<일요초대석> 오희국 한국정보보호학회장 '보안을 말하다'

“정보유출 대란, 이상하죠? 심각한데 국민들은 침착하니…”

[일요시사=경제2팀] "보안의 시작은 어떤 것도 신뢰하지 않는 것이다.”
오희국 한국정보보호학회 신임 회장(한양대 교수)이 보안의 출발점에 대해 말했다. 오 회장은 "아무것도 믿을 수 없는 환경에서 검증을 통해 신뢰할 수 있는 상태로 만들어가는 것"이라며 "결국 보안은 신뢰를 향해 가는 것"이라고 강조했다.

최근 KB국민, 롯데, NH농협 카드3사, KT, 티몬, CJ대한통운 등 고객정보 유출 사건이 줄줄이 터졌다. 이번에는 카드3사에서 유출된 개인정보가 대출 중개업자에게 추가로 팔린 사실이 드러났다. 2차로 판매된 개인정보는 1억 건에 육박한다.

"이번 개인정보유출 사태는 20년 만의 대형 붕괴 사건입니다. 과거 1994년 성수대교, 1995년 삼풍백화점이 무너졌던 만큼 심각한 상황이라는 이야기죠. 그런데 국민들의 반응이 의외로 침착합니다. 다들 체념했기 때문이죠."

오희국 한국정보보호학회 회장이 연이어 터지는 기업들의 정보유출에 대한 국민들의 반응에 씁쓸해했다. 오 회장도 개인정보 유출 사태를 피해갈 수 없었다. 그는 "국민카드, 롯데카드 확인해보니 나도 털렸다"며 "안 쓴 지 10년이 넘은 카드사 정보도 털렸다"고 웃었다. 안산의 한양대 캠퍼스 연구실에서 오희국 한국정보보호학회 신임 회장을 만나 정보유출 사태에 대한 이야기를 들어봤다. 다음은 오 회장과의 일문일답.

- 최근 카드3사 정보가 또다시 유출됐다.

▲ 우선 카드3사 1차 고객정보유출 당시 금융당국의 안이한 대책에 있다. 1차 고객정보 유출 사태 후 금융당국은 유출된 정보를 '회수'했다며 국민들에게 안심하라고 했다. 유출정보를 '회수'했다니, 정말 말도 안 되는 표현이다. 어떻게 디지털 정보를 '회수했다'고 말할 수 있는가.


우리 학회에서 정말 경악했다. 디지털 정보는 결코 회수할 수 없는 정보이기 때문이다. 어떤 것이 원본인지 복사본인지 구분할 수 없다. 디지털 정보의 속성조차 모르는 금융당국의 태도에 2차 정보유출사태는 예상할 수밖에 없는 결과였다.

- 금융사들은 오히려 억울하다는 입장인데.

▲ 이번 사태는 어떤 고급기술을 가진 뛰어난 해커들에 의해 유출된 것이 아니다. 보안은 사슬과 같다. 모든 것이 단단해도 하나만 터져도 보안은 붕괴된다. 그런데 금융사들은 사용자의 개인정보를 소중하게 생각하지 않았다. 철저한 감시는커녕 USB 통제도 허술했고, 고객정보에 대한 원본데이터도 덥석 외주업체에 넘겨줬다. 그만큼 내부통제가 허술하다보니 보안망이 쉽게 뚫린 것이다. 명백한 인재다.

- 인증수단은 적절한가. 해커들의 개인정보 수집 가치를 떨어뜨릴 수 있는 방안이 있다면.

▲ 주민등록번호를 대체할 수 있는 식별 번호가 필요하다. 애초부터 주민등록번호가 인증수단이 되는 것이 적절하지 않다고 본다. 주민등록번호 자체는 한 사람에게 부여하는 고유의 ID로서의 기능만 해야 한다. 쉽게 바꿀 수 있는 카드 번호나 비밀번호와 달리 주민번호는 바꾸기 어렵다. 불변의 정보다. 그런데 외국과 달리 우리나라는 주민번호를 요구하는 곳이 너무 많다.

