레이블이 보안인 게시물을 표시합니다. 모든 게시물 표시
레이블이 보안인 게시물을 표시합니다. 모든 게시물 표시

2013년 2월 16일 토요일

박근혜 당선인님, 이제 뭐라도 좀 하세요


이글은 미디어스 2013-02-15일자 기사 '박근혜 당선인님, 이제 뭐라도 좀 하세요'를 퍼왔습니다.
[기자수첩] 보안을 풀거나 협상을 하거나 포기를 하거나 해야 할 때

초조하다. 너무나 초조하다. 무엇을 하고 있는지 알 수 없는 박근혜 당선인과 인수위 때문이다.
애초에 김용준 인수위원장을 총리 후보로 지명할 때에도 지적됐던 문제다. 일정이 촉박하다는 거다. 인사청문회의 경우, 물론 꼭 기간을 다 채우지 않아도 되지만, 보통 20일 정도의 기간이 걸린다. 법에 청문회 기간을 최대 20일로 할 수 있도록 명시돼있기 때문이다. 헌법에 대통령 취임식을 2월 25일에 하도록 규정되어 있으니 최소한 2월 5일에는 각부 장관의 후보자들이 구성이 되었어야 한다. 물론 각부 장관의 경우 먼저 정부조직법개정안이 국회에서 처리돼야 후보자를 지명할 수 있다는 난점이 있으나 그렇더라도 내정자 정도는 정해져 있어야 일 처리가 매끄럽다. 정부조직법이 통과되지 않으면 그냥 ‘국무위원’으로 지명해서 인사청문회를 진행하는 편법을 쓸 수도 있기 때문이다.
그나마 정홍원 총리 후보자와 13일에 지명된 외교부, 교육부, 법무부, 국방부, 안전행정부, 문화체육관광부 장관의 경우는 상황이 좀 낫다. 이들의 경우 새로 신설되는 부처가 아니라 정부조직법개정안의 영향을 받을 일이 없어 어쨌든 인사청문회 일정만 서로 잘 협의하면 되는 것이며 정홍원 총리 후보자의 경우 20~21일에 국회인사청문회를 진행하기로 여·야가 합의를 했기 때문이다.
하지만 정부조직법개정안이 표류하고 있어 향후 일정은 그야말로 안개속이다. 애초에 계획했던 일정은 14일 본회의에서 정부조직법개정안을 처리하고 그 직후 해당 부처의 장관 후보자를 발표하는 것이었겠지만 14일 본회의 처리가 무산되면서 그야말로 혼란스러운 상황이 됐다. 이러한 상황에서 18일 본회의 처리를 목표로 여야 원내수석부대표가 물밑 조율을 시도했지만 타협점을 찾지 못하고 있다는 소식이다.

▲ 열심히 협상을 하고 있는 여야 원내수석부대표. 왼쪽이 우원식 민주통합당 원내수석부대표, 오른쪽이 김기현 새누리당 원내수석부대표. ⓒ뉴스1

새누리당과 민주통합당은 서로를 비난하기 바쁘다. 새누리당은 ‘국제적인 웃음거리가 될 것’이라며 야당의 협력을 촉구하고 나섰다. 야당은 야당대로 머리에 뿔이 난 상태다. 우원식 민주통합당 원내수석부대표는 MBC라디오 (손석희의 시선집중)에 출연해 “인수위원들이 계속 인수위 입장만을 설명하니 협상을 할 필요가 있는지 회의가 든다”며 “제출된 정부조직법안도 매우 부실하기 짝이 없다”는 입장을 내놓았다.
실제 민주통합당 측은 애초에 요구했던 15가지 제안 가운데 △반부패 기구(국가청렴위원회와 고위공직자반부패수사처 신설, 대검 중수부 폐지)를 설치할 것 △장관급으로 격상된 청와대 경호실장 대신 중소기업청에 장관직을 신설하고 금융소비자보호기구를 설치할 것 △방송의 진흥과 규제 정책을 미래창조과학부가 아닌 방송통신위원회로 이전할 것 △원자력안전위원회를 미래창조과학부로 이전하지 말 것 △외교통상부의 통상 기능을 독립기구화 할 것 △인재육성과 관련한 산학협력을 교육부로 남겨둘 것 등 6개를 추려낸 핵심요구사항을 제출하는 등 후퇴한 입장을 갖고 협상에 임하고 있는 것으로 알려져 있으나 박근혜 당선인과 인수위의 입장이 너무 강경해 진전이 없다는 얘기가 흘러나오고 있다.
실제 14일 본회의에서의 처리 무산도 박근혜 당선인의 입장이 결정적이었던 것으로 알려졌다. 전날 새누리당 비례대표 의원들과의 오찬에서 ‘현 조직개편안은 당당하고 설득력 있다’고 말하며 민주통합당 입장을 조목조목 반박하는 바람에 새누리당의 협상 여지가 없어져버렸다는 것이다.
원내정치란 결국 난제를 대화와 타협을 통해 푸는 것을 주요한 방법론으로 한다. 정부조직개편안은 일단 국회에서 처리해야한다는 점에서 원내정치의 대상이므로 여기에도 이러한 방법론은 당연히 적용된다. 야당의 주장이 일리가 없는 것이 아닌 이상 아무리 원안이 논리적으로 완벽한 것이라 해도 최소한의 의견 반영은 피할 수가 없는 것이다.

