IT기술의 급격한 발전에 따라 인터넷과 스마트폰의 사용은 우리 삶에서 더이상 떨어질 수 없는 것이 되었습니다. 우리는 20년 전, 10년 전에는 영화나 상상 속에서만 가능하던 일들을 일상에서 체험하기도 하고, 가까운 미래에 더 많은 것들이 현실이 될 것이라는 기대 속에서 살고 있습니다. 인터넷과 모바일 기술의 발전에 따라 우리 삶의 많은 부분이 편리해 졌지만 이에 비례해서 우리의 개인 정보가 위협받는 횟수도 늘어나고 있습니다. 20년, 더 가깝게는 10여년 전만 해도 스미싱, 주민등록번호 유출과 도용이라는 말은 낯선 것이었지만 이제는 너무나도 익숙한 것이 되어버린 지금입니다. 그리고 하루가 멀다하고 '정보 유출 사태'가 발생하고 있습니다. 그런 가운데 지난 4월 초, 범 국가적인 차원의 '인터넷 보안 문제'가 드러나면서 미국을 비롯한 국가들의 웹 사이트에서는 그동안 뚫린 줄도 모르고 있던 '보안 구멍'을 메꾸느라 분주하게 움직이고 있습니다. 그러나 정작 인터넷 보급률과 인터넷 사용률, 의존률 등 인터넷 부문에 있어서 둘째가라면 서러워 할 대한민국에서는 비교적 조용한 분위기 입니다. 알고도 모르는 척 하는 것일까요? 아니면 안전한 걸까요?

 우리가 인터넷을 사용할 때, 인터넷의 사용자와 서버 상호간에 데이터를 주고 받으면서 통신을 하게 됩니다. 이때 서로 정보를 교환하면서 사용하는 것이 OpenSSL(Secure Sockets Layer 혹은 TLS, Transport Layer Secure라고 한다.)이라는 오픈소스 소프트웨어입니다. 사용자의 컴퓨터나 모바일에서 웹사이트의 서버로부터 암호화된 정보를 주고 받으면서 통신을 하게 되는데, 데이터를 서로 주고받는 과정에서 같은 양의 데이터를 주고 받습니다. 이러한 과정을 하트비트(HeartBeat)라고 부릅니다. 그런데 문제는 서로 같은 양의 데이터를 주고받지 않았다는 데 있습니다.

 같은 양의 데이터를 주고 받지 않았다는 것이 왜 문제가 될까요? '블리드(Bleed)'아주 치명적으로, 죽을 정도로 정보가 줄줄 새어나갔다는 뜻입니다. 내가 1이라는 정보를 보내면 서버에서도 1을 보내주도록 기본 설계가 되어 있지만, 실제로 1을 보내면서 거짓으로 100을 보낸 것 처럼 하면 서버에서 나에게 100만큼의 정보를 주는 것입니다. 여기에서 큰 문제가 발생합니다. 나에 대한 정보 1을 받아야 하지만, 서버는 99의 정보를 채워서 보내야 하기 때문에 이곳저곳에서 아무 정보나 다 긁어서 보내게 됩니다. 다시 말해, 다른 사람의 개인 정보 예컨데, 아이디, 비밀번호, 카드번호, 전화번호, 심지어는 대화내용 등 모든 정보가 여기에 담길 수 있다는 것입니다. 서버가 가지고 있는 모든 정보들이 거짓으로 정보를 요청한 사람에게 간다는 것이죠.

 우리나라에서는 현재 크게 부각되고 있지 않지만, '하트블리드'사태의 심각성은 예상을 훨씬 뛰어넘습니다. 일단 가장 큰 문제는 '문제가 있다는 것을 발견한 뒤 문제 해결을 위한 긴급 패치가 나온 4월 7일'이전까지 얼마나 많은 양의 정보가 유출되었는지 파악할 길이 없다는 것입니다. 많은 전문가들이 엄청난 정보들이 새어 나갔을 것이라고 추측하지만 그 정보의 양이 얼마인지 모른다는 것입니다. 그리고 미국 국가정보국(NSA)이 2년 전부터 '하트블리드'를 인지했음에도 불구하고 외부에 알리지 않았다는 의혹을 받고 있는 것으로 미루어 볼 때, 정보가 새어나간 것은 최소 2년이 넘습니다. 

  그동안 얼마나 많은 정보가 빠져나갔을까요? 우리 나라에서는 최근 너무 많은 정보가 유출되어서 이제는 정보 유출에 무감각 해진 걸까요? 아니면, 얼마나 많은 정보가 새어나갔는지 모르기 때문에 정보가 흘러나가지 않았다고 말하고 싶은 걸까요?