비밀스러워야 하고 다른 사람이 알아서는 안 되는 정보가 너무 쉽게 이용되는 셈이다. 이미 주민등록번호는 많은 곳에 퍼져있다. 또한 불행하게도 주민등록번호 안에는 개인의 많은 정보가 담겨있다. 주민번호만 알아도 그 사람에 대한 정보가 나온다. 생년월일, 지역, 성별까지 알 수 있다. 그래서 찝찝한 거다. 식별 가능한 정보들을 암호화해서, 나중에 누군가 빼가더라도 알아볼 수 없게 만들어야 한다.

- 비용이 너무 많이 들 것 같다. 다른 방법은 없나.


▲ 비용이 들더라도 암호화해서 저장하는 방식을 추천할 수밖에 없다. 가장 강력한 인증수단은 지문인식이나 홍채인식이다. 그런데 너무 강력해도 문제다. 지문인식, 홍채인식은 한번 노출되면 바꿀 수 없기 때문이다. 추천할 만한 방식은 아니다. 노출이 되더라도 쉽게 바꿀 수 있는 인증체계를 도입해야 한다.

- 외국은 어떻게 관리하나.

▲ 미국의 경우 주민번호를 인증수단으로 요구하지는 않는다. 미국은 소셜시큐리티넘버(SSN)로 인증을 하기도 하지만 인터넷에서 인증을 요구하지는 않았다. 회사자체에 인증 수단을 갖춰놓았다. 따라서 어떤 은행에서 고객정보 유출사태가 터졌다 해도 해당 은행 거래자의 정보만 유출된다. 그런데 우리나라의 경우 대부분 주민번호를 인증수단으로 쓰다 보니 한번 터지면 다 같이 터지는 것이다.

주민번호 자체가 개인정보…단순 ID화 절실
"정보 회수했으니 안심? 이미 엎질러진 물"

- 해커들은 주로 어디를 노리나.

▲ 역시 금융사다. 돈이 관련된 은행, 카드사 등의 금융사 정보가 가장 효용가치가 높다. 금융사 고객의 정보는 마케팅에 쓸 수 있는 정보들이 많이 담겨있기 때문이다. 특히 은행과 카드사의 고객정보는 그 사람의 재정 상태까지 알 수 있어 이용가치가 높다. 금융사의 고객 신용정보를 통해 어떤 사람이 대출받을 만한 상황인지 파악이 된다. 해커들 입장에서도 팔아넘기기 굉장히 좋은 정보다.

- 그렇다면 소규모 사이트의 보안은.

▲ 쇼핑몰 등 작은 업체들의 보안 상태는 너무나 취약하다. 보안에 신경 쓸 여력도 없고 거의 뚫려있다고 보면 된다. 웹하드 업체를 조사한 적 있는데 이곳 보안도 굉장히 취약한 것으로 보였다. 밝혀지지 않았을 뿐 이미 많은 정보들이 유출됐을 것이다. 다만 업체 규모가 워낙 작다보니 고객정보 양이 많지 않고, 금융사처럼 재정 상태에 대한 정보가 없어 해커들에게 매력적인 곳은 아니다. 털어봐야 별 게 없기 때문이다.

- IT투자 현황 등 국내 보안의식은.

▲ 보안은 지속적으로 투자가 이뤄져야 하는 분야다. 보안은 보초와 같다. 따라서 보안투자는 국방비의 개념이다. 하지만 기업들은 보안이 이익창출에 직접적인 영향을 주지 않는다고 보안투자를 말 그대로 나가는 돈이라고만 생각하고 있다. 그런데 이번 사태를 보면 보안을 못해서 잃는 손실이 너무 많지 않은가. 지난 2011년 농협에서 고객정보를 유출했다.

이후 금융사들이 부랴부랴 보안투자를 잠깐 늘린 적이 있다. 그러다 1년쯤 지나면서 조용해지니까 금융사들이 또다시 보안을 방치하기 시작한 것이다. 보안투자를 동결하거나 더 줄였다. 특히 이번에 고객정보를 유출한 카드3사(KB국민, 농협, 롯데카드)는 지난해 모두 보안투자를 줄였다. 전쟁 평화시라고 국방비를 안 쓴 것이나 마찬가지다.