▲ 기분이 좋아 보이는 박근혜 당선인 ⓒ뉴스1

이것은 새누리당의 구조 상 박근혜 당선인이 결단을 해야만 가능할 수 있다. 그런데 박근혜 당선인은 이러한 노력은 전혀 하지 않으면서 자신이 애초에 구상한 원안만을 고집하고 있다.
정부조직법이 통과가 안 되니 미래창조과학부가 어찌 될지를 알 수 없고, 실물경제 일부와 신성장동력 등을 관리하고 발굴할 미래창조과학부의 운명을 알 수 없으니 경제부총리를 겸하는 기획재정부 장관 후보자를 지명하는 것도 어렵다. 일본이 돈을 쏟아 붓고 유로존이 뿌리째 흔들리는 상황에서 국제적인 수준의 경제 위기가 올 수 있다는 경고가 연일 나오고 있는데 새 정부 경제정책의 키를 누가 담당할지조차 아직 정해진 것이 없다. 이런 상황을 바라보는 국민들의 마음은 당연히 불안하다.
도대체 무엇이 어찌될지 알 수 없으니 언론은 무책임한 예측기사만 쏟아내고 있다. 언론에서 언급하는 경제부총리 후보군은 상황의 변화에 따라 눈덩이처럼 불어간다. 이한구, 김광두, 김광림, 윤증현, 류성걸, 이용섭, 강봉균, 김진표, 이헌재, 한덕수, 김석동, 권오규, 최경환, 장하준…. 나올 수 있는 이름이 다 나온다. 새로운 이름이 나올 때마다 언론은 ‘급부상’이라는 타이틀을 뽑는다. 이제 며칠이 더 지나고 상황이 달라지면 ‘이르면 내일’ 이라는 표현이 또 등장할 것이다.
그래서 박근혜 당선인께 부탁드린다. 제발 뭐라도 좀 하시라. ‘내가 생각해봤는데 경제부총리는 3배수 정도로 압축을 해서 이러 이러 이러한 사람을 생각하고 있다’라는 브리핑을 해주시든지, 아니면 국회에서의 협상을 잘 할 수 있는 가이드라인을 새누리당에 좀 제시를 해주시든지, 그것도 아니면 취임식 이전 정부 구성 포기 선언을 하시든지 하셔야 한다. 이것은 충심에서 드리는 고언이다. 국민들의 답답함과 불안함을 더 이상 증폭시켜서는 안 된다. ‘이 분들을 절대로 놀라게 해드려야겠다’는 생각을 이제는 버리셔야 한다.

김민하 기자  |  acidkiss@gmail.com

2013년 1월 24일 목요일

박근혜 인수위, 보안은 '철통'…기록은 '깡통'?


이글은 프레시안 2013-01-24일자 기사 '박근혜 인수위, 보안은 '철통'…기록은 '깡통'?'을 퍼왔습니다.
[시민정치시평] '보안'지키더라고 기록은 '보존'되고 '활용'되어야

대통령직 인수위원회(이하 인수위)가 있는 삼청동 금융연수원에 언론의 관심이 집중되고 있다. 국민들도 차기정부의 얼개를 그리고 있는 인수위를 지켜보고 있다. 인수위는 차기정부의 조직개편안을 마련하는 것을 비롯해서 향후 5년 그리고 그 이후까지 우리나라의 운영에 큰 영향을 미칠 많은 일들을 하고 있다. 또, 인수위에는 국민의 청원도 많이 받고 있다. 인수위원회가 홈페이지를 개설한 1월 10일 이후 국민행복제안센터를 통해 10일만에 만 건에 가까운 청원을 받았다고 한다. 지금도 그 청원은 점점 늘고 있다. 박근혜 당선자가 대통령으로 취임할 때 까지 인수위원회는 더 많은 일을 할 것이다. 그 과정에서 수많은 기록을 생산하고 접수받을 것이다.

