지난 4월 12일 농협의 전산장애로 창구거래 등 전체 금융업무가 마비되는 초유의 사태와 관련 이번 전산망 마비가 국내에서만 벌어지는 사태는 아니다. 씨티은행, BTC, 메릴린치, 바클레이스 등도 유수 금융기관도 해킹에 몸살을 앓고 있다.

<재난포커스 - 이정직기자(jjlee@di-focus.com)>

러시아 해커에 당한 씨티그룹

지난 2009년 12월 러시아 해커가 씨티그룹에서 수천만달러의 돈을 빼낸 것으로 알려져 미국 은행들이 보안경계에 돌입한 사건이 있었다. 당시 월스트리트저널(WSJ)은 러시아 갱단인 러시아 비즈니스 네트워크의 해커들이 씨티그룹 전산망 공격을 통해 불법적으로 수천억달러를 빼낸 혐의에 대해 미국 연방수사국(FBI)가 수사에 나섰다고 보도했다.

러시아 비즈니스 네트워크는 미국 정부 전산망에 접근하는 해킹 도구와 소트프웨어를 판매하는 집단으로 지난 2년 동안 활동이 뜸했지만 최근 그 일원들이 소규모로 다시 결집한 상태였다. 당시 공격은 북미지역 소매은행 등 씨티그룹의 은행부문을 대상으로 이루어졌으며 해커들의 씨티은행 전산망 침입 경로와 구체적인 피해액 등은 확인되지 않았다.

당시 사건에 대해 보안 전문가들은 해커들이 돈을 빼낸 사실보다 은행 전산망 내부 자료를 조작해 전산 시스템 자체를 파괴시킬 수 있음에 주목하고 있다. 특히, 한 은행을 해킹에 성공하면 다른 은행 해킹은 더 쉬워지는 것이 문제로 지적된다. 2008년에도 8명의 러시아와 동유럽 해커들이 스코틀랜드 왕립은행(RBS) 전산망에 침입해 불과 몇 시간 만에 전세계 280개 현금지급기(ATM)에서 9백만 달러를 빼낸 바 있다. RBS는 당시 자신의 계좌에서 돈이 빠져나간 고객들에게 보상을 약속했다.

FBI에 따르면 지난해 미국 내 온라인 범죄로 인한 손실액은 2억6000억 달러를 넘어섰다. 미국 은행들은 컴퓨터 해킹 사실을 밝히면 고객들이 떠날지도 모른다는 생각에 좀처럼 이를 공개하지 않기 때문이다. 실제로 씨티은행이 지난 1994년 러시아 해커의 공격으로 고객 계좌에서 1000만달러가 빠져나갔고 밝히자 다른 경쟁은행들이 씨티의 주요 고객들을 유치하기 위해 총력전을 펼친 바 있다.

해커들의 공격 계속 증가추세

그러나 해커들의 공격은 계속 증가추세에 있다. 부문별로는 금융기관에 대한 해킹 건수가 가장 늘어나 은행들이 긴장하고 있다. 미국 네트워크 전문업체인 버라이존 비즈니스에 따르면 지난 2004~2007년 사이 금융부문의 해킹 비율은 14%에 지나지 않았지만 지난해 30%로 급증했다. 이와 관련 전 백악관 사이버보안 국장 멜리사 해서웨이는 기업에 대한 온라인 공격은 ‘전염병 수준’에 이르렀다고 지적했다.

여기에 해킹 기술이 나날이 발전을 거듭하고 있어 이를 방어하는 기술이 따라가기 어려운 문제도 있다. 대표적인 것이 해킹 소프트웨어 ‘블랙 에너지’다. 블랙 에너지는 러시아가 지난해 그루지아를 침투 할 때 그루지아 정부와 은행 웹사이트들을 먹통으로 만드는데 사용된 프로그램으로 현재 전산망 침입 및 데이터 조작이 가능하도록 업그레이드 중이다.

이 같이 미국이나 영국 등 외국의 유수한 금융기관과 기업들도 해커들에게는 속수무책이다. 버라이즌 비즈니스에 따르면 2010년 미국에서 개인 정보를 해킹한 사건은 모두 760건으로 2009년 140건의 5배가 넘는다. 또 대규모 해킹 사건으로는 2008년 미국과 영국 등의 50개 대기업 고객들의 이메일 주소가 유출된 사건을 꼽을 수 있다.

전 세계 2500개 기업의 이메일 마케팅을 담당해 온 미국의 엡실론사의 전산망이 해커들에게 뚫려 JP모건체이스, 시티뱅크, 바클레이스, 유에스뱅크코프, 디즈니, 매리엇, 베스트바이, 막스앤드스펜서 등 50개 주요 기업의 고객 명단과 이메일 주소를 도난당하는 사고가 발생했다.

앞서 2007년 미국의 유명 해커 앨버트 곤잘레스 일당은 카드 결제업체 허트랜드 페이먼트를 해킹해 미국의 소매유통업체에서 쇼핑한 고객 4000여만명의 카드 계좌 1억 3000만여개의 정보를 빼내 범죄 조직 등이 운영하고 있는 세계 각지의 서버로 전송했다.