- 기업과 금융당국의 자세는.


▲ 안보는 외주에 맡겨서는 안 된다. 보안 작업은 내부에서 전문 인력을 채용해서 작업을 해야 하는데 대부분의 기업들은 보안작업을 외주에 맡겨버린다. 여기서 사고가 터지는 것이다. 금융사의 경우에도 비대면 업무가 90%를 차지할 정도로 IT화되고 있다.

그만큼 IT분야가 전문화돼야 하는데 대부분의 IT업체들은 소규모 형태다. 금감원, 금융위원회 등 금융당국에도 IT분야 전문가가 거의 없는 것으로 보인다. 보안 전문가가 있더라도 의사 결정하는 데 참여하지 못하는 분위기다. 많은 분야가 IT화 되고 있는데 IT에 투자하는 예산은 터무니없이 적다. 시대는 변하는데 정부의 IT 개념은 아직도 과거에 머물러 있다.

 

박효선 기자 <dklo216@ilyosisa.co.kr>

 

[오희국 회장은?]

▲한국정보보호학회 19대 회장
▲방송통신위원회 민관합동조사단 위원
▲경기도의회 정보화위원회 위원
▲대검찰청 디지털수사자문위원
▲한양대학교 컴퓨터공학과 전임교수
▲한국전자통신연구소 선임연구원



배너






설문조사

진행중인 설문 항목이 없습니다.



