2000년 전세계 시큐리티 부문 기사 탑 10

중앙일보

입력

2000년에 발생한 해킹으로 인해 일반 이용자들이 네트의 아킬레스 건으로 부각됨에 따라, 그 동안 굳게 닫혀있던 인터넷 시큐리티의 문이 비교적 많이 열리게 됐다.

2000년에는 인터넷에서 시큐리티가 그 무엇보다도 우선시 됐지만, 그렇다고 어떤 선견지명이 있었기 때문은 아니다.

1999년에는 두 바이러스, 즉 멜리사와 CIH가 인터넷을 뒤흔들었다. 올해는 데이터베이스 절도 행위가 성행했다. 소스를 위장시키는 방식의 분산형 공격으로 인해 전자상거래 사이트들은 데이터의 홍수 속에 빠져 허우적거렸고, 사상 처음이라 할 수 있는 미디어 해킹이 온라인을 공격하기도 했다.

그 밖에도 이스라엘과 팔레스타인간의 불화에 대한 대응으로 자행된 사이트 훼손 등 네트워크 시큐리티 관리자들에게 있어 2000년은 악몽과도 같은 한 해가 됐다.

1. 10위 : 투명 바이러스
2. 9위 : 인터넷으로 확산된 전쟁
3. 8위 : 플러그 앤 플레이 바이러스
4. 7위 : 사이버 범죄를 막기 위한 새 법률 마련
5. 6위 : 온라인 개인정보 유출
6. 5위 : 굉장했던 미디어 해킹
7. 4위 : 이런! 패치를 설치하지 않았잖아!
8. 3위 : 필리핀에서 온, 사랑이 가득 담긴 메일
9. 2위 : 큰 일 났어요. 접속자 수가 100억 명이나 되요
10. 1위 : 아킬레스건이 되고 있는 일반 이용자들

10위 : 투명 바이러스
투명 바이러스를 경험한 사람이 그리 많은 것은 아니다. 하지만 시큐리티 소프트웨어 공급사인 소포스 안티바이러스(Sophos Anti-Virus)사에 따르면, VBS/Kakworm으로 알려진 컴퓨터 바이러스는 1년이 넘는 기간 동안 맹위를 떨치고 있으며, 러브레터(LoveLetter) 바이러스 때보다 더 많은 기술 지원 요청이 있었다고 한다.

영국회사인 애빙던(Abingdon)의 수석 기술 컨설턴트인 그레이험 클룰리는 지난 11월말에 있었던 성명에서 "러브 버그는 잠깐 반짝하고 사라진 유성에 불과하다. 많은 소란과 소음이 있긴 했지만 그 기간은 비교적 짧았다"고 말하며 "반면 Kakworm은 눈에 띄지 않게 서서히 그 범위를 넓혀갔다"고 설명했다.

Kakworm 버그는 마이크로소프트사의 인터넷 익스플로러, 아웃룩, 아웃룩 익스프레스 등의 취약점을 찾아내는 방식으로 컴퓨터를 감염시키는데, 아웃룩 익스프레스가 설치돼 있는 컴퓨터를 통해서만 확산된다. 이것은 이용자가 Kakworm이 들어있는 e-메일 메시지를 열어 확인하는 순간 스스로를 해당 컴퓨터에 복사한다.

이 바이러스는 감염된 컴퓨터가 매월 1일 오후 5시 이후에 작동에 들어가는 순간, 시스템을 다운시키기 전에 "Kagou Anti-Kro$oft가 오늘은 안된다고 했잖아!(Kagou Anti-Kro$oft says not today!)"라는 메시지가 든 대화상자를 보여준다.

올 11월까지 소포스로 걸려온 전화 내용 가운데 17.0%가 Kakworm에 대한 것이었으며, 러브레터에 관한 통화는 14.5%였다.

역시 안티바이러스 소프트웨어 제조사인 트렌드 마이크로(Trend Micro)사는 올해 상당 기간 동안 Kakworm을 전세계 탑 10 바이러스 가운데 하나로 보았다. 이 버그는 조사 마감 이전 30일 기간 동안 감염시킨 컴퓨터 수에 있어 6위를 차지했다.

