[KISA 칼럼] 인터넷 안전 위협하는 해킹 프로그램 제재방안 없어

악성프로그램 제작·유통 직접 규제방안 마련해야

지난 20일과 21일 EBS 인터넷 사이트가 디도스(DDoS:분산서비스거부) 공격으로 마비되어 회원 5만 명이 수능강의를 듣지 못하는 사건이 발생했다. 이 사건의 범인이 밝혀졌는데 17살의 고3 학생이라고 한다.

경찰 조사결과 이 학생은 평소 게임을 좋아해 게임 해킹 프로그램에 관심이 많았으며 지난 2010년 12월 복장 문제로 선생님에게 지적당한 뒤 학교 홈페이지를 DDoS 공격을 하고 성공하자 호기심이 생겨 인터넷 카페를 통해 악성코드를 유포하여 좀비PC 1,400여대를 감염 시킨 뒤 EBS 홈페이지를 공격했다고 한다.

그런데 관련 기사들을 더 살펴보면 이 학생은 자신이 해킹 프로그램을 제작하지 않고 국내나 해외 인터넷 사이트에서 유통되는 해킹 프로그램을 구해 사용하였음을 알 수 있다. 이처럼 해킹 프로그램 등 악성 프로그램은 너무나 손쉽게 구할 수 있어서 IT 전문기술이 있거나 체계적인 교육을 받지 않은 사람도 이를 구해서 사용법만 익히면 얼마든지 해킹 등의 공격을 할 수 있는 상황이다.

그럼에도 불구하고 현재 우리나라의 법은 해킹, 악성 프로그램 전달·유포, 정보통신망 장애, 타인정보 훼손, 타인비밀 침해·도용 또는 누설 등 직접 피해를 야기한 자만 처벌하고 있다. 따라서 인터넷 안전을 위협하는 각종 악성 프로그램의 제작이나 유통은 아무런 제재방법이 없는 실정이며 악성 프로그램의 제작·판매 암시장이 성장하고 또 해킹 등 사이버 범죄가 쉽게 일어날 수 있도록 방치되고 있다고 할 수 있다.

총기, 폭탄 등 각종 위험물의 제작이나 유통에 대해서는 사회가 오래전부터 이를 엄격히 규제해 왔다. 따라서 그 특성상 제작이나 유통을 규제하는 것이 어렵기는 하나 해킹 프로그램 등 악성 프로그램에 대해서도 제작이나 유통을 금지하고 처벌하는 것이 맞다. 특히 최근 해킹 등 사이버 범죄의 분업화 추세에 비추어 해킹 프로그램 등의 제작과 그 사용이 분리되는 경향이 있기 때문이다.

이미 사이버 범죄협약에서는 해킹, 정보통신망 장애, 정보훼손 및 비밀침해 등을 위한 프로그램 등 장치의 제조, 판매, 유포 또는 소지를 범죄로 규정하고 있으며 또 많은 나라에서 이를 수용하고 있다. 이제 이 사건을 계기로 우리도 인터넷 안전을 위협하는 해킹프로그램 등 악성프로그램의 제작 및 유통을 직접 규제하는 방안을 마련해야 한다.
[글 _ 박영우 한국인터넷진흥원 전문위원]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다