<단독> ‘아나운서 강제 마약’ <br>적색수배 피의자 실체

[단독] ‘아나운서 강제 마약’
적색수배 피의자 실체

[일요시사 취재1팀] 김성민 기자 = 필리핀에서 프리랜서 아나운서 김나정에게 강제로 마약을 투약한 한국인 사업가 권모씨에게 인터폴 적색수배가 내려졌다. 권씨는 베트남, 필리핀 등 동남아 일대에 서버를 두고 투자 사기, 마약 유통 등에 가담했다는 의혹을 받고 있다. 지난 6년간 수사망을 피하며 도주 중인 것으로 알려졌다. 지난 1월24일 경기북부경찰청 마약수사계는 아나운서 김나정을 마약류 관리에 관한 법률 위반 혐의로 불구속 송치했다고 밝혔다. 김씨는 필리핀 현지에서 강제로 마약 흡입을 당했다고 주장했다. 관련 증거를 경찰에 제출했지만, 경찰은 해당 증거로는 강제성을 증명할 수 없다고 판단했다. 해외 도주 대담한 행적 김씨는 지난해 11월12일 마닐라에서 자신의 SNS에 “제가 필리핀에서 마약 투약한 것을 자수한다”며 “죽어서 갈 것 같아서 비행기를 못 타겠다”는 내용의 글을 올려 논란이 됐다. 이후 그는 마닐라에서 여객기를 타고 인천공항으로 귀국해 인천국제공항경찰대의 조사를 받았다. 사건은 주소지 등을 고려해 경기북부경찰청으로 넘어왔다. 이후 김씨 측은 필리핀 현지에서 강제로 마약 흡입을 당했다고 주장했다. 김씨의 법률대리를 맡고 있던 법무법인 충정은 “김나정은 뷰티 제품 홍보 및 속옷 브랜드 출시를 위해 필리핀을 찾았다가 젊은 사업가 A씨(권씨)를 소개받았다. 젊은 사업가가 김나정의 사업을 적극 도와주겠다고 해 시간을 할애해 방문했을 뿐이다. 항간에 도는 소위 ‘스폰’의 존재는 사실이 아니다”라고 밝혔다. 취재를 종합하면, 김씨가 필리핀에서 만난 1995년 8월5일생의 사업가 권씨는 SNS에 ‘투자 리딩방’을 개설해 범죄수익을 벌어들인 범죄자다. 업계에서 일명 ‘재림’으로 불리는 그가 리딩방 총책으로 활동하며 발생시킨 투자 사기 피해액만 약 3000억원 이상으로 추정된다. 2019년 8월4일 필리핀으로 간 권씨는 이후 국내로 입국한 적이 없다. 유튜버 크라임넷 등 제보에 따르면 권씨는 드라마 의 주인공 차무식의 실존 인물인 이상태씨와 돈독한 관계를 유지하면서 보호받아왔다고 한다. 검찰은 21년간 필리핀에서 도주 행각을 이어가던 이씨를 현지 교민 정보망을 활용해 검거했다. 법원에서 실형이 선고됐으나, 광주지검 목포지청(곽영환 지청장)은 해외 도주를 이어가던 이씨를 필리핀 현지에서 검거했다고 지난해 8월23일 밝혔다. 사업가로 변신, 김나정 앞에 나타난 권씨 취재 결과 70억대 사기단 우두머리로 확인 이씨는 2014년 공범과 함께 필리핀에서 불법 도박 사무실을 운영하겠다며 투자금 1억1000여만원을 받아 가로챈 사기 혐의 등으로 기소돼 2020년 2월 징역 2년의 확정 판결을 받았다. 구속 기소된 공범은 실형을 살았지만, 해외에 있던 이씨는 공소시효 임박에 따라 궐석재판으로 징역형이 확정돼 ‘자유형 미집행자’ 신분이 됐다. 자유형 미집행자는 징역·금고 등의 실형을 선고받았지만 잠적하거나 도주한 사람을 뜻한다. 이씨는 2003년 필리핀으로 출국한 뒤 세부섬에서 유흥업소를 운영하며 21년간 귀국하지 않고, 현지에서 공갈·사기 범행을 11건(피해액 약 8000만원) 저질러 지명수배·지명 통보 조치가 내려진 인물이다. 목포지청은 검거팀을 꾸려 이씨 검거에 나섰는데, 필리핀 현지 교민 사이트에서 이씨 거주지를 특정하는 단서를 확보해 검거에 성공했다. 현지 주민들이 이용하는 인터넷 사이트에서 이씨에 대한 제보를 받아 검거에 필요한 핵심 정보를 획득했다. 결국 법무부, 필리핀 파견 검찰 수사관, 필리핀 이민청 수배자 검거팀과 국제공조로 클락시에서 이씨를 검거했다. 검찰은 “7000여개 섬으로 이뤄진 필리핀의 지리적 한계를 극복하고 본섬인 루손섬이 아닌 곳에서 범인을 검거한 첫 사례”라고 밝혔다. 