9위 : 인터넷으로 확산된 전쟁
이스라엘과 팔레스타인간 상호 적대감이 웨스트 뱅크에서 점차 고조돼 가고 있는 가운데, 또 다른 형태, 즉 해킹이 인터넷에 모습을 드러내기도 했다.

지난 11월 6일에 친(親) 팔레스타인 파괴주의자들이 미국 이스라엘 공무위원회(American Israeli Public Affairs Committee)의 웹 사이트에 침입해 이스라엘 지지자 700명에 대한 기록을 훔쳐내고 사이트를 훼손했다.

훼손 조사 사이트인 Attrition.org에 따르면 팔레스타인을 지지하고 있다고 주장한 파괴주의자들의 공격을 받은 이스라엘 산하 사이트의 수는 50개가 넘었다고 한다. 이스라엘 지지를 주장한 파괴주의자들의 공격을 받은 팔레스타인 관련 사이트의 수는 밝혀지지 않았다.

익사닷넷(ICSA.net)에서 지금은 투루시큐어(TruSecure)로 이름이 바뀐 시큐리티 서비스 공급사의 수석 분석가인 폴 로벗슨은 지난 11월에 있었던 인터뷰에서 "인터넷에서도 실세계와 다를 바 없는 테러리스트들의 테러가 일어나고 있다"며 "현재 가장 큰 문제는 앞으로 우리가 그러한 행위에 대해 어떤 식으로 대처할 것인가"라고 강조했다.

해커들은 실세계 테러리스트들과는 달리 목숨을 걸지 않아도 된다. CNN의 12월 18일자 보도 내용에 따르면 이스라엘과 팔레스타인간의 12주간 분쟁으로 인해 모두 363명, 즉 팔레인스타인 312명, 이스라엘 거주 유태인 38명, 이스라엘 거주 아랍인 13명이 사망했다고 한다.

8위 : 플러그 앤 플레이 바이러스
온라인 세계의 기술이 꾸준히 진보되고 있는 것과 마찬가지로 컴퓨터 바이러스 역시 진보하고 있다.

2000년에 프로그래밍 기술이 정점에 도달한 결과로 나타난 것이 하이브리스(Hubris) 바이러스로, 이것은 스와핑이 가능한 32개의 모듈을 이용해 확산 방식, 행동, 특징을 비롯한 기능들을 수정하고 추가할 수 있다. 각각의 모듈은 현재 업계에서 강세를 보이고 있는 인크립션을 이용해 그 코드를 눈에 띄지 않게 감춘다.

캐스퍼스키 연구소(Kaspersky Lab)의 바이러스 거장 유진 캐스퍼스키는 "하이브리스 바이러스는 바이러스 역사상 가장 복잡하고도 가장 섬세한 코드"라고 말하는 반면, 그것을 기술이 낳은 프랑케슈타인으로 보는 전문가도 있다.

"지금까지 비록 성공은 못했지만 기술적으로는 훌륭한 바이러스도 있었고, 성공했지만 기술상 형편없는 바이러스도 있었다"고, 네트워크 어쏘시에이츠(Network Associates)사의 안티바이러스 긴급 대처 팀의 팀장 빈센트 걸로토는 말한다.

그는 "멜리사처럼 엄청난 결과를 몰고 온 바이러스와 실패한 바이러스를 차별화하는 것은 기술 자체가 아니라 사회적 상황"이라고 강조한다.

멜리사 바이러스는 계속 새로운 형태로 달라지고 있다. 다소 속도가 느리고 많은 해를 끼치는 것은 아니지만 인터넷에서 계속 확산중이다. 이에 따라 다수의 안티바이러스 소프트웨어 제조사들은 올해 말 멜리사 바이러스의 위험성을 상향 조정했다.

7위 : 사이버 범죄를 막기 위한 새 법률 마련
법률 집행 기관들은 자신들이 사이버 범죄를 조사하는 데 있어 보다 많은 권한을 부여받을 수 있는 법률을 마련해야 한다고 강력히 촉구했다. 그리고 현행법을 사이버 공간에서 발생 가능한 모든 범죄에 적용할 수 있게 확대할 수 있는 방안을 살펴보기도 했다.

