[단독]군장성 휴대폰, 북이 해킹하면? 일거수일투족 완전노출

중앙일보

입력

업데이트

군장성 5명 중 1명꼴로 스마트폰을 사용하는 것으로 드러났다. 문제는 스마트폰이 보안에 취약하다는 점이다. 지난해 청와대가 직원들에게 스마트폰을 지급하려던 계획을 철회한 것도 이때문이다.

그런데 국가의 안보를 책임지고 특수 정보를 다루는 군장성들은 보안위험에 무방비로 노출돼 있다. 북한이 마음만 먹으면 해킹을 할 수 있고, 장성의 휴대전화가 ‘좀비 스마트폰'으로 변할 수 있는 것이다. 군은 특별한 대비책이 없다. 국방부는 "개인에게 보안서약서를 받고 있는 것이 전부"라고 밝혔다. 군의 보안 의식이 걸음마 수준이라는 비난을 피하기 어렵게 됐다.

미래희망연대 송영선 의원은 "올해 4월 기준으로 전체 군 장성 440여 명 가운데 스마트폰 이용자는 91명"이라고 밝혔다. 각 군 별로는 공군이 47명, 육군이 37명, 해군이 7명 순이었다. 또 현역과 군무원을 통틀어 군내 스마트폰 이용자는 총 5만8600여 명으로 군 별로는 육군 3만9000여 명, 해군 1만600여 명, 공군 9000여 명이다. 송 의원은 “앞으로 군에서 스마트폰 사용자가 더 늘어날 것으로 예상돼 문제가 심각하다”고 말했다.

◇아직도 군은 재래식! 군장성이 노출되면? 영창 보낼 수도 없고

최근 좀비 PC처럼 ‘좀비 스마트폰’을 만드는 악성코드가 발견돼 보안에 비상이 걸렸다. 보안전문가들은 “좀비 스마트폰이 되면 자신도 모르는 사이에 연락처와 문자메시지·위치정보·e메일 등 중요한 정보가 빠져나갈 수 있다”고 경고한다. 또 감염된 좀비폰은 이동통신망을 통해 국방부 등 정부기관에 분산서비스 거부(DDos)공격을 할 수 있다.

스마트폰을 사용하는 군간부는 계속 늘고 있지만 군의 대비는 허술하다. 스마트폰을 구매하는 군장성이나 군무원들은 각 부대의 보안담당 부서에 제품명과 일련번호를 신고하고 보안서약서만 작성하면 된다.

보안서약서의 내용은 ‘군에서 사용하는 PC에 연결하지 않을 것’ ‘특수 정보가 담긴 자료는 저장이나 전송을 하지 않을 것’이다. 일반 휴대전화나 USB 같은 휴대 전자 기기에나 적용되는 사항이다. 무선으로 모든 데이터와 정보가 전송되는 스마트폰에는 맞지 않는 서약내용이다.

무선통신이 가능한 스마트폰은 '접속'이라는 단어 자체가 무의미하다. 접근을 허용할 것인가, 아닌가가 보안이다.

스마트폰은 위성추적이 가능하다. GPS가 내장돼 있어 장군이 가진 휴대폰을 켜는 순간부터 위치가 알려진다. 보안서약서의 내용을 충실히 지켜도 사용자 모르게 악성 앱이 설치될 수 있다. 감염된 다른 휴대전화로부터 악성코드가 포함된 링크의 문자메시지를 받을 수 있다. 그 길로 장군의 휴대폰은 남의 휴대폰이 되는 것이다.

◇ “북한에서 ‘타켓팅’ 해킹한다면 끔찍”

군 장성이 감염된 스마트폰을 소지하면 위치가 노출되는 정도에 그치지 않는다.

작전회의의 내용이 고스란히 북한에 넘어갈 수 있다. 적에게 어떤 정보가 노출되는지 알 수 없고, 알아도 대처를 못하는 상황이 되는 것이다.

스마트폰의 앱을 켜는 순간 사용자 몰래 음성 녹음 기능이 켜지고 통화나 회의 내용, 주변의 소리까지 녹음된다. 녹음된 파일은 해커에게 전송된다. 내가 통화한 내용을 내가 녹음해서 남에게 전송하는 과정을 거치게 되는 것이다.

고려대 정보보호대학원 이상진 교수는 “만약 북한에서 스마트폰을 사용하는 장성을 타겟팅해 해킹한다면 생각만 해도 끔직하다”며 “해킹 기술이 날로 고도화되고 있어 특수 정보를 다루는 공무원들은 특별한 주의가 필요하다”고 말했다. 이 교수는 “군용OS를 새로 개발하거나 특수 보안 프로그램이 깔린 스마트폰을 개발하기 전까지는 위험한 상황을 방지하는 노력부터 해야 한다”라고 말했다.

◇군부대 ‘카메라 내장 휴대폰 반입 허용’…기업은 "휴대폰 불가"-대한민국 군에 보안이 있나?

군은 2000년대 초까지만 해도 부대에 반입하는 휴대전화의 카메라 기능을 제거했다. 그런데 현재는 사유재산·인권침해 논란으로 중단됐다. 군 보안을 위협할 수 있는 카메라 달린 휴대폰을 무시로 군부대에 가져갈 수 있게 된 것이다.

외국의 폴크스바겐과 같은 민간기업은 카메라가 내장된 방문자의 휴대폰을 모두 경비실에서 맡아 둔다. 반입금지다. 삼성전자와 같은 국내기업도 마찬가지다.

국방부 관계자는 “현재는 스마트폰 사용자에게 보안서약서를 받는 것이 전부”라며 “개인의 보안의식에 의존할 수 밖에 없다”라고 말했다.

지난해 독일 정부는 아이폰과 블랙베리폰을 이용한 사이버 공격이 증가할 것이라는 판단에 따라 공무원들에게 스마트폰 금지령을 내렸다. 유럽연합위원회(EC)는 보안 문제를 들어 블랙베리 금지령을 내렸다. 아랍에미리트·인도·쿠웨이트 등도 비슷한 조치를 추진 중이다.

심영규 기자