<일요초대석> 오희국 한국정보보호학회장 '보안을 말하다'

“정보유출 대란, 이상하죠? 심각한데 국민들은 침착하니…”

[일요시사=경제2팀] "보안의 시작은 어떤 것도 신뢰하지 않는 것이다.”
오희국 한국정보보호학회 신임 회장(한양대 교수)이 보안의 출발점에 대해 말했다. 오 회장은 "아무것도 믿을 수 없는 환경에서 검증을 통해 신뢰할 수 있는 상태로 만들어가는 것"이라며 "결국 보안은 신뢰를 향해 가는 것"이라고 강조했다.

최근 KB국민, 롯데, NH농협 카드3사, KT, 티몬, CJ대한통운 등 고객정보 유출 사건이 줄줄이 터졌다. 이번에는 카드3사에서 유출된 개인정보가 대출 중개업자에게 추가로 팔린 사실이 드러났다. 2차로 판매된 개인정보는 1억 건에 육박한다.

"이번 개인정보유출 사태는 20년 만의 대형 붕괴 사건입니다. 과거 1994년 성수대교, 1995년 삼풍백화점이 무너졌던 만큼 심각한 상황이라는 이야기죠. 그런데 국민들의 반응이 의외로 침착합니다. 다들 체념했기 때문이죠."

오희국 한국정보보호학회 회장이 연이어 터지는 기업들의 정보유출에 대한 국민들의 반응에 씁쓸해했다. 오 회장도 개인정보 유출 사태를 피해갈 수 없었다. 그는 "국민카드, 롯데카드 확인해보니 나도 털렸다"며 "안 쓴 지 10년이 넘은 카드사 정보도 털렸다"고 웃었다. 안산의 한양대 캠퍼스 연구실에서 오희국 한국정보보호학회 신임 회장을 만나 정보유출 사태에 대한 이야기를 들어봤다. 다음은 오 회장과의 일문일답.

- 최근 카드3사 정보가 또다시 유출됐다.

▲ 우선 카드3사 1차 고객정보유출 당시 금융당국의 안이한 대책에 있다. 1차 고객정보 유출 사태 후 금융당국은 유출된 정보를 '회수'했다며 국민들에게 안심하라고 했다. 유출정보를 '회수'했다니, 정말 말도 안 되는 표현이다. 어떻게 디지털 정보를 '회수했다'고 말할 수 있는가.


우리 학회에서 정말 경악했다. 디지털 정보는 결코 회수할 수 없는 정보이기 때문이다. 어떤 것이 원본인지 복사본인지 구분할 수 없다. 디지털 정보의 속성조차 모르는 금융당국의 태도에 2차 정보유출사태는 예상할 수밖에 없는 결과였다.

- 금융사들은 오히려 억울하다는 입장인데.

▲ 이번 사태는 어떤 고급기술을 가진 뛰어난 해커들에 의해 유출된 것이 아니다. 보안은 사슬과 같다. 모든 것이 단단해도 하나만 터져도 보안은 붕괴된다. 그런데 금융사들은 사용자의 개인정보를 소중하게 생각하지 않았다. 철저한 감시는커녕 USB 통제도 허술했고, 고객정보에 대한 원본데이터도 덥석 외주업체에 넘겨줬다. 그만큼 내부통제가 허술하다보니 보안망이 쉽게 뚫린 것이다. 명백한 인재다.

- 인증수단은 적절한가. 해커들의 개인정보 수집 가치를 떨어뜨릴 수 있는 방안이 있다면.

▲ 주민등록번호를 대체할 수 있는 식별 번호가 필요하다. 애초부터 주민등록번호가 인증수단이 되는 것이 적절하지 않다고 본다. 주민등록번호 자체는 한 사람에게 부여하는 고유의 ID로서의 기능만 해야 한다. 쉽게 바꿀 수 있는 카드 번호나 비밀번호와 달리 주민번호는 바꾸기 어렵다. 불변의 정보다. 그런데 외국과 달리 우리나라는 주민번호를 요구하는 곳이 너무 많다.