지난 2월 DDoS(distributed denial of service attack; 서비스 거부 분산형) 공격이 발생한 이후, FBI와 미 인프라스트럭처 보호 센터(National Infrastructure Protection Center)는 범행 조사와 기소에 보다 광범위한 위력을 갖춘 법률을 제정해야 한다고 입법부에 촉구했다.

그럴만한 필요성이 있다. 기술 정책의 씽크탱크라 할 수 있는 맥코넬 인터내셔널(McConnell International)이 12월에 내놓은 보고서에 따르면 52개 국가를 대상으로 조사한 결과, 그 중 33개국은 데이터 절도에서부터 네트워크 방해에 이르는, 그리고 분산에서부터 컴퓨터 관련 위조에 이르는 광범위한 컴퓨터 관련 범죄에 대처할 수 있도록 아직까지 자국 법을 개정하지 못한 상태로 나타났다.

맥코넬 인터내셔널의 사장 브루스 W. 맥코넬은 11월에 발표된 성명서에서 "지금으로선 기업이나 단체들이 자구적인 방어책에 의존할 수밖에 없다"고 밝혔다.

정부와 업계, 그리고 시민 사회는 서로 힘을 합해 사이버 공간의 범죄 방지를 위한, 일관성 있고 실행 가능한 법률을 마련해야 할 것이다.

10개 국가가 10가지 주요 사이버 범죄 부분 가운데 다섯 개 이하에 대처 가능한 법률을 마련한 상태였던 반면, 여섯 개 이상의 사이버 범죄 유형에 대해 대처할 수 있는 준비를 갖췄다고 답한 국가는 9개국에 불과했다.

미국의 법률은 10가지 유형의 범죄 가운데 아홉 가지에 대처 가능한 반면, 10가지 유형 모두를 커버할 수 있는 국가는 러브레터 바이러스의 원산지라 할 수 있는 필리핀뿐이었다.

6위 : 온라인 개인정보 유출
자사 고객들의 개인정보 보호에 철저해야 할 것이라는 경고 메시지에도 불구하고 기업들은 이전보다 훨씬 많은 개인정보를 유출시키고 말았다.

2000년에 처음 발생한 것은 18세의 러시아인으로 자처한 사람이 온라인 음악 판매사인 CD 유니버스(CD Universe)에 해킹해 들어가 고객 기록을 훔친 일이었다.

이 사람은 CD 유니버스사가 10만 달러를 달라고 하는 자신의 요구를 거절하자, 이 회사 고객들의 신용카드 번호를 온라인에 게재했다. 해당 파일 중에서 인터넷에 게재된 신용카드 번호는 2만 5000개에 불과했지만, 핸들 맥서스로 불리우는 이 사람은 30만 개의 신용카드 번호를 더 확보하고 있다고 주장했다.

지난 9월에도 비슷한 일이 있었는데, 웨스턴 유니언(Western Union)이 머니잽(MoneyZap) 서비스를 출범한 이후 1만 5700개의 신용카드 번호를 도난당했다. 이 회사의 모기업인 퍼스트 데이터(First Data)사는 현재 전세계의 75%를 상대로 전자펀드 전송 보안에 사용되는 금융 서비스 백본 가운데 상당 부분을 제공하고 있으며, 전세계의 1400개 금융기관과 3억 4300만 명의 고객들에게 카드 발행 서비스를 제공하고 있다.

12월 초에는 러시아인으로 판단되는 사이버 도둑이 소규모 인터넷 업체들을 대신해 신용카드를 처리해주고 있는 CreditCards.com에서 5만 5000개의 신용카드 정보를 훔쳐냈다. 그로부터 이틀 후 워싱턴 대학병원의 데이터베이스가 공격을 받아, 거의 5000명이나 되는 환자들의 병력과 사회보장 번호를 비롯한 의료기록이 도난당하는 일도 발생했다.

마이크로소프트사의 후원으로 12월에 열렸던 시큐리티 및 프라이버시 심포지엄에서 클린턴 정부의 고위 공직자는 "법정 소송이 일어날 만큼 무르익은 상황"이라고 말했다.

