[기자수첩] A은행에서 보안취약점이 발견되지 않은 까닭은?

[기자수첩] A은행은 얼마 전 시스템통합을 위한 사전단계로, 외국계 회사를 통해 주요 재무시스템에 대한 보안 취약점을 점검 받았다. 그 결과 취약점을 파악할 수 없었다는 답변이 왔다.

그 이유는 취약점이 정말 없어서 파악할 수 없었다는 이야기가 아니라 시스템의 코드가 엉망이라 취약점을 찾을 수 없었다는 이야기였다. 이어 받은 답변은 “먼저 제대로 소스부터 수정하고 진단을 받을 것”이었다고 한다.

한마디로 보안문제를 진단할 것도 없이 심각한 상태라는 이야기다. 대부분의 취약점이 버그에서 나온다. 따라서 이 같은 경우에는 누군가 마음만 먹으면 시스템의 허점을 이용할 수 있다.

아직도 많은 IT담당자나 보안담당자들은 실력 있는 공격자에 의해 해킹 당하거나 새로 개발된 혁신적인 공격기법 때문에 해킹 공격의 피해를 입는다고 생각한다. 따라서 해킹에 피해를 입는 것은 ‘매우 운 나쁜 일’이라고 생각한다.

그런데 과연 능력자에 의한 혁신적인 공격 때문에 해킹 피해를 입는 것일까? 우리나라의 해킹사례를 쭉 살펴보면 대부분은 그렇지 않다는 것을 알 수 있다. 물론 일부는 보안패치가 없는 신규 취약점(제로데이)에 의한 해킹공격이기도 하지만 대부분은 엉망으로 구축된 시스템 허점으로 인한 해킹공격으로 파악되고 있다.

특히 체계적으로 구축되지 않아 나타나는 웹애플리케이션 취약점은 매우 심각한 상황이다. 우리나라의 경우 웹애플리케이션 및 대부분 소프트웨어 개발이 대부분 군소 소프트웨어 개발업체에 의해 이뤄진다. 그 이유는 소프트웨어 산업이 대형 SI기업 중심으로 이뤄져 대부분 큰 프로젝트는 SI기업들이 수주하고 실제 작업은 군소 소프트웨어 업체에게 하청을 주기 때문이다.

말하지 않아도 어려움이 느껴지는 군소 소프트웨어 업체를 탓하고 싶지는 않지만 대부분 군소 소프트웨어 업체의 결과물은 허술하고 엉망인 경우가 많다. 물론 이유가 있다. 적은 금액으로 빠른 시간 내에 프로젝트를 완수하도록 채찍질하는 갑이 있기 때문이다. 게다가 유능한 인재들은 저임금과 고된 야근에 오래 머물지 않고 대형 SI기업으로 빠져나간다.

결국 이런 악순환의 고리는 완성도 낮고 취약점 많은 결과물을 낳게 되고 공격자들은 유능하지 않고 혁신적인 공격기법 없이도 단순히 중국에서 판매되는 취약점 해킹툴을 이용해 공격할 수 있게 되는 것이다.

마이크로소프트는 몇 년 전까지 윈도우 신제품을 채찍질 하느라 설계에서 많은 결함이 발견되고 해결할 수 없는 취약점이 쏟아져 나오는 위기를 겪었다. 특히 쏟아져 나오는 보안 취약점은 윈도우의 존폐위기까지 불러와 윈도우 비스타 이후 소스코드를 새로 뒤엎어 보안을 강화한 예가 있다.

그 위기가 스마트 시대와 클라우드 시대를 맞는 우리나라에게 다가오고 있는지도 모른다. 아마도 우리나라의 보안 문제의 반은 허술하게 만들어진 프로그램 때문이지 않을까 생각해본다.

[오병민 기자(boan4@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>