인수위 기록은 우리사회의 중요한 기록이다. 또한, 잘 보존되기 어려운 기록이기도 하다. 원래 권력을 가진 자들은 자신들의 활동의 이면을 공개하는 것을 꺼리게 마련이다. 권력기관일수록 기록이 남지 않거나 남더라도 일의 진행과정이 생략된 껍데기만을 남기게 된다. 그런 이유로 노무현 전 대통령 이전의 대통령기록물은 거의 남아 있지 않다. '대통령기록물 관리에 관한 법률'을 만들어 대통령기록에 관하여 규정하고, 지정기록물제도를 비롯한 보호조치를 마련한 이후에서야 대통령기록물이 남게 되었다. 대통령기록은 일부는 현재에도 활용되고 있고, 보호기간을 설정하여 공개를 유예한 기록물도 이후 중요한 역사적 가치를 지니는 것은 물론이다. 또, 나중에는 정부의 공과를 평가하고 같은 실수를 되풀이 하지 않도록 하는 중요한 단초가 될 것이다. 인수위 기록도 마찬가지다. 대통령기록물관리법에서는 인수위가 생산·접수하여 보유하고 있는 기록물 및 물품을 '대통령기록물'로 관리하도록 하고 있다.

역대 인수위의 기록 중에서도 이번 인수위의 기록은 더욱 중요하다. 인수위가 활동과정을 '철통보안'을 원칙으로 삼고 공개하지 않고 있기 때문이다. 만약 기록으로 제대로 남지 않는다면 이번 정부가 구성되는 과정은 '아무도 모르는 것'이 될 수 있다.

이번 인수위가 보안을 중시하는 이유는 현 이명박 대통령의 인수위가 설익은 정책을 흘려 혼란을 주었기 때문이라고 한다. 그런데 이명박 정부가 설익을 정책을 언론에 흘려 혼란을 주기도 했지만, 그 정책을 검증받는 효과도 있었다. '철통보안'이 준비하는 정책의 문제점을 개선할 기회를 놓치고 있을 수도 있다.

 
▲ 인수위 기록은 우리사회의 중요한 기록이다. 또한, 잘 보존되기 어려운 기록이기도 하다. ⓒ연합뉴스

물론, 모든 인수위원회의 활동이 즉시 알려져야 하는 것은 아니다. 당장은 알려지지 않더라도 그 과정이 기록으로 보존되고, 이를 이후에 활용할 수 있다면 당장의 '보안'으로 나타나는 상당부분의 문제는 차후에 해결될 수 있을지 모른다. 그렇다면 이번 인수위의 기록은 '보존'되고, '공개'될까? 인수위법에는 별도의 정보공개나 기록관리 조항을 두고 있지 않다. 기록물관리법이나 대통령기록물관리법에 따라 대통령 기록으로 관리되고 대통령기록관에 이관되게 된다. 인수위법에는 위원회 활동 종료 후 30일 이내에 인수위의 활동실적과 예산사용 내역 등을 백서로 공개하도록 하고 있다. 그 때 인수위 활동 및 성과, 새정부 국정철학 및 정책과제 등을 백서에 담아 선별적으로 공개하게 된다. 이명박 정부의 인수위는 '성공 그리고 나눔'이라는 제목의 총 1,008쪽의 백서를 남겼다. 노무현 정부의 인수위는 '대화'라는 제목으로 541쪽 분량의 백서를 남기기도 했다. 이런 보여주기 위한 기록은 물론 다른 기록도 보존되고 공개되어야 한다. 많은 국민의 삶에 영향을 미치는 정책이 생산되는 과정에 대한 기록인 만큼 우리사회의 중요한 자산으로 보존되어야 하고, 국민들의 알권리는 보장되어야 한다.

대통령 기록물관리법이 만들어진 이후 첫 인수위였던 이명박 정부의 인수위는 5만1000여 건의 기록물을 남겼다. 그러나 기록을 부실 이관 했다는 비판을 받았다. 2008년 4월 15일 의 보도(인수위 활동 기록 '부실 이관')에 따르면 "공문 가운데 붙임 자료 일부가 없거나, 일부 인수위원의 위촉과 해촉에 관한 공문은 존재하지 않는 것으로 나타났다"고 한다. 해당기사는 대통령기록관 관계자를 인용해 "기획안에 '자문위원 위촉자명단'이라는 항목은 있으나 실제명단은 존재하지 않는 경우도 있다"고 보도했다. 참여연대가 2008년 2월 26일 정보공개청구한 '17대 대통령직인수위원회의 인수위원으로 위촉된 인수위원 명단(이름, 현직, 인수위 소속분과 및 직책), 자문위원 포함(위촉 후 해촉 된 위원명단 및 사유포함)'에 대해 2008년 4월 4일 인수위원 명단만 공개하고 "자문위원의 명단은 비공개 기록이어서 공개가 불가하오니 양해해 주시기 바랍니다"라며 비공개 결정을 통보했다. 앞서 설명한 의 보도가 사실이라면 실제 이관 받지 않아 존재하지 않거나, 부실한 기록을 비공개사유를 밝히지 않고 비공개 한 것이다. 비공개시에는 정보공개법에 따라 비공개사유를 명확하게 알려야 하는 것을 잘 알고 있는 '국가기록원'이 비공개사유도 밝히지 않고 비공개했다는 것은 '법에서 정한 비공개 사유가 아니라 다른 사유로 비공개한다.'고 알려준 것과 같다. 이번 인수위에서는 기록관리를 철저히 해서 이런 일들이 되풀이 되지 않도록 해야 할 것이다. 대통령 기록물 관리법에서 대통령기록물을 무단으로 파기한 경우 10년 이하의 징역 또는 3000만원이하의 벌금에 처하거나 무단으로 은닉・유출・손상・멸실시킨 자는 7년 이하의 징역 또는 2000만 원의 벌금으로 엄하게 처벌하도록 하고 있는 것을 말하지 않더라도 중요한 기록을 잃어버려서는 안 되는 것은 분명한 일이다.