현실판 차무식의 비호를 받고 유유자적한 삶을 살아온 범죄자가 바로 권씨인 것이다. 권씨의 이름은 다른 사건에서도 언급된다. 2022년 SNS에 ‘투자 리딩방’을 만든 뒤 대체 코인 거래 사이트로 이용자 130명을 유인해 70억원대 투자 사기 행각을 벌이다가 경찰에 붙잡힌 일당도 권씨가 총책이라고 진술했다. 그해 6월30일 부산경찰청 사이버수사과는 전기통신금융사기 등 혐의로 투자 사기 일당 16명을 검거해 총판 관리팀장 20대 A씨 등 8명을 구속하고, 나머지 8명을 불구속 입건했다고 밝혔다. 경찰은 또, 도주한 조직 총책인 권씨 등 핵심 간부 5명에 대해서는 인터폴 적색수배 조치하고, 국내에 체류 중인 나머지 조직원 1명은 지명수배해 뒤를 쫓고 있다. 경찰에 따르면, 이들은 2021년 6월부터 올해 2월까지 SNS 오픈 채팅방인 투자 리딩방에서 전문 투자 상담사를 사칭해 투자자 130명을 허위 가상 자산 사이트에 가입하게 한 뒤 투자금 약 70억원을 가로챈 혐의를 받고 있다. 강제 투약 진실은? 총책인 권씨는 필리핀에 본사를 두고, 본사 운영팀과 총판 관리팀, 회원 모집책 등 역할을 나눠 치밀하게 조직을 운영했다. 우선, 인터넷에서 불법 수집한 개인정보를 활용해 국내 휴대전화 사용자에게 무작위로 문자메시지를 전송한 뒤 SNS에 개설한 오픈 채팅방인 투자 리딩방에 초대했다. 이들 일당은 “대체 코인 투자로 300~400%의 고수익을 보장하겠다”라거나 “VIP에게만 제공하는 투자 리딩이 진행된다”며 피해자들을 유인했다. 회원 모집책 20대 C씨 등 13명은 투자 리딩방에서 대체 코인에 투자해 큰 수익을 낸 전문가인 것처럼 1인 다역 행세를 했고, 이에 속은 투자자들이 허위 가상 자산 사이트에 가입하기에 이르렀다. 특히 C씨 등은 가짜 투자 전문가 자격증과 사업자 등록증을 소셜미디어 프로필에 게시하거나 피해자에게 보여주며 안심시켰다. 이들의 속임수에 넘어간 가입자 중에는 노후 자금 1억5000만원을 날린 60대 남성과 최대 2억5000만원의 투자금을 날린 50대 남성도 있었다. 또 가상 자산인 코인 시장에 처음 들어가 재테크를 해보려고 나선 대학생과 주부 피해자들도 포함됐다. 피해자는 모두 130명에 달한다. 1인당 피해 금액은 1000만원에서부터 2억5000만원에 이른다. 경찰 조사 결과 이들 일당은 피해자들에게 처음 한두 차례는 소액으로 투자한 수익금을 그대로 돌려줘 신뢰를 쌓은 뒤, 큰 투자금을 받는 수법으로 범행을 이어간 것으로 드러났다. 경찰은 이들 일당이 범행에 사용한 계좌 28개를 지급 정지하고, 1억2000만원 상당의 범죄 수익에 대해 법원 결정을 받아 추징·보전 조치한 상태다. 인터폴 적색수배를 받는 권씨는 필리핀에서 가장 부유하고 발전된 보니파시오 지역 등 부동산을 사들인 것으로 알려졌다. 현지 제보자에 따르면, “필리핀, 태국 등지에 권씨의 차명 부동산이 여럿 있고, 일부 한국 영사들이 지내는 집도 사실상 권씨의 소유”라고 한다. 현실판 차무식 돈이 곧 권력이자, 신분인 동남아에서 권씨가 경찰을 매수하는 것은 어렵지 않았다. 권씨는 수사망을 피해 사업가로 위장했고 다수의 여성과 향락을 즐겼다. 김씨도 부유한 사업가로 위장한 권씨를 의심할 수 없었을 것이다. 충정 측은 “김나정은 술자리를 가져 다소 취했던 상황에서 알 수 없는 이유로 손이 묶이고 안대가 씌워졌다. 이 과정에서 그들은 김나정이 연기를 흡입하게 했다. 김나정이 이를 피하는 모습을 보이자 급기야 어떤 관 같은 것을 이용해 김나정이 강제로 연기를 흡입할 수밖에 없도록 했다”며 “김나정의 핸드폰에 손이 묶이고 안대를 가리고 있는 영상이 있다”고 주장했다. 또 “김나정에게 문제가 된 마약을 강제 흡입시키기 전, 총을 보여주고 사람을 쉽게 죽일 수 있다는 취지의 이야기를 했다고 한다. 