사이버 재앙 닥치기 전에

마이클 그린
미국 CSIS 고문

북한의 사이버 위협이 처음 주목을 끈 것은 2009년 7월 이른바 분산서비스거부(DDOS) 공격이었다. 당시 한국과 미국의 정부 홈페이지는 물론 수많은 상용·공공 홈페이지가 공격을 당했다. 한국 기무사령부는 일련의 공격이 북한과 중국에 의해 ‘좀비’ 컴퓨터가 된 국내의 수많은 컴퓨터에 의해 이뤄진 것으로 결론지은 바 있다. 현재는 하루 2억5000만 회의 사이버공격이 북한에서 남한으로 이뤄지는 것으로 평가된다.

　북한이 사이버 공격에 나선 이유는 분명하다. 우선 온라인 도박을 해킹하는 것과 같은 불법행위를 통해 현금을 확보하려는 것이다. 이는 북한 노동당 39호실이 마약수출, 위조지폐 제작, 보험사기를 통해 돈을 벌고 있는 것과 유사한 행위다. 노동당 39호실은 김정일이 직접 통제하고 있으며 사이버공격도 39호실 산하의 해커집단에 의해 이뤄지고 있을 가능성이 크다. 북한의 사이버공격은 아직 성공을 거두진 못하고 있지만 한국 경제를 교란하고, 유사시 한국과 주변국들의 핵심 인프라스트럭처를 무력화하기 위한 보다 정교한 공격수단을 개발하기 위한 목적을 갖고 있다. 이런 수단을 확보할 경우 북한은 대량살상무기(WMD)를 사용함으로써 미국으로부터 대규모 보복을 당할 위험을 감수하지 않고도 한반도 긴장을 순식간에 높일 수 있는 능력을 갖추게 된다.

　중국의 사이버 위협도 크게 우려되는 상황이다. 백악관을 떠나 전략국제문제연구소(CSIS)에 몸담은 뒤 나는 중국의 사이버공격을 지속적으로 받고 있다. 예컨대 미 정부 고위 당국자를 가장해 내 의견을 묻는 정책메모 초안을 첨부한 e-메일을 자주 받는데 실은 첨부문서가 다른 내 e-메일을 도청하기 위한 ‘피싱(phishing)’ 공격 바이러스인 경우가 많은 것이다. 많은 연구소 및 비정부기구(NGO)에서 일하는 아시아 안보 및 인권 전문가들이 비슷한 일을 당하고 있다. 미 정부 전문가들은 중국 인민해방군 해커집단이 이런 공격을 하고 있다고 밝혀 왔다. 또 지난해 4월에는 18분 동안 미국의 인터넷 트래픽의 상당 부분이 차이나텔레콤 서버를 거쳐간 일도 있었다. 이 사고에 중국 정부가 개입했는지는 불분명하지만 이런 방법을 통해 중국은 중요 정보가 담긴 e-메일을 골라낼 수 있으며 장차 필요할 때 트래픽을 우회시키는 능력을 갖출 수도 있을 것이다(당시 중국을 우회한 인터넷 트래픽 가운데 상당량은 한국에서 나온 것이었다). 중국은 이른바 ‘해커 민병대’를 양성함으로써 중국 정부의 사이버 공격을 위장하거나 외부의 비난을 회피하려 시도하고 있기도 하다. 물론 중국에도 외국 또는 자국 정부를 공격하는 수많은 독립적 해커들이 존재한다. 하지만 이 모든 현상을 통해 ‘바닷속을 헤엄치는 물고기’처럼 농부들 속에 전사(戰士)들을 감추는 마오쩌둥(毛澤東)식 사이버 게릴라전 능력이 갖춰지게 되는 것이다.

　미 오바마 정부는 중국과 고위급 대화를 통해 사이버 군비 경쟁을 자제하도록 설득해 왔다. 중국 정부는 사이버 공격에 관여하고 있다는 점을 강력하게 부인하고 있지만 그들의 작전 보안 능력이 크게 떨어져 중국 정부가 사이버 공격을 시도한다는 사실은 전 세계 전문가들 사이에 널리 인정되고 있다. 이런 점들은 외교적으로 큰 과제다. 미국과 한국은 중국과 정치·경제 관계를 긍정적인 방향으로 확대해 나가길 바라고 있고 중국도 안정적인 관계 개선을 희망하고 있다. 그러나 민주국가의 정부가 중국의 지속적이고 노골적인 공격을 언제까지 감내할 수 있을 것인가.

　미국과 한국은 이미 이런 위협들을 상대하기 위한 사이버전략을 적극적으로 개발하고 있다. 양자접촉을 통해 불만을 표시하는 것으로는 효과가 없었기에 국제적 협력을 통해 중국 지도부가 사이버 공격행위에 대해 책임지도록 하는 방안이 필요할 수도 있다. 미국과 한국은 또 북한을 상대로 방어·억제 및 반격을 실행할 수 있는 보다 정교한 사이버능력을 개발해야 할 것이다. 경우에 따라서는 방어에 대한 우리의 생각을 바꿔야 할 수도 있다. 우리의 사이버 공간 전체에 대한 방어를 시도하기보다 특정 부문에 대한 방어능력을 강화할 필요가 있는 것이다. 이런 의미에서 사이버보안은 전쟁보다는 의료행위와 유사한 점이 있다. 예컨대 병원은 질병의 발생을 막지는 못하지만 의사나 간호사가 지속적으로 스스로를 세척하고 소독함으로써 환자로부터 질병이 감염되는 것을 막는 절차를 가지고 있다.

　마지막으로 집사람이 늘 내게 말하듯 각자가 자기 컴퓨터가 바이러스에 감염되지 않도록 바이러스 백신을 수시로 업데이트해야 한다.

마이클 그린 미 전략국제문제연구소(CSIS) 일본실장