이번 인수위는 기록을 잘 보존하고 이관할 수 있을 것인가? 지난 1월 10일 은 '인수위 기록물 관리할 전문직원 한명도 없다'는 기사에서 대통령직인수위원회가 기록물 관리를 담당할 전문직원을 한명도 두지 않아 기록관리가 부실할 우려가 높다고 지적했다. 노무현 정부와 이명박 정부 인수위 때는 각각 1명과 4명의 직원을 국가기록원으로부터 파견 받아 기록관리를 맡겼지만 이번에는 파견한 직원이 없다는 것이다. 필자가 국가기록원에 확인한 바에 따르면 현재까지도 인수위에 파견된 국가기록원의 직원은 없다. 다만, 국가기록원 관계자는 전화 통화를 통해 노무현·이명박 정부 인수위에서도 직원을 파견한 적은 없다고 해명했다. 그러나 전 정부에 기록관리 인력이 없었다고 해서 이번 인수위에서도 기록을 관리할 인원이 필요 없는 것은 아니다. 기록물관리법에서 기록물관리기관은 기록물관리 전문요원을 두도록 하고 있다. 대통령기록을 생산하는 대통령실에는 대통령실 소속의 직원 외에도 국가기록원의 전문가가 파견되어 기록관리를 하기도 한다. 인수위기록의 관리를 위해서는 국가기록원에서 전문직원을 파견 받아 기록물의 관리를 맡겨야 할 것이다.

박근혜 당선자는 정부 3.0을 약속했다. 정부의 정보를 공유하고 이를 통해 새로운 가치를 창출하겠다는 것이다. 의미는 좋다. 그러나 실천이 중요하다. 인수위 기록이 그 시작이어야 한다. 공개가 되어야 공유도 가능하고 이를 통해 다른 가치가 창출되는 것도 가능하다. 물론 공개에 앞서 기록이 제대로 생산되고 관리되어야 한다.


 /장정욱 참여연대 시민감시2팀장 

2012년 8월 18일 토요일

AIA생명, 공인인증서 하나로 약관대출에 해약까지···제대로 '털렸다'


이글은 위키프레스 2012-08-17일자 기사 'AIA생명, 공인인증서 하나로 약관대출에 해약까지···제대로 '털렸다''를 퍼왔습니다.

AIA생명 "공인인증서 해킹은 관리못한 쪽 책임···불만있으면 소송해라"정부, 온라인 금융거래 보안관련 기본방침조차 마련하지 않아···보험사 본인인증 특히 허술
금감원 "본인인증 시스템은 개별 기업소관" 나몰라라

"이쯤되면 그냥 돈 다 가져가라는 것 아닌가요?" 

피해자 김 모씨(27·여)는 분개했다. 지난 8일 김 씨는 알 수 없는 경위로 공인인증서를 해킹 당했다. 범인들(다수로 추정)은 빼돌린 공인인증서로 각 보험사 홈페이지에 접속해 피해자가 AIA생명에 보험을 든 사실을 발견했다. 그리고 약관대출과 생명보험해약, 연금보험인출로 2,200여만 원을 빼갔다. 김 씨는 흥국화재, 교보생명, 금호생명(현KDB생명)에도 가입한 보험이 있었지만 오직 AIA생명보험만 털렸다. 다른 보험사는 온라인 금융거래와 관련한 강력한 보안시스템이 구축돼 있어 범인들이 손대지 못했던 것이다. 하지만 AIA 생명은 공인인증서만 있으면 홈페이지를 통해 모든 금융거래가 가능하다.

김 씨는 "요즘은 하다못해 택배하나 보내도 당사자와 연락이 오간다"면서 "진짜 문제는 공인인증서 해킹이 아니라, 해킹을 당했을 때를 대비한 다양한 안전장치"라며 목소리를 높였다. 

범인은 1시간 사이 김씨가 가입한 AIA 생명보험에서 약관대출과 해약을 해 모두 2,200여만 원을 가로챘다. 특히 ATM기의 1회출금한도를 피하기 위해 299만원 씩 찾아가는 치밀함도 보였다.