이 사실을 증명할 자료는 따로 없으나 경찰 조사 과정에서 권씨는 다수의 범죄를 범해 수배 중인 자로 밝혀졌다. 이 때문에 한국에 귀국할 수 없는 자”라면서, “김나정은 권씨의 정체를 알게 됐고 후술하는 권씨의 협박이 허풍이 아니라는 생각에 공포를 느끼고 있는 상태”라고 말했다. 그러면서 “김나정이 귀국 전 소셜미디어에 올린 마약 자수 관련 게시물은 ‘긴급 구조 요청’을 위한 것이었다”고 강조했다. 그러면서 “투약은 이번 단 한 번만 있었던 것이고 앞서 설명드린 바와 같이 강제로 행해진 것”이라며 “김나정이 경찰과 본인의 신변보호를 요청하는 영상통화를 했고 이 과정에서 권씨의 관계자로 보이는 자가 권씨와 통화하며 김나정을 추적하는 영상을 녹화했다. 즉 김나정은 긴급히 구조 요청을 하기 위해 마약 투약 사실을 자수한 것이지, 자의로 마약을 투약했음을 인정한 것이 아니다”고 덧붙였다. 이후 자료를 제출받은 경찰은 약 3개월 동안 분석 작업을 했다. 또 경기북부경찰청은 김씨 측이 강제성을 주장하며 언급한 권씨에 대해 경찰청 본청 국제 관련 사건 담당 부서에 수사를 요청했다. 대검찰청은 2016년 필리핀 국가수사청과 초국가적 범죄 대응 업무협약을 체결하고, 2022년부터 검찰수사관 2명을 현지에 파견해 국제공조·도피 사범 검거 업무 등을 수행하고 있다. 필리핀 본사···치밀한 조직 운영 추정 범죄 수익만 3000억원 이상 다만, 지난해 경기북부경찰청은 권씨에 대해 “수배 중인 자라 한국에 귀국할 수 없는 사람”이라고 강조했다. 이어 “김씨가 인천국제공항 경찰단에서 2회 정도 조사를 받았고, (사건은) 주거지 관할인 경기북부경찰청으로 인계됐다”며 “사전 조사 후 1~2회 정도 소환조사를 할 예정”이라고 밝혔다. 현재 국내법에서 마약을 다른 사람에게 강제로 투약하는 행위에 대해서 가중처벌하는 조항은 없다. 마약 강제 투약도 일반적인 마약 관련 행위와 마찬가지로 마약 관리법 위반으로만 처벌된다. 지난 2019년 국회에서 마약, 향정신성의약품, 임시 마약류를 다른 사람 의사에 반해 투약하거나 흡연 또는 섭취하게 한 경우 법정형의 2분의 1까지 가중 처벌하는 내용을 골자로 하는 마약류관리법 개정안 발의가 이어졌지만 모두 폐기됐다. 법무부가 ‘신중 검토’ 의견을 제시한 이후 20대 국회 임기가 만료되면서다. 한편, 동남아에서 활동하는 투자 리딩방 범죄조직들은 대부분 마약 유통에도 가담한 것으로 추정된다. 일례로 ‘김미영 팀장’으로 불린 보이스피싱 총책 박모씨와 함께 필리핀 구치소에서 탈옥한 조직원들도 ‘비쿠탄 이민국 수용소’서 보이스피싱과 마약 유통을 결합한 신종 범죄조직을 꾸렸다. 이른바 ‘비쿠탄 마약왕’으로 알려진 송모씨는 2022년 수원에서 필로폰을 소지한 채 붙잡힌 김모씨의 상선이라는 정황이 드러났다. 이들은 보이스피싱, 대포폰 판매, 마약 유통 사업으로 수감 생활을 이어갔다. 박씨와 함께 탈옥한 송씨 등은 비쿠탄 교도소 내에서 대포 유심칩으로 신분을 숨겨 텔레그램 ‘마약방’을 개설했다. 평소 이들은 주식 및 코인 리딩방 등을 운영해오면서 모은 수만명의 회원들을 마약방으로 초대해 새로운 수입원을 창출했다. 이들은 수억원의 범죄수익을 비트코인으로 환전한 것으로 파악됐다. 현지 제보자는 “리딩방, 보이스피싱 조직들이 쉽게 돈을 벌 수 있는 마약 사업에 손을 대기 시작했고, 권씨도 똑같은 수법으로 마약 유통에 가담하고 있다”며 “그렇기에 김나정에게 마약을 쉽게 투약할 수 있었을 것”이라고 말했다. 활동명 ‘재림’ 그러면서 “지난해 탈옥한 송씨도 필리핀 파사이 등에 있는 마약 공급책을 통해 한 달에 5kg 정도의 필로폰 유통을 지시했다”며 “송씨는 비쿠탄에서 만난 중국 마피아로부터 싸게 구입한 필로폰 등을 드로퍼(전달책)에게 전달해 한국으로 수출하기도 했다”고 설명했다. 송씨가 드로퍼에게 준 배달료는 한화 약 1000만원가량으로 전해진다.