비밀스러워야 하고 다른 사람이 알아서는 안 되는 정보가 너무 쉽게 이용되는 셈이다. 이미 주민등록번호는 많은 곳에 퍼져있다. 또한 불행하게도 주민등록번호 안에는 개인의 많은 정보가 담겨있다. 주민번호만 알아도 그 사람에 대한 정보가 나온다. 생년월일, 지역, 성별까지 알 수 있다. 그래서 찝찝한 거다. 식별 가능한 정보들을 암호화해서, 나중에 누군가 빼가더라도 알아볼 수 없게 만들어야 한다.

- 비용이 너무 많이 들 것 같다. 다른 방법은 없나.


▲ 비용이 들더라도 암호화해서 저장하는 방식을 추천할 수밖에 없다. 가장 강력한 인증수단은 지문인식이나 홍채인식이다. 그런데 너무 강력해도 문제다. 지문인식, 홍채인식은 한번 노출되면 바꿀 수 없기 때문이다. 추천할 만한 방식은 아니다. 노출이 되더라도 쉽게 바꿀 수 있는 인증체계를 도입해야 한다.

- 외국은 어떻게 관리하나.

▲ 미국의 경우 주민번호를 인증수단으로 요구하지는 않는다. 미국은 소셜시큐리티넘버(SSN)로 인증을 하기도 하지만 인터넷에서 인증을 요구하지는 않았다. 회사자체에 인증 수단을 갖춰놓았다. 따라서 어떤 은행에서 고객정보 유출사태가 터졌다 해도 해당 은행 거래자의 정보만 유출된다. 그런데 우리나라의 경우 대부분 주민번호를 인증수단으로 쓰다 보니 한번 터지면 다 같이 터지는 것이다.

주민번호 자체가 개인정보…단순 ID화 절실
"정보 회수했으니 안심? 이미 엎질러진 물"

- 해커들은 주로 어디를 노리나.

▲ 역시 금융사다. 돈이 관련된 은행, 카드사 등의 금융사 정보가 가장 효용가치가 높다. 금융사 고객의 정보는 마케팅에 쓸 수 있는 정보들이 많이 담겨있기 때문이다. 특히 은행과 카드사의 고객정보는 그 사람의 재정 상태까지 알 수 있어 이용가치가 높다. 금융사의 고객 신용정보를 통해 어떤 사람이 대출받을 만한 상황인지 파악이 된다. 해커들 입장에서도 팔아넘기기 굉장히 좋은 정보다.

- 그렇다면 소규모 사이트의 보안은.

▲ 쇼핑몰 등 작은 업체들의 보안 상태는 너무나 취약하다. 보안에 신경 쓸 여력도 없고 거의 뚫려있다고 보면 된다. 웹하드 업체를 조사한 적 있는데 이곳 보안도 굉장히 취약한 것으로 보였다. 밝혀지지 않았을 뿐 이미 많은 정보들이 유출됐을 것이다. 다만 업체 규모가 워낙 작다보니 고객정보 양이 많지 않고, 금융사처럼 재정 상태에 대한 정보가 없어 해커들에게 매력적인 곳은 아니다. 털어봐야 별 게 없기 때문이다.

- IT투자 현황 등 국내 보안의식은.

▲ 보안은 지속적으로 투자가 이뤄져야 하는 분야다. 보안은 보초와 같다. 따라서 보안투자는 국방비의 개념이다. 하지만 기업들은 보안이 이익창출에 직접적인 영향을 주지 않는다고 보안투자를 말 그대로 나가는 돈이라고만 생각하고 있다. 그런데 이번 사태를 보면 보안을 못해서 잃는 손실이 너무 많지 않은가. 지난 2011년 농협에서 고객정보를 유출했다.

이후 금융사들이 부랴부랴 보안투자를 잠깐 늘린 적이 있다. 그러다 1년쯤 지나면서 조용해지니까 금융사들이 또다시 보안을 방치하기 시작한 것이다. 보안투자를 동결하거나 더 줄였다. 특히 이번에 고객정보를 유출한 카드3사(KB국민, 농협, 롯데카드)는 지난해 모두 보안투자를 줄였다. 전쟁 평화시라고 국방비를 안 쓴 것이나 마찬가지다.

