취약점 발견해도 시정 강제 못해…정부 보안 대응 '사각지대'

금융권·제약사·병원까지 해킹 확산…정부 경고에도 실효성 의문

▲AI 생성형 이미지

금융권에 이어 제약사와 병원까지 해킹 피해가 잇따르는 가운데 정부의 보안 취약점 관리체계에 허점이 드러났다. 해킹 수법은 고도화하고 있지만 정부가 소프트웨어 취약점을 발견하더라도 제조사와 개발자에게 개선을 강제할 법적 근거는 없는 것으로 나타났다. 정부의 경고가 실제 보안 조치로 이어지지 않을 경우 취약점이 방치될 수 있다는 우려가 나온다.

29일 정보통신(ICT) 업계에 따르면 정부에 소프트웨어 취약점이 신고되면 재현 여부와 영향 범위를 분석해 제조사나 개발자에게 결과를 통보하고 보안 조치를 요청한다. 그러나 여러 차례 요청에도 개선이 이뤄지지 않으면 보호나라에 보안공지를 게시해 이용자에게 주의를 안내하는 방식으로 대응하고 있다. 기업과 개발자의 자발적인 조치에 의존하는 구조다.

최근 해킹 공격은 소프트웨어 취약점을 악용해 방화벽의 최고 관리자 권한을 탈취하고 내부 시스템까지 침투하는 방식으로 진화하고 있다. 외부 침입을 막는 보안장비 자체가 공격 대상이 되면서 신속한 취약점 조치의 중요성이 커지고 있다. 이에 정부는 최근 PHP 취약점에 대응해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향하고 긴급 보안 업데이트를 권고했다.

이스라엘 보안기업 드림의 연구조직 드림 리서치는 최근 PHP 취약점 등을 악용해 전 세계 방화벽 24대의 최고 관리자 권한을 탈취한 공격 정황을 포착했다. PHP는 웹사이트와 서버에서 사용하는 프로그래밍 언어다. 공격자는 PHP 원격 코드 실행 취약점과 운영체제의 권한 상승 취약점을 연계해 방화벽 관리자 권한을 확보한 것으로 분석됐다. 미국 정부 관련 기관에서는 방화벽을 거쳐 내부 관리 서버까지 침투한 정황도 확인됐다. 한국도 공격 대상에 포함됐지만 실제 국내 침해 여부는 확인되지 않았다.

문제는 취약점이 공개되더라도 실제 보안 조치까지 이어지는 데 시간이 걸릴 수 있다는 점이다. 특히 보안패치가 적용되지 않은 시스템은 공격에 노출될 수 있다. 정부의 취약점 경고와 기업의 조치 이행 사이에 공백이 발생할 경우 피해가 확산할 가능성이 있다.

한국인터넷진흥원(KISA) 관계자는 "매년 해킹 사고는 증가하고 있으며, 단순히 특정 원인 때문이라고 보기는 어렵다"며 "여러 차례 조치 요청에도 응하지 않는 경우에는 보호나라 보안공지를 통해 해당 제품에 대해 사용 주의를 안내하고 있다"고 말했다. 이어 "기업에 강제할 법적 근거는 없다"고 밝혔다.

기관 간 정보 공유와 공동 대응의 실효성도 과제로 남았다. 금융권은 금융보안원, 일반 기업은 KISA 등을 중심으로 사이버위협에 대응하고 있다. KISA는 "유관기관 간 정보 공유 체계가 운영되고 있다"고 밝혔지만 최근 해킹 사고에서 공격 정보가 얼마나 신속하게 공유됐고, 실제 피해 예방으로 이어졌는지는 확인되지 않았다.

해킹 수법이 고도화하는 상황에서 취약점 경고와 기업의 자율적인 조치에 의존하는 대응 방식만으로는 한계가 있다는 우려가 나온다. 정부가 취약점 발견 이후 실제 개선 여부까지 확인하고, 조치가 지연되는 경우 대응할 수 있도록 제도적 보완이 필요하다는 지적이다.