해킹으로 개인 계좌서 실제 현금 빼내는 사례도 발생

개인 계좌에서 실제 현금을 빼내는 해킹도 발생했다. 한 범죄 조직은 해커를 모집해 JP모건 등 투자은행 고객들의 계좌 비밀번호를 빼내 고객들의 계좌에서 돈을 훔쳤다. 피해액은 영국에서 950만 달러, 미국에서 300만 달러에 이르는 것으로 알려졌다. 이 같은 금융전산망 사태는 일반 금융업만 해당되는 것은 아니다. 정부기관도 예외는 아니다.

지난해 6월에는 말레이시아계 해커 린먼푸가 미국 연방준비제도이사회(FRB) 홈페이지를 해킹해 40만 건 이상의 신용카드 계좌 정보를 빼내고 네트워크 전산망에 악성코드를 심은 혐의로 기소돼 10년형을 선고받았다. 나스닥의 전산망도 지난해 해킹을 당했으나 보안검사에서 악성소프트웨어가 발견돼 피해를 막았다.

특히 외국의 경우 카드 결제 업무를 대행하던 카드시스템 솔루션스라는 회사에서 4000만개의 신용카드 고객 정보가 유출된 사례가 있으며, 인도에서도 아웃소싱업체인 엠파시스의 직원 3명이 고객의 패스워드를 훔쳐내 고객 계좌에서 돈을 인출한 사례가 보고된 바 있다.

이 같은 문제가 발생하자 미국정부와 금융당국은 해킹범죄를 매우 중한 범죄로 다루고 특히 FBI 차원에서 적극적으로 대처하고 있으며, 관련 산업계도 긴밀한 협조체제를 구축하고 있다. 또 외국의 은행감독 업무의 국가 간 협력과 국제적 기준을 마련하기 위해 구성된 바젤은행감독위원회는 이미 오래전부터 금융기관의 IT 외주를 매우 위험한 일로 규정하고 있으며, 부득이하게 외주를 줄 경우에는 소정의 절차에 따라 계획을 수립해 주의를 기울일 것을 요구하고 있다.

‘사이버 안보’ 입법 제안..의회 입법논의 지원

이같이 금융 사이버 해킹이 문제화 되자 미국 백악관은 지난 5월 12일 사이버 공격으로부터 금융기관과 전력망 등 핵심 시설을 보호하는 데 정부와 민간이 협력하는 내용 등을 골자로 한 ‘사이버 안보 입법 제안’을 발표했다.

하워드 슈미트 백악관 사이버보안 조정관은 이날 백악관 홈페이지에 발표한 백악관의 입법제안을 통해 ‘미국 시민들과 기업, 정부기관을 위한 안전하고도 믿을만한 네트워크를 구축하기 위해 정부 측 입법제안을 의회에 보낸다”고 밝혔다. 백악관의 이번 조치는 50여개의 사이버 보완 관련 의원법안이 제출돼 있는 의회에서 최종 법제화 논의를 앞두고 정부 측 입장을 반영한 제안을 해달라는 요청에 응해 이뤄졌다.

백악관이 마련해 이날 공개한 입법 제안은 대부분 민간소유의 전력망, 상수도망, 금융기관 등 주요 시설에 대한 사이버 공격에도 정부가 국가안보 차원에서 지원을 제공한다는 내용을 담고 있다. 또한 입법 제안은 민감한 개인정보가 해킹의 위험에 노출됐을 때 금융기관 등이 이런 사실을 당사자들에게 통보하도록 의무화했고, 조직범죄화 경향을 띠고 있는 해킹 범죄에 대한 처벌기준을 명확히 하도록 했다.

백악관은 해커들이 수 백만대에 이르는 연방정부 관련 시설의 컴퓨터에 대한 해킹을 시도하고 있다는 점을 상기시키면서 국토안보부에 이런 해킹 시도를 추적, 보호할 수 있는 권한을 부여했다. 백악관 측은 의회가 산업계 등과 광범위한 토론을 거쳐 연내에 사이버 안보 법안을 법제화하길 기대한다고 밝혔다. 일부 사이버 안보 전문가들은 “백악관이 민간부문에 지나치게 영합해 사이버 안보가 얼마나 시급한 문제인지에 대한 인식이 입법 제안에 반영돼 있지 않다”고 비판하기도 했다.

고객정보 해킹 범죄인 손에 넘어가면, 정보 시스템 먹통

JP모건체이스와 블랙록, 골드먼삭스, 산탄데르, 웰스파고, 체이스맨해튼은행 등은 선제적인 리스크 관리와 차별화된 보안관리 문화에 힘입어 우뚝 선 글로벌 금융회사다. 이에 반해 한때 국제금융가를 주름잡던 BTC와 메릴린치, 씨티그룹, 리먼브러더스, AIG 등은 보안관리에 소홀한 탓에 자멸하고 말았다.

이 같이 고객정보가 해킹당해 범죄인의 손에 넘어가면, 원인을 알지도 못하는 명령으로 정보 시스템이 온통 마비되는 사태가 일어난다. 내로라하는 글로벌 금융회사들도 보안관리가 얼마나 허술했는지 여실히 보여주는 사례이기도 하다. 모든 금융 비즈니스에는 위험과 기회가 항상 공존하기 때문이다.