그는 "기업들은 그러한 정보 누출에 대한 책임이 자신들에게 있다는 것을 깨달아야 할 것"이라며 "앞으로 2년쯤 후에 모종의 대형 법정소송이 일어나게 되면 비로소 그것을 깨닫게 될 것"이라고 경고했다.

5위 : 굉장했던 미디어 해킹
사상 최초의 대대적인 미디어 해킹이 지난 8월 있었다. 뉴스 서비스인 인터넷 와이어(Internet Wire)를 통해 보급된 오보 내용은 네트워크 장비 제조사인 에뮬렉스(Emulex)사가 자사 수익을 정정하고 CEO를 해고할 것이라는 것이었다. 이처럼 날조된 뉴스 때문에 이 회사의 주가는 주당 거의 70달러 떨어진 40달러로까지 폭락했다. 다행히 주가는 다음 거래일에 이전 상태로 돌아갔다.

FBI는 이전에 인터넷 와이어에서 일한 경력이 있는 마크 시메온 제이콥이라고 하는 23세의 대학생을 긴급 체포했다. 검찰은 이 대학생이 에뮬렉스사의 주가 변동을 이용해 거의 25만 달러를 벌어들인 것으로 추정하고 있다. 10월에 제이콥 측은 증권 위조에 대해 무죄를 주장했으나, 42만 8000달러가 들어있던 그의 거래계좌는 사용 중지됐다.

4위 : 이런! 패치를 설치하지 않았잖아!
랙스 시스템의 관리자들은 올해 엄청난 불행을 자초했다.

2000년에 스크립트 악동들은 두 가지 결함 덕으로 활동을 계속할 수 있었다. 마이크로소프트사의 IIS(Internet Information Services) 소프트웨어에 들어있는 원격 데이터 서비스(RDS)가 갖고 있는 허점을 이용해 해커들은 웹 페이지를 임의로 수정할 수 있었다. 또한 해킹 의도를 지닌 사람들은 유닉스와 리눅스용으로 인기 높은 파일 전송 프로토콜 서버인 wu-FTP가 지니고 있는 허점을 이용, 루트 액세스 권한을 얻을 수 있었다.

마이크로소프트사의 IIS는 RDS의 취약점으로 인해 시큐리티 사이트인 Attrition.org에서 운영하는 사이트 훼손 리스트에서 1위를 차지했다. 1999년에도 이 리스트에서 1위를 차지한 바 있다.

wu-FTP 서버 취약점으로 인한 아파치/리눅스의 훼손 건수는 2000년 8월부터 10월까지 1위를 차지했다. 그렇다고 해당 소프트웨어 벤더들-리눅스의 경우에는 공개 소프트웨어 공동체-을 비난할 수는 없다. 양쪽 모두 그러한 결함을 해결하기 위해 패치를 내놓았기 때문이다.

마이크로소프트사는 1998년 7월에 처음으로 RDS 결함에 대해 게시한 바 있고, 그 후 1년에 한 번씩 새로운 내용을 게시하고 있다. 마이크로소프트사의 시큐리티 대응 센터(Security Response Center)의 책임자 스티브 립너는 "그렇다고 시스템 관리자들의 직무 태만 때문에 생긴 문제로만 치부할 수는 없다"며 "이에 대한 인식이 증가되고 패치를 보다 쉽게 만드는 일이 병행돼야 한다"고 해결방법을 설명했다.

마이크로소프트사는 자동화된 업데이트를 개발할 계획이다.

3위 : 필리핀에서 온, 사랑이 가득 담긴 메일
1년 전에 등장한 멜리사 바이러스 가운데 상당 부분을 모방한 신종 바이러스가 e-메일을 감염시키면서 기업과 그룹 이용자들을 공포로 몰아 넣었다. ILOVEYOU 바이러스, 혹은 러브 바이러스로도 알려져 있는 러브레터 바이러스는 기업들을 e-메일의 홍수 속으로 밀어 넣음으로써 너무나도 많은 파일과 혼란을 뒤에 남겼다.

1년 전에 등장한 멜리사 바이러스에서 얻은 경험 덕분에 대부분의 기업은 빠른 시간 안에 러브레터 바이러스를 통제할 수 있었다. 그리고 FBI는 도움을 받아 필리핀의 마닐라 교외 지역까지 추적, 러브레터 바이러스를 만든 오넬드 거즈맨이라고 하는 22세의 컴퓨터 공학 전공 학생을 찾아낼 수 있었다.

