해킹 위협에 노출된 스마트시티
北 해킹 그룹 : 라자루스 블루노프 안다리엘
평창올림픽 공격한 러시아 해커들
도시 해킹 위협 더욱 커져
8월 26일 한국과학기술원(KAIST)이 융합보안대학원 개소식을 열었다. 융합보안대학원은 과학기술정보통신부가 입안한 보안 전문 인력 양성을 위해 꾸려졌다. 과기부는 융합보안대학원에 6년간 최대 40억 원을 지원한다. KAIST 외에도 고려대와 전남대가 융합보안대학원을 신설했다.
스마트시티가 온다
KAIST는 스마트시티(Smart City) 보안 등을 세부 전공으로 융합보안대학원을 이끌어갈 계획이다. 필자가 KAIST 회의에 참석해 운영 방안을 들었는데 도시 내부 보안을 중심으로 인력을 양성한다. KAIST의 이러한 계획은 스마트시티 사업을 중점적으로 추진하는 정부의 의도에 부응한 것이다.스마트시티는 문재인 대통령이 후보 시절부터 여러 차례 강조한 사업이다. 정부의 스마트시티 사업은 지난해부터 윤곽이 드러났다. 정부는 부산 에코델타시티와 세종 5-1 생활권을 스마트시티 국가 시범도시로 선정했다. 세종과 부산 두 곳에 2019~2022년 3조9600억 원을 투입한다. 또 스마트시티 챌린지라는 사업도 6개 도시에서 추진한다.
스마트시티는 정보통신기술(ICT)을 기반으로 만들어진 첨단 도시로 다양한 기술이 복합적으로 적용된다. 시민에게 편리한 서비스를 제공하지만 사이버 공격 위협도 불러온다. 스마트시티가 안정적으로 유지되려면 보안이 무엇보다 중요하다. KAIST가 융합보안대학원을 개소한 것도 그래서다.
스마트시티 거주자들은 해킹 위협에 실시간으로 노출된다. 해커가 공격할 대상이 광범위하기 때문이다. 스마트시티 해킹 방지는 건물, 자동차 등 개인 공간뿐 아니라 공장, 발전소 등 산업 공간을 아울러 도시 전체를 대상으로 이뤄져야 한다. 방어 대상이 굉장히 포괄적, 중복적인 것이다.
필자는 올해 정부기관 자문위원으로 사회 이슈 발굴단 도시 분과에 참여했다. 도시 외에 교통, 환경 등의 분과도 설치돼 있었는데, 필자가 속한 도시 분과의 논의 내용 중 하나가 다른 분과와의 중복 문제였다. 교통, 환경 문제 또한 도시 안에서 생기기 때문이다.
미시경제가 있다면 거시경제도 있다. 두 분야 모두 경제를 다루지만 관점이 다르다. 스마트시티 보안 또한 마찬가지다. 도시라는 넓은 관점에서 들여다보는 동시에 공장, 교통, 발전소 등 개별 사안도 고려해야 한다.
스마트시티 보안은 크게 ‘개인 영역’과 ‘기반 시설’로 나눠 살펴볼 수 있다. 개인 영역은 스마트 홈, 자율주행차 등을 예로 들 수 있다. 기반 시설은 발전소, 상하수도, 공장, 교통 시스템 등이다.
中 ‘코멘트 크루’, 러 ‘코지 베어’
미국 공군의 사이버 안보 시설.
일부 국가는 정보기관이나 군에 전문 해킹 그룹을 두고 있다. 세계 각국이 눈에 보이지 않는 사이버 전쟁을 지금 이 시각에도 벌인다.
북한을 예로 들어보자. 북한은 라자루스(Lazarus), 블루노프(Bluenorff), 안다리엘(Andariel) 등의 해킹 그룹을 보유했다. 이 세 그룹은 9월 13일 미국의 제재 대상이 됐다. 특히 라자루스는 보안 전문가 사이에서 모르는 사람이 없을 만큼 유명하다. 미국 경제전문지 포천은 라자루스를 가장 위협적인 5대 해킹 그룹 중 하나로 꼽았다.
북한뿐 아니라 중국, 러시아 등도 유명 해킹 그룹을 보유하고 있다. 중국 해킹 그룹 중에는 코멘트 크루(Comment Crew)가 가장 유명하다. 코지 베어(Cozy Bear)는 악명 높은 러시아 해킹 그룹이다.