- 기업과 금융당국의 자세는.


▲ 안보는 외주에 맡겨서는 안 된다. 보안 작업은 내부에서 전문 인력을 채용해서 작업을 해야 하는데 대부분의 기업들은 보안작업을 외주에 맡겨버린다. 여기서 사고가 터지는 것이다. 금융사의 경우에도 비대면 업무가 90%를 차지할 정도로 IT화되고 있다.

그만큼 IT분야가 전문화돼야 하는데 대부분의 IT업체들은 소규모 형태다. 금감원, 금융위원회 등 금융당국에도 IT분야 전문가가 거의 없는 것으로 보인다. 보안 전문가가 있더라도 의사 결정하는 데 참여하지 못하는 분위기다. 많은 분야가 IT화 되고 있는데 IT에 투자하는 예산은 터무니없이 적다. 시대는 변하는데 정부의 IT 개념은 아직도 과거에 머물러 있다.

 

박효선 기자 <dklo216@ilyosisa.co.kr>

 

[오희국 회장은?]

▲한국정보보호학회 19대 회장
▲방송통신위원회 민관합동조사단 위원
▲경기도의회 정보화위원회 위원
▲대검찰청 디지털수사자문위원
▲한양대학교 컴퓨터공학과 전임교수
▲한국전자통신연구소 선임연구원



배너





설문조사

진행중인 설문 항목이 없습니다.