필리핀은 당시 그 같은 범죄에 대응할만한 법률이 마련돼 있지 않은 상태라, 이 용의자에게 신용카드 위조죄를 적용할 생각이었다. 그렇지만 이 섬나라 국가는 여름이 다 가기 전에 법률 개정을 단행했다. 맥코넬 인터내셔널의 조사에 따르면 필리핀은 10가지 주요 사이버 범죄 모두에 대처할 수 있는 유일한 국가가 됐다고 한다.

2위 : 큰 일 났어요. 접속자 수가 100억 명이나 되요
지난 2월, 전자상거래 사이트들이 때 아닌 봉변을 당했다. 2월 7일 야후!가 공격을 받은 것으로 시작해 대형 인터넷 사이트들이 공격 대상이 돼 엄청난 데이터가 서버에 유입되면서 속도가 떨어지는 경험을 한 것. 그 주가 끝날 무렵에는 CNN, eBay, ZDNet 등 여덟 개의 대형 사이트가 짧게는 몇 시간에서부터 길게는 하루 종일 트래픽 속도가 떨어지는 것을 경험해야 했다.

이처럼 좋지 않은 조짐이 몇 차례 있은 후 4월, 캐나다 경찰청(Royal Canadian Mounted Police)과 FBI는 온라인에서 "마피아 보이"라는 이름으로 활동하면서 CNN.com을 공격한 혐의로 몬트리올 지역에 살고 있는 15세 소년을 체포했다. 관련 당국은 이후에 이 소년에게 2월에 있었던 다른 사이트 공격에 대한 혐의도 추가 적용했다.

이런 일련의 사건들은 인터넷과 전자상거래 사이트들이 계속 개인 해커들의 공격에 취약한 상태임을 부각시켜 줬다. 이러한 DDoS 공격은 수백만 달러의 손실을 초래했다고 몇몇 소식통은 전한다.

정보 공유에 대한 요구가 늘고 있는 반면, 그러한 공격에서 얻은 것은 거의 없는 상태라고, 퍼듀 대학의 컴퓨터 공학 교수인 유진 스패포드는 말하며 "지금도 여전히 수많은 도전이 이뤄지고 있는 상황"이라고 경고한다.

1위 : 아킬레스건이 되고 있는 일반 이용자들
인터넷은 가히 신화적이라 할 수 있는 속도로 급성장하고 있지만, 대부분의 사람은 일반 이용자들이 신화 속에 등장하는 아킬레스건과 같은 구실을 하게 될 것이라는 것은 예상치 못했다.

하지만 2000년에 바로 그런 일이 일어났다.

시큐리티 전문가들은 DoS(denial-of-service; 서비스 거부) 공격이 발생할 때부터 일반 가정의 PC가 인터넷 인프라스트럭처에 있어 주된 취약점이 되고 있다고 본다.

일반 이용자들은 정기적으로 e-메일 첨부파일을 클릭하는데, 그런 첨부파일이 컴퓨터 버그나 바이러스일 가능성이 큰 경우에도 예외는 아니다. 일반 이용자들의 공유 디스크 드라이브는 네트에 활짝 열려 있는 상태라고 할 수 있다. 해커들은 또한 이러한 개인 사용자의 컴퓨터를 장악함으로써 다른 서버를 훼손하기 위한 발판으로 활용하고 있는 것이다.

2월에 있었던 DoS 공격들은 주로 학계와 소규모 사업장의 컴퓨터를 발판으로 해 이뤄지긴 했지만, 일반 이용자들도 이에 한 몫 했다.

마이크로소프트사의 시큐리티 대응 센터의 책임자 스티브 립너는 "일반 이용자들은 시큐리티 전문가가 되고 싶은 생각이 없을 것이다. 그리고 모든 이용자가 끊임없이 시큐리티에 신경써야 하는 상황을 바라는 사람도 없다"고 말하며 "2년 전과 비교했을 때 일반 이용자들은 점차 많은 것을 배워가고 있는 상황"이라고 전했다. @