김 씨가 공인인증서 해킹 사실을 처음 알게 된 건 지난 8일 마트에서였다. 장을 본 후 김 씨는 늘 쓰던 체크카드로 계산하려 했으나 통장잔고 부족으로 결제할 수 없었다. 이상하게 여긴 그는 해당 은행 영업소를 찾아 통장내역을 뽑아 살폈다. 김 씨는 크게 놀랐다. 통장에 약관대출, 해약, 인출이라는 명목으로 총 2,280여만 원이 입금된 뒤 ATM 1회 출금 한도에 걸리지 않게 299만 원씩 8번, 잔고까지 모두 빠져나간 것이었다. 바로 전날 저녁에 발생한 거래였다. 돈이 입금 된 곳은 AIA생명.

당황한 김 씨는 AIA 생명 고객관리부서에 연락해 상황을 설명하고 자초지종을 물었다. 보험사 측은 "홈페이지를 통해 약관대출을 했고, 보험은 해약되어 미리 등록해둔 신한은행 계좌에 자동이체 됐다"고 설명했다. 이에 김 씨가 "어떻게 대출에 해약까지 했는데 왜 전화 한 통 없었느냐"고 따져묻자 사측은 "문자 메시지로 통보했는데 본인이 수신하지 못한 것"이라는 변명을 내놓았다. 

김 씨는 "무엇보다 허술한 보안체계에 문제가 있다"며 책임을 물었으나 담당자는 "관리를 못한 쪽의 책임"이라며 책임을 미루었다. 김씨가 다른 보험사의 강화된 보안시스템을 예로들자 "이러한 피해는 처음있는 일이고 구제사례도 없다"며 "소송을 하든지 마음대로 하라"고 잘라 말했다. 

이에 대해 사건을 담당한 수원경찰서 사이버 수사팀의 김현우 수사관은 이 사건을 '상당히 특이한 경우'라 규정하면서도 보험사의 허술한 보안체계에 대해 이해할 수 없다는 입장을 내비췄다. 

김 수사관은 본지와의 전화인터뷰에서 "범인이 공인인증서의 비밀번호 뿐 아니라, 자동이체된 신한은행 계좌 비밀번호까지 모두 해킹했다"면서 "보이스 피싱이 아니라 해킹으로 빼간 건 드문 일이라 자작극을 의심할 정도였다"고 말했다.

하지만 수사가 진행되면서 범행에 사용된 IP에 이어 4명의 명의로 된 농협 대포통장을 확보하며 자작극의 가능성은 사라졌다. 수사의 마지막은 어떻게 '해킹'으로 공인인증서와 은행 비밀번호를 빼갔는지 밝히는 것이다. 김 수사관은 "이것이 드러나면 신종 해킹 수법이 될 것"이라 전했다.

동시에 김 수사관은 AIA생명 홈페이지 보안에 대해서도 언급했다. 그는 "온라인 금융거래시 자체 보안카드 등록이나 휴대폰 인증 정도의 시스템만 갖췄어도, 아니 전화 한 통만 해줬어도 이렇게 쉽게 털리진 않았을 것"이라고 지적했다. 

이에 본지가 20개의 생보사를 대상으로 공인인증서 이외 보안장치 마련여부를 조사한 결과 AIA처럼 무방비 상태인 보험사가 속속 발견됐다. 

문제의 보험사는 AIA, 라이나, 동부, ACE, PCA, 우리아비바 등 모두 여섯 곳. 우리아비바생명은 은행권 보험사임에도 1천만 원이라는 1일 대출한도만 두었을 뿐 다른 보안장치는 없었다. 

반면 KB, 농협, 메트라이프 등은 공인인증서와 함께 본인명의의 핸드폰 인증을 필수적으로 거쳐야 홈페이지를 통한 대출 및 해약업무를 볼 수 있었다. 

삼성, 대한, 흥국, 교보, ING, 미래에셋, 알리안츠, 푸르덴셜, KDB, 현대라이프, 하나HSBC 등은 보험사 자체 보안카드를 필수적으로 만들어야 온라인 금융거래가 가능했다. 

안전장치가 잘 마련되어 있는 보험사는 이 뿐만 아니라 1일 출금 한도를 지정한다든지, 해약은 반드시 전화나 내방을 통해서만 할 수 있게 만들어 놓는 등 이중 삼중으로 금융사고방지책을 마련해 두었다. 

하지만 문제의 6개 보험사는 보안장치가 무엇이냐는 기자의 질문에 모두 "공인인증서 자체가 안전장치"라고 답했다. 행여나 문제가 생겨도 계약시 등록된 은행계좌로 자동 입금 되므로 은행 비밀번호를 모르면 돈을 빼갈 방법이다는 입장이다.

과연 그럴까. 보험사의 역할을 조금만 고려해보면 이들은 자신의 책임을 고객과 은행에 떠넘기고 있음을 알 수 있다. 보험계약자가 보험사와 계약을 하고 보험료를 납입하는 곳은 은행이 아니라 '보험사'다. 즉 고객의 자금을 관리할 첫 번째 책임은 보험사에게 있는 것이다. 

