이용석 행정안전부 디지털정부혁신실장이 17일 정부 세종청사에서 브리핑을 열고 정부업무관리시스템(온나라) 해킹 대응방안을 이야기하고 있다. [ⓒ연합뉴스]

[디지털데일리 김보민기자] 행정안전부가 공무원 업무시스템과 인증체계를 대상으로 해킹 공격이 발생한 것이 사실이라고 인정했다. 보안 대책으로는 생체인증을 제시했는데, 전문가들은 '땜질식 처방'에 그칠 수 있다고 경고한다. 이번 사태의 본질을 이해하지 못한 지엽적 대책이라는 취지다.

17일 행안부는 정부세종청사에서 브리핑을 열고 "올해 7월 중순 국가정보원을 통해 외부 인터넷 PC에서 정부원격근무시스템(G-VPN)을 통해 업무망인 온나라시스템에 접근한 정황을 확인했다"고 밝혔다. 해킹 피해를 당한 것으로 추정되는 행정전자서명(GPKI)는 650명분이다. 이 가운데 12명은 인증서 키와 비밀번호(패스워드)가 함께 유출됐다.

국정원도 별도 자료를 통해 온나라시스템을 비롯해 정부 행정망을 노린 해킹 정황을 파악했다고 설명했다. 조사에 따르면 해커는 공무원들의 GPKI와 패스워드를 확보했고, 인증체계를 분석한 뒤 합법적 사용자로 위장해 행정망에 접근했다. 이후 인증서와 국내외 인터넷프로토콜(IP)을 이용해 행안부가 재택근무를 위해 사용하는 G-VPN을 통과해 온나라시스템에 접속했다. 접속 후 열람한 구체적인 자료 내용은 조사 중에 있다.

국정원과 행안부는 이번 사태를 낳은 원인으로 '사용자 부주의'를 꼽았다. 국정원은 "정부 원격 접속시스템에 본인확인 등 인증체계가 미흡하고 온나라 시스템의 인증 로직이 노출되면서 복수기관에 접속이 가능했다"며 "각 부처 전용 서버에 대한 접근통제도 미비하다"고 부연했다. 이용석 행안부 디지털정부혁신실장은 "G-VPN도 보안장치가 있지만 정상 사용자처럼 위장하는 경우 보안 탐지 모니터링 도구(툴)에 잡히지 않을 수 있다"고 경고했다.

행안부는 향후 탈취와 복제 위험이 있는 GPKI 인증서의 보안 위협에 대응하기 위해 인증 체계를 재점검하겠다고 밝혔다. GPKI 기반의 인증 체계를 생체기반 복합 인증 수단으로 대체한다는 구상이다. 그 일환으로 모바일 공무원증을 예시로 들었다.

이 실장은 "모바일 신분증은 처음 발급받을 때 물리적 IC카드·안면인식·지문인식 등 추가 수단을 통해 취약점을 보완할 수 있다"며 "휴대전화는 본인이 휴대한다는 점에서 다른 곳에 둘 위험성도 상대적으로 적다"고 취지를 설명했다. 이어 "기존 GPKI보다는 모바일 신분증이 더 강화된 보안 수단"이라며 "안전한 모바일 인증체계로 전환할 계획"이라고 덧붙였다.

보안업계와 전문가들은 이번 사태에 대해 모바일 공무원증 등 생체인증을 언급한 것에 의아한 목소리를 내고 있다. 보안기업 관계자는 "전자정부시스템에 생체정보 시스템을 구축하려면 생체정보를 중앙집중 형태로 다 모으는 작업이 필요하다"고 말했다. 그러면서 "새로운 데이터셋을 만들어야 한다는 의미인데 해당 영역이 또 침해된다면 그때는 어떻게 할 것인가"라며 "다중요소(멀티팩터) 등 고려해야 할 요소도 많을 것"이라고 예상했다.

온나라시스템뿐만 아니라 정부 및 공공기관을 겨냥한 공격이 거세진 만큼, 전수조사 형태의 후속작업이 필요하다는 의견도 제기된다. 보안사고가 발생한 민간기업과 마찬가지로 공공 사고에 대해서도 높은 난도의 조사가 필요하다는 것이다. 김승주 고려대 정보보호대학원 교수는 "국가사이버위기관리단을 통해서 전체 전수조사를 하고 프랙 보고서에서 논의된 것 외에 다른 백도어가 존재하는지까지 확인해야 한다"며 "(이러한 작업이 있어야) 대책이 나올 수 있을 것"이라고 제언했다.

한편 국정원은 7월 침해 사실을 이미 인지했다며, 8월 공개된 프랙 보고서보다 늦게 대응했다는 일부 지적이 잘못됐다고 시사했다. 다만 보안체계가 고도화될 필요성에는 공감했다. 국정원은 이날 자료에서도 "현 보안관제시스템으로는 정상적인 경로로 은밀히 진행되는 해킹 징후를 포착하는 데 어려움이 있다"며 "사각지대를 모니터링할 수 있도록 탐지체계를 고도화할 계획"이라고 말했다.