[취재파일] '민간'보다 허약한 '공공' 아이핀을 어찌하오리까

어제(5일) 오후 행정자치부 기자실에는 팽팽한 긴장감이 흘렀습니다. 마치 사건 사고를 브리핑하는 경찰서 기자실 같은 분위기였습니다. 진짜 '사건'이 터졌기 때문이죠. 정부가 주민번호 대체수단으로 권장한 아이핀, 그것도 공공 아이핀이 해킹 공격에 무너져서 무려 75만 건의 아이핀이 부정 발급됐으니까요. 심각한 '대형 사건'이었습니다. 기자들도 바짝 긴장했습니다.

그러나 이 문제를 바라보는 정부, 즉 공공 아이핀을 관리하는 행정자치부의 시각은 달랐던 것 같습니다. 애초 정부는 공식 브리핑을 할 생각도 없었습니다. 기자들이 브리핑을 강력히 요청하자, 성화에 못 이겨 마지못해 겨우 응했습니다. 더욱이 '공식' 브리핑도 아닌 '백(Back) 브리핑', 즉 보도 자료에 대한 간단한 설명만 하려고 했습니다. 그만큼 사안을 '경미하다'고 본 것이죠.

이유는 '실질적인 피해'가 없다는 것입니다. 아이핀 보도자료 제목도 "공공 아이핀 부정발급 사고발생, 피해는 거의 없어!!"였습니다. 부정 발급받은 아이핀 12만 건으로 게임 사이트 신규 회원가입 등에 이용됐을 뿐, 심각한 개인정보 유출 피해는 없었다는 것이 행정자치부의 입장이었습니다. 브리핑 내내 이번 사건은 그냥 게임에 미친 일부 해커들의 장난으로 빚어진 해프닝이라는 식의 뉘앙스를 풍겼고, 피해가 없다는 점을 누차 강조했습니다.

참 어이가 없었습니다. '실질적인 피해'가 없다니요? 조금만 생각하면 이번 해킹 사건이 얼마나 심각한 지 알 수 있을 터인데, 어떻게 저렇게 안이할 수 있나 싶었습니다. 책임추궁이 무서워, 사건의 의미와 파장을 축소하려 한다는 생각밖에 안 들었습니다.

이번 해킹 사건은 심각합니다. 먼저 공공 아이핀 해킹 사건으로는 처음 있는 일이라는 점, 그리고 무엇보다 공공 민간 통틀어 '안방이 뚫린' 첫 사례라는 점을 그 이유로 들 수 있습니다. 그 동안 해킹은 훔친 개인정보를 이용해 아이핀을 부정 발급했던 것인데 비해, 이번에는 아예 시스템 자체를 공격했습니다. 건물 보안으로 치자면 이전 해킹은 위조 또는 훔친  신분증을 써서 침입했던 것이라면, 이번에는 아예 시스템 자체에 침입해 마음껏 안방을  헤집고 다니며 보안 시스템을 무력화 시킨 것입니다. 조금 심하게 말하면 이전 해킹은 '좀도둑' 수준이었다면, 이번 해킹은 시스템 전체를 탈취한 '전문적인 테러'라고 할 수도 있습니다. 발급 시스템 자체가 뚫린 것은 초유의 일이라는 것이 전문가들의 한결같은 의견이었습니다.

의미 축소에 급급한 탓이었는지, 사태 파악과 대처도 엉망이었습니다. 공공 아이핀은 행정자치부가 총책임을 맡고 있고 실질적인 관리 운영은 한국 지역정보 개발원이 하고 있습니다. 그런데 두 기관 사이에서 조차 영 손발이 맞지 않는 모습을 보였습니다. 두 기관의 책임자가 나와 브리핑에서 사건에 대한 설명을 하는데, 기초적인 것조차 서로 말이 달랐습니다. 예를 들어 행자부 담당자는 75만 건의 부정 발급 과정에 도용된 주민번호는 쓰이지 않았다고 설명했는데, 지역정보 개발원 담당자는 75만 건 모두 도용된 주민번호라고 계속 설명하는 식이었습니다. 도용된 주민번호의 사용 여부는 사건의 기초적이고 중요한 사항인데, 두 기관 사이에 이 문제에 대한 합의조차 안 돼 있었던 것이죠.

또 놀란 것은 공공 아이핀이 민간 아이핀보다 훨씬 해킹공격에 취약하다는 사실이었습니다. 공공 아이핀 시스템은 해킹 공격에 무기력하게 무너진 반면, 민간 아이핀은  이를 잘 막아냈습니다. 처음에는 해커가 우연히 공공 아이핀을 선택해 공격한 것 아닌가 싶었는데, 그것도 아니었습니다. 공공 아이핀이 훨씬 약한 상대라서 공격대상으로 삼은 것이죠. 이번 해킹 공격은 '파라미터 위변조'라는 수법을 썼는데, 다른 민간 아이핀과 달리 공공 아이핀 시스템은 이 공격에 대한 초보적인 대책도 갖춰지지 않았습니다. "공공 아이핀이 지난 2007년 개발된 뒤 (그 상태로 시간이 흘러) 취약점을 발견하지 못한 면이 있다"는 것이 행자부의 설명이었습니다. 해마다 두 차례씩 취약점을 점검했는데, 이런 결함을 파악할 수 없었다고 했습니다. '공공'하면 어쩐지 보안 시스템이 민간보다 강할 것 같은데, 실상은 반대였던 것이죠.

이번 공공 아이핀 사건을 취재하면서, 화도 많이 나고 한편으로 씁쓸했습니다. '혹시나' 했더니 '역시나' 였구나라는 느낌을 지울 수가 없었습니다. 그동안 무엇인가 변했겠지, 잘 하고 있겠지 하고 믿었는데, 돌아온 것은 실망감뿐이었던 것 같습니다. 정부의 책임자가 우왕좌왕하고 사태 해결보다는 책임회피에 연연하는 모습을 보면서, 예나 지금이나 마찬가지구나 싶어 혀를 차게 됐습니다. 아예 '공공'에 대한 최소한의 신뢰도 갖지 않는 것이 현명한 마음가짐일까요? 그건 바람직한 해법은 확실히 아닌 것 같은데 말입니다.        


▶ 맥없이 뚫린 아이핀 시스템…신뢰도 큰 타격
▶ '공공 아이핀' 뚫렸다…대담했던 해커의 공격