개별 보험사마다 보안 정도가 이렇게 천차만별인 이유는 무엇일까. 

답을 얻기 위해 금융감독위원회에 연락을 취했지만 서로 자기 부서 담당이 아니라며 책임을 돌렸다. 실제로 정부는 안전한 온라인 금융거래에 대해 특별한 방침을 마련해두지 않고 있었다. 

어렵사리 연결이 된 금감원의 한 관계자는 이와 관련해 "공인인증서는 국가 담보로 신분을 증명하는 도구인데, 이를 보완하는 안전장치가 전혀없든, 심지어 생체인증 수준으로 강화했든 개별 기업이 선택하기 나름"이라는 황당한 답변을 내놓았다. 

이에 대해 보험 소비자협회 김미숙 대표는 "해킹기술이 날로 발전하며 은행들은 경쟁적으로 보안장치를 구축하는데 보험사는 안전불감증"이라며 "이러한 기업을 감독하고 규제하기위해 금감원이 있는 것 아닌가"라고 꼬집었다. 

또 "관련 당국은 이러한 문제를 이미 인식하고 예전부터 안전장치 강제규정지침을 마련한다는 입장을 밝혔지만 아직까지 아무런 결과가 없다"며 "하루빨리 대안을 마련해야 할 것"이라고 지적했다. 

박성제 (park@wikipress.co.kr) 기자 

AIA생명, 공인인증서 하나로 약관대출에 해약까지···제대로 '털렸다'


이글은 위키프레스 2012-08-17일자 기사 'AIA생명, 공인인증서 하나로 약관대출에 해약까지···제대로 '털렸다''를 퍼왔습니다.

AIA생명 "공인인증서 해킹은 관리못한 쪽 책임···불만있으면 소송해라"정부, 온라인 금융거래 보안관련 기본방침조차 마련하지 않아···보험사 본인인증 특히 허술
금감원 "본인인증 시스템은 개별 기업소관" 나몰라라

"이쯤되면 그냥 돈 다 가져가라는 것 아닌가요?" 

피해자 김 모씨(27·여)는 분개했다. 지난 8일 김 씨는 알 수 없는 경위로 공인인증서를 해킹 당했다. 범인들(다수로 추정)은 빼돌린 공인인증서로 각 보험사 홈페이지에 접속해 피해자가 AIA생명에 보험을 든 사실을 발견했다. 그리고 약관대출과 생명보험해약, 연금보험인출로 2,200여만 원을 빼갔다. 김 씨는 흥국화재, 교보생명, 금호생명(현KDB생명)에도 가입한 보험이 있었지만 오직 AIA생명보험만 털렸다. 다른 보험사는 온라인 금융거래와 관련한 강력한 보안시스템이 구축돼 있어 범인들이 손대지 못했던 것이다. 하지만 AIA 생명은 공인인증서만 있으면 홈페이지를 통해 모든 금융거래가 가능하다.

김 씨는 "요즘은 하다못해 택배하나 보내도 당사자와 연락이 오간다"면서 "진짜 문제는 공인인증서 해킹이 아니라, 해킹을 당했을 때를 대비한 다양한 안전장치"라며 목소리를 높였다. 

범인은 1시간 사이 김씨가 가입한 AIA 생명보험에서 약관대출과 해약을 해 모두 2,200여만 원을 가로챘다. 특히 ATM기의 1회출금한도를 피하기 위해 299만원 씩 찾아가는 치밀함도 보였다.

김 씨가 공인인증서 해킹 사실을 처음 알게 된 건 지난 8일 마트에서였다. 장을 본 후 김 씨는 늘 쓰던 체크카드로 계산하려 했으나 통장잔고 부족으로 결제할 수 없었다. 이상하게 여긴 그는 해당 은행 영업소를 찾아 통장내역을 뽑아 살폈다. 김 씨는 크게 놀랐다. 통장에 약관대출, 해약, 인출이라는 명목으로 총 2,280여만 원이 입금된 뒤 ATM 1회 출금 한도에 걸리지 않게 299만 원씩 8번, 잔고까지 모두 빠져나간 것이었다. 바로 전날 저녁에 발생한 거래였다. 돈이 입금 된 곳은 AIA생명.

당황한 김 씨는 AIA 생명 고객관리부서에 연락해 상황을 설명하고 자초지종을 물었다. 보험사 측은 "홈페이지를 통해 약관대출을 했고, 보험은 해약되어 미리 등록해둔 신한은행 계좌에 자동이체 됐다"고 설명했다. 이에 김 씨가 "어떻게 대출에 해약까지 했는데 왜 전화 한 통 없었느냐"고 따져묻자 사측은 "문자 메시지로 통보했는데 본인이 수신하지 못한 것"이라는 변명을 내놓았다. 

