각국의 웹사이트에 사용되는 프로그래밍 언어 ‘PHP’에 치명적인 보안 결함이 발견돼 각국이 대응에 나서고 있다. 위 이미지는 해킹 상황을 연출한 일러스트./로이터=뉴스1



금융회사와 정부기관, 학교 등 사회 주요 시설을 겨냥한 사이버 공격 위협이 전방위로 확산하고 있다. 갈수록 대형화·지능화하는 해킹 공격을 막으려면 정부가 실질적 권한을 갖춘 국가 컨트롤타워 구축을 더욱 서둘러야 한다. 이달 초 다수의 시중은행에서 외부 해킹으로 고객 정보가 빠져나간 것으로 파악된 데 이어, 22일에는 사립대에서 1만여 명의 개인정보가 유출된 사실이 알려졌다. 이튿날에는 국내 항공사들의 예약·발권 시스템 운영사에서 고객 정보가 새어나간 것으로 확인됐다. 사회 핵심 영역 곳곳에서 해킹 피해가 번지고 있는 것이다.

여기에 대규모 사이버 공격 우려까지 불거졌다. 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 보안 취약점이 드러난 것이다. 별도의 로그인이나 인증 절차 없이도 외부에서 서버를 장악당할 수 있어 우려가 크다. 과학기술정보통신부와 한국인터넷진흥원은 22일 민간 분야의 사이버 위기 경보를 '주의'로 격상하고 기업들에 보안 수칙을 안내했다. 그러나 24일에는 또 다른 공격 준비 정황이 드러났다. 익명 네트워크에서 한국어를 쓰는 공격자들이 PHP 취약점을 악용한 공격을 모의한 흔적이 발견된 것이다. 북한이 배후인 라자루스 그룹과 연계된 세력의 소행일 가능성도 나온다. 직접적 연관성은 아직 확인되지 않았지만, 공격 주체가 누구든 국가 주요 시설을 겨냥한 사이버 위협에 경계를 늦춰서는 안 된다.



문제는 사이버 공격이 갈수록 정교해지는데, 국가의 보안 대응은 이를 따라가지 못한다는 점이다. 최근 국정감사에선 카메라와 GPS를 탑재한 중국 전기차가 별다른 제지 없이 군사시설에 진입한 사실이 공개됐다. 차량을 통한 군사정보 유출 우려가 제기된 가운데, 군의 보안 검증과 출입 통제가 도마 위에 올랐다. 보안 관리의 사각지대가 기존 소프트웨어 시스템을 넘어 자동차 등 첨단기기로까지 넓어지고 있는 셈이다.

그런데도 정부의 대응 체계는 여전히 부처별로 나뉘어 있다. 23일 국정감사에선 PHP 사태와 관련해 인터넷진흥원이 취약한 서버의 현황이나 보안 패치의 설치 완료율조차 파악하지 못한다는 사실이 드러났다. 규정상 직접 서버를 점검할 권한이 없기 때문이다. 미국·일본·중국 등 주요국이 시스템의 오프라인 전환이나 접속 차단까지 권고하며 더 빠르게 움직인 반면 우리 정부 대응은 안일했다는 질타도 나왔다.

배경훈 부총리는 현행 국가안보실 중심의 대응을 넘어 "범부처 차원의 종합대책과 관련 조직 개편을 검토하고 있다"고 밝혔다. 정부가 뒤늦게나마 구조적 문제를 인식한 것은 다행이다. 그러나 조직의 간판만 바꿔서는 피해를 막을 수 없다. 무엇보다 취약 시스템의 선제적 점검부터 신속한 보호 조치까지 책임질 수 있도록 법적 권한과 집행력을 갖춘 컨트롤 타워를 구축하는 것이 급선무다. 이를 통해 금융·국방·민간 등으로 나뉜 대응 체계의 칸막이부터 허물고, 위협 정보의 공유와 사고 대응을 일원화해야 한다. 사이버 공격에는 경계가 없다. 국가의 대응에도 경계선이 있어서는 안 된다.