‘사이버 공격’은 국가안보 영역

울진원자력발전소 중앙제어실.

최근 며칠간 우리는 놀라운 형태의 사이버테러를 목격하고 있다. 먼저 미국 소니픽처스 엔터테인먼트의 해킹 사태를 보자. 북한 김정은을 조롱한 할리우드 영화 ‘인터뷰’의 개봉을 놓고 북한은 불편한 심기를 감추지 않았다. 결국 2014년 11월 24일 오전 ‘평화의 수호자(Guardians of Peace·#GOP)’라는 해커들은 소니픽처스의 컴퓨터를 해킹해 할리우드 유명 인사들의 민감한 내용을 담은 e메일을 공개했다. 여기서 그치지 않고 해커들은 영화가 개봉되면 9·11테러를 재현할 것이라며 협박 강도를 높였고, 미국의 대형 극장 체인들이 상영을 거부하기에 이르렀다. ‘가장 자유로운 나라’라는 미국이 사이버 공격에 굴복한 것이라는 비난이 폭주했다.

21세기는 네트워크 사회다. 누구나 일상의 정보 대부분을 인터넷과 사회 기반망에 의존한다. 스마트폰을 통해 뉴스를 보고, 버스 노선을 확인하며, 내비게이션 애플리케이션(앱)에 주소를 찍고 길을 찾고, 인터넷 뱅킹을 이용한다. 미래창조과학부(미래부)와 한국인터넷진흥원(KISA) 공동조사에 따르면 대한민국의 만 3세 이상 인구 대비 인터넷 이용자 비율은 82.1%이다. 그야말로 네트워크 의존 사회의 전형적인 모습이다.

IT(정보기술) 강국이라는 강점은 고스란히 약점이기도 하다. 2008년 1080만여 명의 개인정보가 유출된 인터넷 쇼핑몰 옥션 해킹 사건을 기점으로, 2011년에는 인터넷 포털사이트 네이트에서 3500만 명의 개인정보가 유출되는 사건이 벌어졌다. 2009년 7·7 디도스(DDoS) 공격으로 청와대 등 국내 주요 웹사이트 23곳이 마비되면서, 이제 대규모 사이버테러 시대가 열렸음을 예고했다.

대형사고 이후 안전성이 개선됐을 것이라는 기대는 번번이 무너졌다. 2011년 3월 4일 국방, 은행, 인터넷 포털사이트, 공공기관 등 총 40개 웹사이트를 대상으로 디도스 공격이 발생했다. 2013년 3월 20일에는 KBS, MBC, YTN 등 주요 방송사와 신한은행, NH농협 등 금융기관에서 전산이 마비되는 사건이 일어났다. 특히 3·20 대란 당시에는 일부 ATM(현금 자동 입출금기)까지 마비되면서 국민의 실생활에 직접적인 피해가 발생하기도 했다. 충격적인 것은 이들 사이버테러를 일으킨 주체가 북한이었다는 점이다. 대한민국이 적국으로부터 사이버 공격을 당한 것이다.

정책을 바꾸라는 테러범



한국수력원자력(한수원)을 상대로 진행된 해킹과 추가 협박은 또 다른 차원에서 전혀 다른 형태의 위협이다. 한수원은 대한민국 전력 생산의 주축 가운데 하나인 원자력발전소(원전)를 담당하는 회사다. 자칭 ‘원전반대그룹’은 한수원 컴퓨터를 해킹해 원전 관련 자료를 인터넷 블로그와 트위터를 통해 공개했다. 게다가 이들은 고리원전 1, 3호기와 월성원전 2호기의 가동을 성탄절부터 3개월간 중단하라고 요구했고, 그렇지 않으면 10여만 장의 자료를 공개하고 ‘2차 파괴’를 실행하겠다며 협박에 나섰다.

이 사건에서 가장 주의할 점은 바로 해킹범의 태도다. 그간 우리나라를 대상으로 벌어진 해킹은 일방적인 혼란 조성이나 금전적 반대급부를 요구하는 방식으로 진행돼왔다. 그러나 이들은 테러 위협을 가하며 정부의 정책 변화를 요구하고 나섰다. 서구사회에서나 볼 수 있던 새로운 형태의 테러 위협이다. 더욱이 비슷한 시기 진행된 영화 ‘인터뷰’의 사이버 테러범들도 이들과 마찬가지로 특정 행동을 요구했다는 점은 심상하게 넘기기 어렵다.

사이버테러는 국민 개개인에게 미칠 수 있는 피해가 단순히 인터넷 접속이 되지 않는 상태에 그치지 않는다. 발전소나 수자원시설이 해킹당해 일부 시설이 폭발하거나 파괴된 선례가 러시아, 미국에서는 이미 발생한 바 있기 때문이다. 사이버테러로 물리적 피해가 발생할 수 있다는 뜻이다. 2010년에는 스턱스넷(Stuxnet)이라는 인터넷 바이러스가 이란 핵시설을 공격해 원심분리기를 파괴하기도 했다. 사이버테러를 활용해 한 국가의 기간산업시설에 물리적 공격을 가하는 일이 가능하다는 것은 충분히 증명된 셈이다.

