 시작된 이유는 무엇일까. 업계는 오후 6시면 국내 주요 기관과 업체의 업무 시간이 끝나는 때로, 이 경우 위협이 상대적으로 작게 느껴질 수 있기 때문으로 보고 있다. 그러나 한편에선 오후 6시 이후 가정과 PC방의 PC 사용이 늘어나는 것을 근거로 이 시간대가 공격의 강도를 키우기엔 더욱 좋다. 좀비 PC가 기업용이 아니라 보안이 허술한 개인 PC와 PC방용인 경우가 많다는 것을 감안하면 오전이나 낮 시간에는 이들이 꺼져있어 강도 높은 공격이 힘들다는 것이다. 공격을 방어하는 보안팀 등의 대응도 오후 6시 이후에는 아무래도 약해질 수밖에 없는 점 역시 해커의 계산에 포함됐을 것으로 업계는 분석했다. 한편으로는 악성코드 유포 지역이 미국이라는 주장과 함께 공격 시작 시간대인 오후 6시가 미국 시간으로 하루 전날 오전 8시로서 업무 시간일 수 있다는 주장도 제기됐다.

6.좀비PC 자폭 어떻게 막나

이번 디도스 사이버테러의 특징 중 하나는 감염된 좀비PC가 자폭하도록 설계돼 있다는 것이다. 이 악성코드는 좀비PC의 하드디스크를 포맷시키고 PC 내 모든 저장정보를 자동 삭제해버린다면서 하드디스크가 사실상 마비되는 것으로 전해졌다. 실제로 10일 오전 자신의 PC가 악성코드 때문에 하드디스크가 손상됐다는 신고가 정부에 대거 접수됐다. 이 때문에 정부는 10일 이후에 PC를 켤 때는 PC를 안전모드로 부팅(PC 전원 스위치를 누른 직후 F8키를 계속 누름)한 후에 날짜를 하루 이전 등으로 변경하고, PC를 재부팅한 후 최신 백신으로 점검하고 나서 사용할 것을 권장했다. 또한 KISA가 운영하는 보호나라 홈페이지(www.boho.or.kr)를 방문하거나 안철수연구소 등의 보안업체, 각종 인터넷 포털을 통해 백신프로그램을 업데이트함으로써 감염을 예방하고 하드디스크 파괴도 막을 수 있다.

7.타깃사이트 추가공격 가능성은

이번에 디도스 사이버테러에 연이어 노출된 인터넷 사이트들은 공격을 거듭하면서 만반의 준비를 했다. 특히 네이버 같은 인터넷 포털 메일은 혼란에서 빨리 빠져나왔다. 실제로 디도스는 네이버의 메일 서비스 주소(mail.naver.com)에 공격을 가했다. 그러나 네이버는 메일 서비스 주소를 ‘mail.2.naver.com’으로 변경해서 공격을 피했다. 업체들은 예고된 공격은 충분히 방어할 수 있다는 입장이다. 그러나 문제는 1차 공격과 마찬가지로, 4차 공격이 예고없이 찾아올 경우다. 10일 오후까지 제4차 공격에 대한 특별한 징후는 아직 발견되지 않았다. 그러나 정부와 보안업계는 이번 디도스 사이버테러에 사용된 변종 악성코드가 워낙 치밀하고 복잡하게 설계됐기 때문에 언제든 새로운 공격 타깃을 설정해 제4차 공격을 단행할 수 있다면서 업체들이 경계 체제를 계속 이어가줄 것을 당부하고 있다.

8.배후가 북한인가

이번 디도스 사이버테러가 발생하자마자 국가정보원 등은 해킹 수법 등을 볼 때 북한 또는 북한을 추종하는 세력이 감행했을 것으로 추측했다. 앞서 국정원이 파악한 인터넷 프로토콜(IP) 공격을 감행한 16개국에 북한은 포함돼 있지 않지만 북한 조국평화통일위원회(조평통)의 특정 수법으로 미뤄볼 때 북한 인민군 총참모부 정찰국 산하 110호 연구소가 사이버테러를 감행한 것으로 추정된다. 우선 공격 국가가 한국과 미국 뿐이고, 국내 공격 대상이 대부분 보수단체라는 점 때문에 이 같은 추적이 나왔다. 또 지난 6월27일 우리측이 ‘사이버 스톰’ 합동훈련 참가 추진에 반발하며 “우리(북한)는 그 어떤 방식의 고도 기술전쟁에도 다 준비돼 있다. 괴뢰들이 ‘사이버 스톰’ 합동훈련에 참가하는 것은 북침 야망을 드러내는 또 하나의 용납할 수 없는 도발행위”로 규정하기도 했다. 그러나 북한이 개입됐다는 어떠한 증거도 아직 포착되지 않았던 것으로 알려졌다.

9.한국이 타깃되는 이유는

안철수 한국과학기술원(KAIST) 교수는 이번 디도스 사이버테러에 대해 “대책 없이 있다가 결국 본보기로 당하게 된 것이다. 우리 스스로 초래한 측면이 있다”고 지적했다. 미국이나 일본 같은 선진국은 10년전부터 전체 정보기술(IT) 예산의 10% 정도를 보안에 투자하고 있지만 우리나라는 1%에 불과하다는 것이다. 우리나라는 지난 1999년 CIH바이러스, 2003년 인터넷 대란에 이어 이번 디도스 사이버테러에 이르기까지 사이버테러 피해가 가장 큰 나라라는 오명을 얻게 됐지만, 여전히 별다른 대비책을 만들지 못하고 있다는 지적이 있는 것도 사실이다. 백신만 깔아놓고 검사를 하지 않거나, 아예 백신을 내려받지도 않는 등 네티즌들의 부실한 보안의식도 문제다. 특히 세계 최고 수준이라는 초고속인터넷 인프라를 갖췄다는 점이 역설적으로 사이버테러의 온상이 되고 있다는 얘기도 있다. 마이크로소프트(MS)의 ‘액티브X’ 의존도가 너무 높은 것도 좀비PC 양산에 일조하고 있다. 웹브라우저에서 소프트웨어를 PC에 바로 설치할 수 있게 해주는 액티브X는 클릭 한번으로 악성코드가 침투하게 되는 경로가 되기도 한다.

10.범인 왜 빨리 안잡히나

해커들은 보통 한국 사이트를 직접 공격하지 않고 여러 경로를 거쳐서 공격을 해온다. 예를 들어 중국의 해커가 한국의 외교통상부 홈페이지를 공격하더라도, 미국, 일본, 유럽 등을 오가다가 한국에 다시 들어오도록 프로그램을 설계하는 것이다. 더구나 가상 서버를 이용하면서 주기적으로 IP 주소까지 변경하기 때문에 단순히 확보된 IP 주소만으로 범인을 찾아내는 게 쉽지 않다. 이번 디도스 사이버테러도 마찬가지다. 국가정보원에 따르면 최근 디도스 사이버테러는 한국과 미국, 일본, 과테말라 등 16개국의 86개 IP를 통해 단행된 것으로 알려졌다. 여기에 국가 정부 기관이 보유한 기술 수준보다 해커들의 능력이 계속 앞서고 있다는 것도 범인을 못잡는 이유이기도 하있다.

김만용·이관범기자 mykim@munhwa.com