 구글, 페이스북을 비롯한 외국의 유명 사이트들은 이미 자신의 사이트들이 '하트블리드'에 해당되며 보안상에 문제가 있었다고 발표를 했고 이에대해 발빠르게 대처를 하고 있습니다. 지난 4월 7일 배포된 OpenSSL 1.0.1g버전으로의 패치를 통해 보안상의 문제점을 보완했으며, 사용자들에게 비밀번호를 바꿀 것을 권장하고 있습니다. 

 또한, Codenomicon에서는 하트블리드 버그 사이트를 통해 이 문제를 알리고 해결에 주력하기 위해 별도의 사이트를 만들어 운영하고 있습니다. http://heartbelld.com - 하트브리드 버그에 대한 내용과 대처 방법 등 정보를 알 수 있고 정보를 공유하는 사이트이다.

 현재 우리나라의 얼마나 많은 사이트들이 '하트블리드'사태에 해당되는 곳인지 파악조차 되지 않고 있습니다. 외국의 경우에는 대대적으로 피해를 알리고 보안 패치를 통해서 사이트 보안을 강화하고 비밀번호 변경을 권장하고 있는데, 국내의 IT, 금융 사이트들에서는 별다른 말이 없습니다. 최근 개인정보유출 등의 사태로 인해서 '개인 정보 보호'에 관한 국민들의 신경이 곤두 서 있는 가운데 이번 사태는 조용히 넘어가려는 것 아닌가 하는 생각을 하게 만듭니다.  

  중요한 것은 '하트블리드'피해 사이트 중 '보안 패치가 되지 않은 사이트'에서 비밀번호를 변경해도 소용이 없다는 것입니다. 왜냐하면 변경한 비밀번호는 또 다시 유출될 것이기 때문입니다. 따라서, 우리나라의 인터넷 사이트들도 '하트블리드' 사이트 해당 여부를 알려, 국민들이 대처할 수 있도록 하는 게 옳은 방향이 아닌가 하는 생각을 해 봅니다.

  최근 인터넷을 통한 개인정보 유출의 횟수가 급격히 늘어나고 있습니다. 주민등록번호, 전화번호, 주소, 아이디, 비밀번호 거기에 더해 카드번호까지 유출이 되고 있는 실정입니다. 일전에 많은 분들이 글로 남겨주셨고, 필자도 '개인정보'에 관한 글을 일전에 남긴 적이 있습니다만, 모두가 다 개인정보 보호에 노력하면서 정부 차원에서도 정보통신 보안 분야에 대한 투자를 아끼지 말아야 할 것입니다. 그리고, 기업들의 보안에 대한 인식이 많이 재고되어야 할 것 같다는 생각을 해 봅니다. 감사합니다.

◆ '하트블리드 사태'관련 글 보기 ◆

 - 늘어나는 개인정보 유출 사건, 우리가 바라는 것은?

 - 스팸 차단, 스미싱 차단 앱/어플 추천 - 후후(whowho), 피싱가드

 - 윈도우XP 지원 종료가 불편함을 주는 이유.

 - 아직 윈도XP 사용? 그렇다면 이것부터 하자!

'개인 정보 유출'이라는 말이 우리 사회에 너무 흔한 말이 되어버린 것 같습니다. '개인 정보 유출'이라는 말은 안 듣고, 안 보면 좋은 말 같은데 왜 자꾸 우리는 이 말을 들으면서 반복적인 불쾌함을느끼며, 불안에 떨어야 하는 걸까요? 이제는 좀 안 그럴 수 없는 걸까요? IT강국, 인터넷 강국이라고 일컬어 지던 '대한민국'이 이제는 개인 정보 유출 강국, 해커들이 손쉽게 개인정보를 구할 수 있는 나라가 된 것 같다는 생각이 듭니다. 카드 3사의 개인정보 대량 유출, KT의 개인 정보 유출, 그리고 CJ대한통운의 택배기사에 의한 개인 정보 유출까지 종류와 방법도 다양합니다. 

 개인 정보 유출 사건에 대해 국민들이 더 분노하는 것은 '유출의 피해가 적다'는 이유로 '중요하지 않다'는 듯한 입장을 취하는 '개인 정보 유출 기관'들의 행동이 있기 때문입니다. 자신들이 잘 보관하겠다고 하고 수집한 정보, 그 정보의 종류와 양과 무관하게 개인정보를 유출시켰으면 잘못되었다는 것을 인식해야지 그 사건의 경중을 논한다는 것 자체가 어처구니없는 일입니다.  