무역전쟁은 사이버 전쟁과 비교하면 신사적으로 진행된다. 공식적으로 공격 내용을 알리면서 공방을 벌인다. 사이버 전쟁은 그렇지 않다. 예고 없이 공격하는 데다 공격 사실도 부인한다.
해킹의 목적은 경제적, 정치적 이유로 나뉜다. 정치적 목적으로 공격하는 경우 대개 국가가 배후에 있다. 금전적 이득을 추구하는 게 아니라 경쟁 국가에 해를 입히는 게 목적이다.
한국이 대비할 사안은 사이버 전쟁의 무대가 스마트시티로 이동한다는 점이다. 한국, 미국, 대만, 이스라엘 등이 사이버 공격을 많이 받는 국가로 거론된다. 이들 국가의 공통점은 정치적으로 경쟁하는 상대 국가가 있다는 점이다.
키예프 전기 끊어버린 러시아
한국은 북한으로부터 잇따라 사이버 공격을 당했다. 2009년 7·7 디도스 공격, 2011년 농협대란, 2016년 인터파크 개인정보 유출이 대표적 사례다.러시아로부터 사이버 공격을 받은 적도 있다. 지난해 2월 평창올림픽 때 와이파이 서비스 등이 일부 차질을 빚었다. 처음에는 북한 해킹 그룹 블루노프가 공격 주체로 의심을 받았으나 러시아가 배후인 것으로 잠재적 결론이 내려졌다.
필자도 당시 공격에 이용된 악성코드 샘플을 받아 분석해봤다. 해커들은 불필요한 악성 파일을 마구잡이로 넣어 배후를 숨기려고 했다. 러시아 해킹 그룹의 랜섬웨어 낫페트(NotPetya)에서 나타나는 악성코드 함수(PIPE 함수)도 확인할 수 있었다.
이란에서는 2010년 원자력발전소가 해킹을 당해 원심분리기 1000대가 파괴됐다. 배후로는 이스라엘과 미국이 지목된다. 2015년에는 중국이 배후인 것으로 추정되는 해킹 그룹의 공격을 받아 미국 공무원 2150만 명의 개인정보가 유출된 일도 있다.
러시아와 우크라이나가 영토 분쟁으로 대치 중인데, 러시아는 해킹 공격으로 웹 사이트를 마비시키는가 하면 랜섬웨어를 우크라이나 주요 기관에 배포해 피해를 줬다. 2015년 12월 우크라이나 수도 키예프가 정전으로 피해를 당했다. 시민 22만5000명이 어둠과 추위 속에서 밤을 보냈다. 미국 국토안전부(DHS)는 정전이 러시아 해커들의 공격에서 비롯한 것으로 결론지었다.
앞으로 펼쳐질 스마트시티 시대에는 경쟁국이 해킹을 통해 상대국의 도시 전체를 공격할 수 있다.
도시 관점에서 사이버 보안 살펴야
IoT 기기는 보안상 취약점이 많다.
시계를 예로 들어보자. 일반 시계는 해킹당할 위험이 없다. 해커가 시계를 훔치지 않는 이상 말이다. 반면 스마트 워치는 네트워크 통신이라는 해킹 접근 경로가 있기에 공격 대상이 된다.
IoT 기기는 저(低)사양 센서를 주로 사용하기에 높은 수준의 네트워크 보안 통신을 사용하기 어렵다. 또한 주기적 업데이트 관리가 어려워 취약점이 자주 노출될 수밖에 없다. 일례로 보안 인증서 개념을 무시하고 만든 스마트 도어록이 시중에서 팔린다. 중소기업이 아닌 대기업이 만든 제품인데 보안이 허술하기 짝이 없다.
아파트 월패드(벽에 부착해 집 안의 다양한 기능을 제어하는 기기)도 해커의 손에 놀아나기 쉽다. 아파트 거주자 중 해커가 있다면 자신의 집 월패드에 연결된 네트워크 경로로 다른 집의 IoT 기기를 쉽게 해킹할 수 있는 게 현실이다.
스마트시티는 조만간 우리들의 일상이 될 것이다. 그런데도 스마트시티의 안보에 관해서는 신경을 덜 쓰고 있다. 지금은 눈에 보이지 않는 위협이기 때문이다. 사이버 보안을 도시 관점에서 꼼꼼히 살펴봐야 한다. 북한 해커들이 한국의 스마트시티를 공격해 도시 전체를 마비시켰다고 가정해보자. 생각만 해도 끔직하다.
