[단독] 단돈 12만원이면 한국군軍 내부망 해킹에 무방비

↑ USB形 해킹장비. 무선 모뎀을 통해 내부망에 접속해 해킹을 하는 포이즌 탭 공격을 하기 위해 고안된 장치로 약 12만원이면 제조할 수 있다. [사진 제공 = 군사안보지원사령부]

비트코인 4800만원 가량을 받고 현역 장교가 북한 공작원에 군 내부망 자료를 넘기다 걸린 '북한 사주 해킹' 사건이 최근 드러난 가운데, 해당 해킹에 사용한 '무선 해킹 장비'를 단돈 12만원이면 만들 수 있는 것으로 매일경제 취재 결과 확인됐다.
해킹을 감행하는 데 투입되는 비용이 갈수록 줄면서 대한민국 보안 시스템이 북한 해킹에 전방위로 노출됐다는 경고가 나온다. 이에 더해 북한 IT인력이 신분을 위장하고 프리랜서를 가장해 IT일감을 따면서 외화를 벌고 해킹을 시도하는 경우도 발생하고 있다. 미국 정부는 이를 경고하며 IT프리랜서 플랫폼 업체에 "신원 확인을 제대로 하라"는 가이드라인까지 제시했다.
29일 보안업계에 따르면, 지난달 군 당국이 발표한 현역대위 A씨(29)의 '한국군 합동지휘통제체계(KJCCS)' 유출 시도 사건에서 사용한 포이즌 탭(Posion Tap) 장비를 제조하는데 드는 비용은 12만원에 불과한 것으로 파악됐다.
포이즌 탭이란 원격 통신이 가능한 '무선 모뎀'을 내부망 서버 혹은 PC에 연결만 시켜 해킹하는 공격 기법으로 2016년 처음으로 세상에 알려졌다.
군대나 금융권처럼 보안이 중요한 곳은 보통 외부 해커가 유선으로 침투하는 것을 막기 위해, 외부 유선 인터넷망과 내부망을 단절하는 '망분리' 조처를 해놓는다.
그런데 포이즌 탭은 외부 유선이 아닌 내부망에 무선 모뎀을 연결하는 방식이라 이 같은 망 분리 전략을 무력화시킨다.

↑ 미국 국무부와 재무부, 연방수사국(FBI)이 지난 16일(현지시간) 공동 권고안을 발표하며 `북한 IT 근로자의 해외 위장 취업` 실태를 고발하고, "IT일감을 프리랜서에 발주할 때 신원 확인을 철저히 해야 한다"고 강조했다. [사진 출처 = 미국 재무부]

포이즌 탭 장비를 만들려면 라즈베리 파이 제로라는 신용카드 크기의 싱글보드 컴퓨터와 SD카드, USB 등이 필요하다. 라즈베리 파이 제로 가격은 약 10만원, 나머지 부품 가격은 2만원 가량이다. 총 12만원이면 포이즌 탭 공격으로 수 십년 간 군이 수 조원을 들여 구축해놓은 전산망에 침투할 수 있는 것이다.
보안업계 관계자는 "포이즌 탭을 어떻게 만들 수 있는지 보여주는 장치 회로도가 인터넷에 공개돼 있어 전자공학을 전공한 수준의 일반인이라면 누구나 쉽게 제작이 가능하다"고 설명했다.
이와 관련해 군 당국은 '무선 해킹 공격'을 당면한 위협이라고 인식하고 지난해 국내 보안업체 G사로부터 무선 해킹 탐지 장치를 대량 구매한 것으로 알려졌다.
G사는 주파수를 탐지해 비인가 주파수를 실시간으로 잡아내며 무선해킹에 대비할 수 있는 탐지 장치를 만드는 국내 유일 업체다.
아울러 군에 비해 보안이 취약한 민간은 비슷한 해킹 시도가 있을 경우 해킹에 더 취약할 수밖에 없는 상황이다. 이와 관련해 미국 정부는 조 바이든 미국 대통령 방한을 앞둔 지난 16일(현지시간) "북한 IT인력 수천명이 가짜 신분증을 활용해 프리랜서로 해외 기업에 위장 취업하고 있다"며 "IT일감을 프리랜서에게 발주할 때 각별히 신원 확인을 해야 한다"고 경고한 바 있다.
비록 IT 프리랜서는 특정 IT프로젝트에 대해서만 일하기 때문에 내부망(시스템) 접근 권한에 한계가 있긴 하지만, 군에서 불거진 간첩 사건을 돌이켜보면 IT프리랜서로 취업한 북한 해커가 기업내 협업과정에서 기업 내부인사를 금전적 혜택을 주면서 회유할 수도 있고, 포이즌 탭을 비롯한 무선 통신 기법을 통해 기업 내부망을 해킹할 수도 있는 것이다.
게다가 아직 북한 IT인력 위장 취업 문제에 대해선 제대로 대응체계도 갖춰지지 않은 상태다. 북한해킹 전문가인 문종현 이스트시큐리티 센터장은 "북한 해킹 문제에 대해 민관 합동으로 공조하는 조직(K-사이버보안 대연합)이 지난해 말 발족되긴 했지만 아직 초기 단계"라며 "갈수록 더 지능화되는 북한 해킹에 맞서 민관 공조체계의 역할과 기능을 더욱 강화해야 한다"고 강조했다.
[나현준 기자]