 해커를 비롯해서 개인정보를 필요로 하는 사람들은 그것이 '돈'이 되기 때문에 자신들이 불법적으로 개인정보를 가지려고 하는 것입니다. 그런데 문제는 그 정보들이 적법하고, 정의로운 방법으로 쓰이지 않고 각종 범죄나 불법적인 일에 문제입니다. 그런데 더 문제는 돈을 받고 '개인정보'를 팔아넘기는 사람들이 있다는 것이 더 문제입니다. 돈을 받고 남의 '개인정보'를 판다는 것, 결국 '내 것'이 아니기 때문에 괜찮다는 생각을 하는 것이겠지요. 이번 CJ대한통운 개인정보 유출 사건만 해도, 택배회사 직원이 작년 9월부터 올해 2월까지 개인정보를 넘긴 대가로 받은 돈이 약 7천 만원에 이를 정도로 거액에 거래되었습니다. 결국, '돈'앞에 당할 사람 없는 걸까요?

 인터넷 시대에는 '개인 정보'가 돈입니다. 개인 정보를 통해서 모든 마케팅이 이루어지고, 그것은 기업의 이익으로 직결됩니다. 그리고, 불법적으로 개인정보를 수집한 사람들은 그것을 악용해서 돈을 벌고 있습니다. 결국은 '개인 정보'는 제대로 보호받아야 할 자산인데 지금은 그렇지 못한 것이 대한민국의 현실입니다.

 10여년 전, 인터넷이 막 발달하려고 하던 시기에 우리나라에 대한 '해킹'을 방지할 목적으로 '해커 10만'을 양성해야 한다고 주장하고 추진한 일이 있었습니다. 그런 일은 하루 아침에 이루어지는 것이 아니기에 정권이 바뀌면서 흐지부지 되었고, 결국은 없던 일이 되었지만, 만약 그때 정부가 주도적으로 나서서 10만 해커를 양성하여 '보안 전문가'를 대량으로 양성했더라면 지금과 같은 보안의식과 지금과 같은 정보 대량유출은 미연에 방지할 수 있지 않았을까 생각해 봅니다.

 결국, 정부의 확고한 정책적 의지가 없이는 지금과 같은 '개인 정보 유출'사태는 계속해서 일어날 수 있다는 생각을 해 봅니다.

<21세기, 10만 해커 양병설>

 원자력발전소 짝퉁 부품 사용. 그 사람들이 그렇게 할 수 있었던 것은 '들키지 않을 것이다'라는 확신보다는 '들켜도 큰 처벌을 받지 않을 것이다'라는 생각이 더 컸기 때문이 아닐까요? 

 기업의 정보보호 담당자, 기업의 책임자들도 '개인 정보'를 보호해야 된다는 생각은 할 것입니다. 그러나 그것이 만약 유출되었을 때 어떤 처벌을 받을지 생각할까요? '적당히' 사과하고, 적당히 처벌받고 끝날 문제가 아닙니다. 우리나라가 공산주의 국가는 아니지만, 국민들에게 막대한 피해를 입히고, 잠재적 피해로 인해 정신적 고통, 물리적 고통을 준다는 것을 생각하면 국가적으로 엄청난 손실입니다. 만약, '개인정보 보호법'의 개정을 통해 '개인정보를 소홀히 관리한 자'에 대한 처벌 수위를 징역 100년 정도로 극단적으로 높인다면 '담당자'들은 어떤 수단을 써서라도 소중한 고객의 정보를 보호하려고 하지 않알까요?

 물론, 앞에서 언급한 대로 정책을 시행해야 한다는 것은 아닙니다. 제가 말하고 싶은 것은, 관리자들의 '의식'이 뒷받침 되지 않는다면, 외부적인 힘을 이용해서라도 '의식'의 전환을 이끌어 내야 한다는 의미입니다.

<사진출처 : 경남도민일보>

 많은 글로벌 IT기업들이 '보안'에 관해 많은 투자를 하고 있는 시대입니다. '개인 정보'하나하나가 새로운 가치로 인정받고 있는 시대에 우리의 개인 정보가 무단으로 인터넷 세상에 흘러다녀서는 안 될 것입니다. 우리의 소중한 개인정보가 잘 보호되기 위해서는 우리 스스로의 관심은 물론이고, 정부, 개인 정보를 보유하고 있는 기업, 보안 담당자가 모두 '개인 정보'의 중요성을 깨닫고 정보 보호에 힘써야 할 것입니다.