<단독> ‘또다시 나타난 그때 그 사기꾼’ 케이삼흥은 왜 서울시 팔았나

[단독] ‘또다시 나타난 그때 그 사기꾼’ 케이삼흥은 왜 서울시 팔았나

[일요시사 취재1팀] 장지선 기자 = 케이삼흥 사태가 대국민 사기극으로 번질 조짐을 보이고 있다. 피해자가 최소 1000여명, 피해액은 수천억원에 이르는 등 실체가 드러날수록 피해가 눈덩이처럼 커지는 상황이다. 피해자들은 무엇에 홀려 돈을 넣었을까? 무엇이 그들에게 절대적인 믿음을 안겨줬을까? “징조도 없었어요. 2월까지는 돈이 잘 들어왔거든요. 3월25일하고 27일에 원금하고 배당금이 안 들어오면서 난리가 난 거죠.” <일요시사>와 연락이 닿은 한 케이삼흥 투자 피해자는 여전히 정신이 없는 듯했다. 이 피해자는 가족과 지인에게도 투자를 권유했다고 한다. 현재 원망 그 이상의 감정을 받고 있다고 토로했다. 2월까진 괜찮았다 최근 케이삼흥 사태가 일파만파로 번지고 있다. 2021년 설립된 부동산 투자플랫폼업체 케이삼흥은 월 최소 2% 수익을 보장하겠다며 투자자를 끌어모았다. 연 단위로 따지면 24%의 고수익 투자상품인 셈이다. 피해자는 ‘정부’ ‘지방자치단체’ ‘공공기관’ 등의 말에 현혹된 것으로 보인다. 케이삼흥은 정부나 지방자치단체가 개발 예정인 토지를 매입한 뒤 개발사업이 확정되면 소유권을 넘겨 보상금을 받는 방식으로 수익을 만들 수 있다고 홍보했다. ‘토지 보상 투자’라는 용어가 나왔다. 직급에 따라 수익금을 차등 지급하는 다단계 방식으로 업체를 운영해 전형적인 ‘다단계금융 사기’라는 의혹도 제기됐다. 이번 사태서 의문이 제기된 부분은 횡령 등의 혐의로 복역한 경험이 있는 김현재 케이삼흥 회장이 어떻게 또다시 수천명에 이르는 투자자를 끌어모았는지다. 김 회장은 ‘기획부동산’의 창시자로 불린다. 토지를 싼 가격에 사들인 뒤 개발 호재 등이 있다고 소문내 이를 쪼개 파는 방식으로 사기를 저질렀다. 이 과정서 투자금 200억원을 횡령한 혐의 등으로 2006년 징역 3년형을 선고받았다. 20여년이 지난 2021년 김 회장은 ‘케이삼흥’이라는 회사를 만들었다. 서울 등 전국에 7개 지점을 둔 케이삼흥은 언론 광고 등 공격적인 마케팅을 통해 투자자를 모았다. 한 케이삼흥 직원에 따르면, 7개 지점서 일하는 직원은 300~350명가량이었다. 직원들은 이른바 가족·지인 영업을 통해 투자자를 모집했다. 월 2% 수익 약속에 수천명 투자 20년 전과 과정도 결과도 같다? 대부분의 직원은 중·장년층으로 인터넷 기사 등을 통해 공개된 김 회장의 과거를 잘 알지 못했던 것으로 보인다. 김 회장의 사기 전과를 알고 있던 피해자 역시 “원래 무죄였다”거나 전직 대통령을 거론하는 김 회장의 말솜씨에 넘어갔다고 한다. 훈장, 공적비, 기부 기사 등은 김 회장의 주장에 힘을 실었다. 따박따박 통장에 찍히는 배당금은 김 회장에 대한 신뢰를 굳건하게 만들었다. 투자금의 1.5~2%에 이르는 배당금이 매달 입금되고 계약에 따라 만기가 되면 원금이 들어오는 구조였다. 예를 들어 1000만원을 투자하고 3개월 만기로 계약을 맺었다면 1060만원을 돌려받게 되는 셈이다. 요즘 같은 저금리 시대에 파격적인 수준이었다. 김 회장은 본인의 사재를 털어 부족한 부분을 메꾸고 있다고 직원들에게 말한 것으로 전해진다. 그러면서 직원들에게 더 열심히 일하라고(투자자를 모집하라고) 했다는 것이다. 피해자들에 따르면, 김 회장은 자신의 재산이 1조원에 달한다고 주장했다. 수익이 나기 전까지 자신의 돈으로 원금과 배당금을 일부 주고 있다고 여러 차례 강조했다고 덧붙였다. 꾸준히 원금과 배당금을 받은 대부분의 피해자는 더 많은 돈을 재투자했다. 피해액이 천문학적인 수준으로 불어난 이유다. 하지만 ‘윗돌 빼서 아랫돌 괴는’ 방식의 사업구조는 자금 순환이 막히면서 결국 무너져 버렸다. 피해자는 지난 2월까지 원금과 배당금을 정상적으로 받았기에 케이삼흥 사태를 예측하지 못한 것으로 보인다. 피해자 중장년층↑ 하지만 경고음은 분명히 존재했다. 회계법인은 케이삼흥에 대해 ‘감사 의견 거절’을 냈다. 감사 의견 거절은 ▲감사인이 감사보고서를 만드는 데 필요한 증거를 얻지 못해 재무제표 전체에 대한 의견 표명이 불가능할 때 ▲기업의 존립에 의문이 들 때 ▲감사인의 독립성 결여 등으로 회계 감사가 불가능한 상황에 제시한다. 