테러가 낳은 파괴적인 결과는 흡사 자연재해와도 같다. 이 때문에 테러 행위에 대한 대응 역시 자연재해 피해를 긴급히 복구하는 것과 유사한 절차로 진행된다. 특히 피해가 치명적인 원자력 테러라면 2011년 일본 후쿠시마 원전 사고에서 볼 수 있듯 사고를 수습한다는 개념 자체가 성립하기 어려워진다. 방사능 누출 사태가 겹친다면 악몽은 훨씬 배가될 것이다.

이렇게 놓고 보면 한수원의 태도는 지나치게 느긋하다는 비판을 피하기 어렵다. 원전을 제어하는 시스템은 망 자체가 인터넷과 분리돼 있는 100% 독립 폐쇄망이기 때문에 해커가 원전 자체를 물리적으로 파괴하지 못할 것이라는 게 한수원의 낙관이다. 폐쇄망이라 해도 최소한 한군데는 외부와 연결고리가 없을 수 없고, USB 메모리 등 외부저장매체를 통해 바이러스가 옮겨갈 수 있다는 사실은 무시됐다. 앞서 설명한 스턱스넷 공격 사례 역시 폐쇄망 시스템을 대상으로 공격이 성공한 사례다.

원전 제어 시스템만 문제가 아니다. 지금까지 해킹범들이 공개한 자료 역시 국가의 주요 산업기밀로 관리됐어야 할 문건들이다. 한국의 전략 수출품목으로 알려진 원전기술이 통째로 전 세계로 퍼져나가게 된 현재 상황은 엄청난 국부 유출이기도 하다.

테러는 언제나 의도와 목표를 동반한다. 테러 행위의 결과는 무작위적일지 몰라도, 테러 행위의 본질은 특정 목표를 이루기 위한 전략적 행동이다. 이를 한수원 해킹에 대입하면, 이들의 의도는 핵테러를 통한 대한민국 파괴일 수 있고 금품을 갈취하기 위한 위협일 수도 있지만, 자신들이 공언하는 대로 원전 사용을 반대하는 극단적인 이념의 발로일 수도 있다.

사이버테러, 대응과 보복

2014년 12월 21일 서울 강남구 영동대로 한국수력원자력 본사 로비. 이날 이 회사 임직원들은 원자력발전소 정보 유출과 관련해 비상근무태세에 돌입했다.

그동안 세계 각국은 테러를 막고자 다양한 정책 수단을 개발해왔다. 사전에 차단하는 반(反)테러 활동이나 발생 이후에 진압하는 대(對)테러 활동이 모두 이에 포함된다. 테러 행위자나 배후에 대한 보복 공격도 넓은 의미로는 대테러 활동에 속한다. 9·11테러에 대응해 오사마 빈라덴을 지원했던 아프가니스탄을 침공한 미국의 전쟁 역시 대테러정책의 극단적 형태였다.

하지만 한수원 해킹 같은 사이버테러의 경우는 이야기가 전혀 달라진다. 공격자를 특정하기 매우 어려우므로, ‘사이버 반테러’ 혹은 ‘사이버 대테러’라는 개념 자체를 기대하기 어렵기 때문이다. 이렇게 놓고 보면 역설적으로 테러를 막는 궁극적인 방법은 한 가지뿐이다. 아무리 테러가 발생한다 해도 그로 인해 집단이나 국가 정책이 전혀 영향을 받지 않으면 된다.

이와 관련해 영화 ‘인터뷰’의 개봉 불발에 미국 정부가 어떻게 대응했는지는 좋은 참고자료가 된다. 2014년 12월 22일 이후 소니픽처스는 애초 영화 개봉 취소 입장을 바꿔 독립극장에서 상영을 허용하는 한편, 영화의 온라인 배포도 진행했다. 오바마 대통령은 해킹 주범으로 지목된 북한에 대해 테러지원국 재지정까지 검토하겠다고 말했다. 사이버테러를 활용해 영화 배급을 막으려던 해킹 세력은 의도를 이루기는커녕 오히려 영화만 전 세계적으로 홍보한 결과를 떠안은 셈이다.

한수원 해킹이 앞으로 어떤 추가 피해로 이어질지, 이 사건의 주범이 북한인지 여부는 아직 단정하기 어렵다. 그러나 한국이 이번 사태에 얼마나 성숙하게 대응하느냐에 따라 사이버테러 대비 능력은 한층 더 강화될 수 있다. 사이버테러를 막는 일은 국가안보 영역이므로, 이는 미래부나 정보보호업계가 수습해야 할 일이 아니라 청와대 국가안보실이 나서야 한다는 판단이 우선돼야 한다. 위기는 언제나 기회를 내포하기 마련이다. 이번 사건을 계기로 테러 위협에 대한 국가 차원의 대응 방침과 원칙이 명확히 자리 잡을 수 있게 하는 일은 그 출발점이 될 것이다.