김 씨는 "무엇보다 허술한 보안체계에 문제가 있다"며 책임을 물었으나 담당자는 "관리를 못한 쪽의 책임"이라며 책임을 미루었다. 김씨가 다른 보험사의 강화된 보안시스템을 예로들자 "이러한 피해는 처음있는 일이고 구제사례도 없다"며 "소송을 하든지 마음대로 하라"고 잘라 말했다. 

이에 대해 사건을 담당한 수원경찰서 사이버 수사팀의 김현우 수사관은 이 사건을 '상당히 특이한 경우'라 규정하면서도 보험사의 허술한 보안체계에 대해 이해할 수 없다는 입장을 내비췄다. 

김 수사관은 본지와의 전화인터뷰에서 "범인이 공인인증서의 비밀번호 뿐 아니라, 자동이체된 신한은행 계좌 비밀번호까지 모두 해킹했다"면서 "보이스 피싱이 아니라 해킹으로 빼간 건 드문 일이라 자작극을 의심할 정도였다"고 말했다.

하지만 수사가 진행되면서 범행에 사용된 IP에 이어 4명의 명의로 된 농협 대포통장을 확보하며 자작극의 가능성은 사라졌다. 수사의 마지막은 어떻게 '해킹'으로 공인인증서와 은행 비밀번호를 빼갔는지 밝히는 것이다. 김 수사관은 "이것이 드러나면 신종 해킹 수법이 될 것"이라 전했다.

동시에 김 수사관은 AIA생명 홈페이지 보안에 대해서도 언급했다. 그는 "온라인 금융거래시 자체 보안카드 등록이나 휴대폰 인증 정도의 시스템만 갖췄어도, 아니 전화 한 통만 해줬어도 이렇게 쉽게 털리진 않았을 것"이라고 지적했다. 

이에 본지가 20개의 생보사를 대상으로 공인인증서 이외 보안장치 마련여부를 조사한 결과 AIA처럼 무방비 상태인 보험사가 속속 발견됐다. 

문제의 보험사는 AIA, 라이나, 동부, ACE, PCA, 우리아비바 등 모두 여섯 곳. 우리아비바생명은 은행권 보험사임에도 1천만 원이라는 1일 대출한도만 두었을 뿐 다른 보안장치는 없었다. 

반면 KB, 농협, 메트라이프 등은 공인인증서와 함께 본인명의의 핸드폰 인증을 필수적으로 거쳐야 홈페이지를 통한 대출 및 해약업무를 볼 수 있었다. 

삼성, 대한, 흥국, 교보, ING, 미래에셋, 알리안츠, 푸르덴셜, KDB, 현대라이프, 하나HSBC 등은 보험사 자체 보안카드를 필수적으로 만들어야 온라인 금융거래가 가능했다. 

안전장치가 잘 마련되어 있는 보험사는 이 뿐만 아니라 1일 출금 한도를 지정한다든지, 해약은 반드시 전화나 내방을 통해서만 할 수 있게 만들어 놓는 등 이중 삼중으로 금융사고방지책을 마련해 두었다. 

하지만 문제의 6개 보험사는 보안장치가 무엇이냐는 기자의 질문에 모두 "공인인증서 자체가 안전장치"라고 답했다. 행여나 문제가 생겨도 계약시 등록된 은행계좌로 자동 입금 되므로 은행 비밀번호를 모르면 돈을 빼갈 방법이다는 입장이다.

과연 그럴까. 보험사의 역할을 조금만 고려해보면 이들은 자신의 책임을 고객과 은행에 떠넘기고 있음을 알 수 있다. 보험계약자가 보험사와 계약을 하고 보험료를 납입하는 곳은 은행이 아니라 '보험사'다. 즉 고객의 자금을 관리할 첫 번째 책임은 보험사에게 있는 것이다. 

개별 보험사마다 보안 정도가 이렇게 천차만별인 이유는 무엇일까. 

답을 얻기 위해 금융감독위원회에 연락을 취했지만 서로 자기 부서 담당이 아니라며 책임을 돌렸다. 실제로 정부는 안전한 온라인 금융거래에 대해 특별한 방침을 마련해두지 않고 있었다. 

어렵사리 연결이 된 금감원의 한 관계자는 이와 관련해 "공인인증서는 국가 담보로 신분을 증명하는 도구인데, 이를 보완하는 안전장치가 전혀없든, 심지어 생체인증 수준으로 강화했든 개별 기업이 선택하기 나름"이라는 황당한 답변을 내놓았다. 

이에 대해 보험 소비자협회 김미숙 대표는 "해킹기술이 날로 발전하며 은행들은 경쟁적으로 보안장치를 구축하는데 보험사는 안전불감증"이라며 "이러한 기업을 감독하고 규제하기위해 금감원이 있는 것 아닌가"라고 꼬집었다. 

