[미디어펜=이원우 기자]970만 명의 관객을 동원한 영화 '검사외전'에서 전직 검사 변재욱(황정민)은 억울하게 수감된 자신의 명예를 회복하기 위해 감옥에서 만난 사기꾼 한치원(강동원)과 손을 잡는다. 

그런데 의기투합을 하자마자 변재욱은 한치원에게 영문을 알 수 없는 '서명 연습'을 시킨다. 반복된 연습 끝에 한치원은 누군가의 서명을 똑같이 복제할 수 있게 되고, 이 연습은 결국 영화의 전개상 결정적인 역할을 하게 된다.

한치원은 손으로 서명 연습을 했기 때문에 상당한 시간이 필요했지만 온라인의 경우는 그것마저도 필요가 없다. 타인의 온라인 인감, 그러니까 전자서명을 탈취하면 순식간에 무궁무진한 개인정보와 금전정보 취득이 가능해진다. 

놀랍게도 이 일은 실제로, 그것도 북한에 의해서 일어났다.

지난 8일 국가정보원은 긴급 국가사이버안전대책회의를 개최해 "인터넷뱅킹 보안 업체의 코드서명인증서(공인인증서 정품 확인서)가 지난달 북한 해킹조직에 탈취 당했다"고 밝혔다. 

금융보안원의 한 연구원은 코드서명을 '온라인상에서 사용자가 자신을 인증할 수 있는 전자사인'으로 비유했다. 이 서명값이 교란되면 해커들은 자신들의 악성코드를 '보안 프로그램'으로 둔갑시켜 사이버 범죄에 나설 수 있다. 온라인상에서 수많은 한치원이 변장을 하고 나타나 주인이 따로 있는 서명값을 이용해 금융정보를 탈취한다면 그 사회적 혼란은 상상조차 힘들 정도다.

그나마 지난 2월 사건은 금융보안원을 비롯한 관계기관들의 신속한 대응으로 실제적인 피해로 번지지는 않았다. 그러나 2013년 3월 20일 벌어졌던 '사이버 대란'은 더 이상 북한 해킹의 위협이 무시할 수 있는 수준이 아님을 증명시켜줬다.

당시 KBS SBS YTN을 비롯한 언론사와 신한은행 농협은행 제주은행(신한지주 자회사)을 비롯한 금융회사 전산망 3만 2000여 대의 컴퓨터가 오후 2시경 일제히 마비되는 사상 최악의 정보보안 사고가 발생했다. 

특히 은행들의 경우 인터넷 뱅킹과 영업점 창구업무, 자동화기기(ATM) 사용 등이 중단되면서 관련 거래가 2시간가량 불가능했다. 이후 같은 해 4월 10일, 민‧관‧군 사이버위협 합동대응팀은 '3‧20 사이버테러'로 불리게 된 이 사건의 가해자를 '북한 정찰총국'으로 결론 내렸다.

이후에도 2014년 1월 카드 정보 유출 사고, 작년 6~7월 은행‧증권사를 대상으로 한 대규모 디도스(DDoS, 분산서비스 거부) 공격 등 사이버 테러 위협은 계속 이어지고 있다. 정부는 갑작스런 사건에 신속하게 대응하기 위해서는 사이버 공격에 특화된 '컨트롤타워'가 필요하다는 결론을 내렸고, 그렇게 2015년 4월 10일 금융보안원과 2016년 1월 5일 한국신용정보원이 창립됐다.

'사이버 해킹 대응전문' 역할을 담당하게 된 금융보안원의 금융정보공유 분석센터는 그간 은행·증권 등 업권별로 따로 운영되던 금융보안 기능을 한곳에 응집시켜 관리한다는 점에서 의미가 있다. 어떤 금융회사 시스템에 침투 시도가 있는지를 실시간으로 감시할 수 있는 시스템도 갖췄다. 

업계 한 관계자는 "우리나라의 경우 사고가 나면 그걸 숨기는 데 치중하는 문화가 있지만 사실은 그럴 때일수록 신속하게 사고 사실을 알리고 정보를 공유하는 게 가장 중요하다"고 지적했다. 그런 의미에서 해킹에 대한 통합적인 대응을 담당하는 금융보안원과 개인신용정보를 한 곳에 모아 통합 관리하는 한국신용정보원의 설립에는 의미가 있다는 평가다.

직접적인 공격 대상이 되곤 하는 금융권도 각자 해킹으로부터 스스로를 보호하기 위한 방안 모색에 나섰다. 지난 10일엔 임종룡 금융위원장이 여의도 국민은행 본점을 방문해 시중은행의 개인신용정보 보호실태를 점검하기도 했다.

한편 지난 12일부터는 신용정보법(신용정보의 이용 및 보호에 관한 법률) 개정안이 발효돼 시중은행들은 거래가 종료된 고객정보를 철저히 분리보관 해야 한다. 거래종료 5년이 경과한 고객의 개인신용정보는 기존 거래원장에서 삭제하고 법령에서 정한 분리보관 사유에 해당되는 경우 별도의 서버시스템을 구축해 이전해야 한다. 

한편 북한 해킹에 보다 전방위적으로 대응하기 위해서는 '수'가 하나 더 필요하다는 의견도 있다.

은행권의 한 관계자는 "도둑질 하는 새로운 기술이 개발됐다면 물론 각 가정에서 문단속을 잘해야겠지만 당국에서도 새로운 수법에 맞는 대응을 해줘야 한다"면서 금융회사들의 노력만으로 해킹 위협을 원천차단하기는 어렵다는 견해를 피력했다.

이러한 맥락에서 '사이버테러방지법'은 북한 해킹에 대한 획기적인 대응력 향상을 도모할 수 있을 것으로 기대를 모으고 있다. 국정원 소속 국가사이버안전센터 신설, 정부에 사이버위기경보 발령권한 부여, 사이버테러 정보 제공자‧사이버테러 신고자에게 포상금 지급 등 다양한 사이버테러 방지방안이 포함돼 있는 이 법 또한 해킹에 대한 통합 대응을 그 목적으로 한다.

이 법은 국정원 산하에 국가사이버안전센터를 신설한다는 내용 때문에 '국정원에 힘을 실어준다'는 이유로 정치 쟁점화 되어 현재 국회 계류 중이다. 고려대학교 정보보호대학원 김승주 교수는 "테러방지법과 이름이 비슷해 오해를 산 면이 있지만, 국가의 권한 강화라기보다는 여러 기관들이 해킹 사실과 현황을 재빨리 공유해서 사고의 확산을 막는 취지의 법이라는 점을 부각할 필요가 있다"고 강조했다.