기업 내부 사정이 심상찮다는 소리다. 케이삼흥의 경우 ‘회계연도의 현금흐름표 및 재무제표에 대한 주석을 받지 못했다’가 감사 의견 거절의 근거가 됐다. 그럼에도 수많은 피해자는 김 회장을 철석같이 믿었다. 오히려 정관계 인사를 잘 안다는 김 회장의 말이 피해자의 투자심리를 부추겼다. 과거에도 김 회장은 기획부동산 사기로 검찰 조사를 받던 시기에 정관계 로비 의혹을 받은 바 있다. 당시 김 회장이 횡령한 돈 일부가 정치자금으로 흘러 들어갔다는 의혹이 제기된 것이다. 정치권 등의 유력인사를 언급해 투자자의 믿음을 사는 김 회장의 수법은 이번 케이삼흥 사태서도 반복된 것으로 보인다. 한 피해자는 “(김 회장이)정치인 인맥이 많다는 말을 하곤 했다”고 말했다. 다양한 통로로 정보를 얻는 젊은 층에 비해 정보에 어두운 중‧장년층은 김 회장이 주장하는 인맥에 신뢰를 보냈다. 사기 전과 있는데도… <일요시사> 취재에 따르면 김 회장은 서울시 고위공무원과의 친분도 주장했다. 강연 과정서 서울시 고위공무원의 직책을 언급하면서 그를 통해 협조 약속을 받았다는 주장을 펼쳤다. 이 과정서 토지나 주택 등을 관리하는 공공기관의 이름도 등장한다. 투자자에게 수익금에 대한 확신을 심어주려는 의도로 파악된다. 김 회장은 “작년에는 부동산 경기 자체가 불투명하니까 1년 동안 거의 안했어요. 착공 들어가려면 제일 먼저 하는 게 보상 업무잖아요. 올해 작년 것까지 합쳐서 하고 있어요. 사업계획 세워놓은 것은 차질이 없다고 하니까”라고 말한다. 그러면서 공공기관, 서울시 고위공무원 직책을 말하면서 “(서울시 고위공무원 직책이)그걸 관장하고 있다”고 설명했다. 김 회장이 언급한 직책은 서울시서 주택, 재난안전 등을 관리하는 역할을 맡고 있다. 김 회장은 “(서울시 고위공무원을)만나서 사업이 진행되면 케이삼흥 것을 우선적으로 하겠다(는 약속을 받았다)”고 했다. 토지 보상을 하는 과정서 케이삼흥에 우선적으로 협조한다는 것으로 풀이된다. 김 회장은 ‘주진입도로’ 등을 언급하면서 “2단계든, 3단계든 관계없이 케이삼흥 것을 먼저 협조해주겠다고 그 약속까지 제가 다 받아냈으니까. 하반기에 보상 나오는 것은 확실합니다”라고 강조했다. 강연에 참석한 투자자들은 중간중간 호응하다가 김 회장의 말이 끝나자 박수를 치면서 환호했다. 정치인 인맥·훈장 자랑 당사자는 “처음 들었다” 서울시 관계자는 사실 확인을 요청하는 <일요시사>에 “개인적인 부분에 대해서는 확인을 해줄 수 없다”는 입장을 밝혔다. 김 회장이 언급한 직책의 인물은 지난 8일 <일요시사>와의 통화서 “김현재라는 이름은 지금 처음 듣는다”고 전했다. 케이삼흥이라는 회사명도 이날 처음 들었다고 주장했다. 김 회장과는 사적 친분은 물론이고 전혀 관계가 없다는 말이다. 현재 케이삼흥 사태는 서울경찰청 금융범죄수사대서 수사하고 있다. 김 회장 등 케이삼흥 경영진은 특정경제범죄가중처벌법(특경법)과 유사수신행위 규제법 위반 등의 혐의를 받는다. 지금까지 파악된 피해자와 피해액은 최소 규모로 시간이 가면 더 늘어날 가능성이 제기되고 있다. 특히 직원으로 불린 모집책이 가족이나 지인 등을 상대로 투자를 권유한 경우가 많아 가정이 파탄난 사례가 있는 것으로 알려졌다. 또 피해자 가운데 일부는 가족의 병원비 등을 투자금으로 넣은 경우도 있었다. 피해자들은 수사기관에 고소하거나 집회를 준비하는 등 개별적으로 대응하고 있는 것으로 알려졌다. 전문가들은 빠른 수사가 관건이라고 입을 모았다. 시간이 흐를수록 피해자가 받는 정신적 고통이 커지기 때문이다. 실제 케이삼흥 사태와 같은 대형 사건서 투자금을 돌려받지 못하거나 투자를 권유한 사람에게 독촉을 받던 피해자가 스스로 목숨을 끊는 사례를 심심찮게 볼 수 있다. 빠른 수사 피해 복구는? 한 피해자는 “가족과 지인 돈까지 다 끌어모아서 투자했다. 원금만이라도 제발 돌려받고 싶다. 가족과 지인들에게 얼굴을 들 수 없다”고 안타까워했다. 직원이면서 동시에 투자자인 이 피해자는 5억원 이상을 투자금으로 넣었다고 고백했다. 김 회장의 입장을 듣기 위해 문자메시지, 전화 등을 통해 연락을 취했지만 닿지 않았다. <jsjang@ilyosisa.co.kr>