또 "관련 당국은 이러한 문제를 이미 인식하고 예전부터 안전장치 강제규정지침을 마련한다는 입장을 밝혔지만 아직까지 아무런 결과가 없다"며 "하루빨리 대안을 마련해야 할 것"이라고 지적했다. 

박성제 (park@wikipress.co.kr) 기자 

2011년 12월 12일 월요일

선관위 테러는 단독범행? 보수언론의 여론조작 무섭다


이글은 미디어오늘 2011-12-12일자 기사 '선관위 테러는 단독범행? 보수언론의 여론조작 무섭다'를 퍼왔습니다.
[용가리통뼈뉴스] "친구 한두명, 수십만원이면 저렴하게 된다"

조현오의 경찰은 ‘10.26 선관위 사이버 테러 사건’을 ‘술김에 저지른 우발적 단독 범행’이라고 결론 내렸다. 주범으로 지목된 한나라당 최구식 의원의 비서 공씨 외에 국회의장의 비서, 친이계 전현직 의원의 비서들, 여기에 현직 청와대 행정관, 전직 검찰 수사관까지 범행 전에 공씨가 만나고 일부 통화를 한 것으로 드러났지만 아무 일도 아니었단다. 범행에 가담했거나 그렇지 않았다는 인사들 대부분이 최구식 의원의 고향이자 지역구인 진주와 얽혀 있지만 아무 일 아니란다. 하물며 최구식 의원의 사촌형이대검 중수부장인들 아무 일이겠는가?

경찰이 밝히지 못했거나 아예 밝힐 마음이 없었던 건 배후뿐만이 아니다. 최소 수백대의 좀비 PC를 동원해 국가기관에 사이버 테러를 감행하는 ‘비싼 일’을 그냥 해줬단다. 공씨가 체포되기 전 ‘내가 한 일이 아닌데 다 뒤집어 쓰게 생겼다'고 말했다는 증언도 입막음을 했는지, 애초에 잘못 전해진 말인지 아무 일 아닌 것으로 되었다. 공씨가 몇달 전부터 디도스 공격에 대해 물었다는 공범측의 진술도 언론에 한줄 나오고 그만이었다.


10.26 재보선 당일날 있었던 중앙선관위 홈페이지 디도스 공격에 대해 9일 오후 서울 미근동 경찰청에서 황운하 경찰청 수사기획관이 수사 결과를 발표하고 있다.

자, 그럼 경찰 발표대로 스물일곱살인 국회의원의 9급 비서가 그저 잘 보이려고 술김에 아는 사람 동원해서 국가기관의 전산시스템을 정교하게 특정 기능만 2시간 동안 마비시키는 일이 하루 만에 가능한 일인지 따져보면 될 일이다. 전문가의 판단이 중요하고, 언론이 전문가를 취재해 보도하는 일이 중요하다.

KBS는 12월4일만 해도 이렇게 보도했다. “규모로 봐서는 하루 만에 준비하기 어려울 것… 아마도 사전에 어느 정도 준비가 된 것으로 보인다.” 국내 최고의 보안 전문가 중 한 명(권석철 대표)이 내놓은 평가다. 그러나 어찌 된 일인지 며칠 뒤 KBS의 전문가 인터뷰는 달라졌다. 12월7일 이름을 숨긴 보안 전문가의 말은 이랬다. “그런 친구 1~2명만 있으면 서로 맡은 역할을 할 수가 있다.” 이틀 뒤 경찰은 ‘단독 범행' 결론을 내렸고 KBS는 더이상 전문가를 찾지 않았다.


중앙일보 12월7일 3면 .

중앙일보는 디도스 공격의 저렴성에 대해 지면을 연일 할애했다. 12월6일 ‘능력을 과시하기 위해 돈을 조금만 받고 해줄 수도 있다'는 고려대 교수 인터뷰를 실었고, 12월7일자 신문에서는 ‘디도스 공격, 수십만원 주면 OK… 저렴하게 해드립니다’라고 보도했다. 공권력에 대한 도전에 거품 물던 중앙일보가 유독 이 사건에서는 양아치급 범죄 집단이 인심 좋은 이웃 상인쯤으로 보였던 모양이다.

어지간한 전문가들은 선관위 사이버 테러의 3대 성공 조건으로 ‘실력과 준비 시간, 돈’을 꼽는다. 3박자가 갖춰져도 2시간 동안 특정 기능만 마비시키는 것이 가능할 지 의심한다. 그리하여 ‘제3의 조력'이 필요하다고본다. KBS와 중앙일보뿐 아니라 방송과 조중동은 결코 깊게 다루지 않는 내용이다.

나라의 운명을 좌우하는 중요한 선거가 집권 여당 관계자에 의해 사이버 테러를 당했는데 경찰은 배후도, 모의도, 검은 돈도 없었다며 아무 일 아니란다. 거대 언론은 아무 일 아닐 수 있는 논거를 제공해 결과적으로 경찰을 도왔다. 아·무·일, 아주 무서운 일이다.