2007년의 최대 보안 위협은 '그레이웨어'

<A name="[문서의 처음]"></A> 2007년의 최대 보안 위협은 ‘그레이웨어’      회사원 A씨는 최근 인터넷에서 화제가 되고 있는 동영상을 보기 위해 유명 사이트에 접속을 했다. 그런데 이 동영상을 보려면 특정 뷰어 프로그램을 설치해야만 한다는 메시지가 나온다. 순간, A씨는 이것을 설치해도 되는지 고민에 휩싸이게 된다. 그러나 유명 사이트이고 많은 사람들이 본 동영상이라 아무런 문제가 없을 것이라는 판단에 이를 설치한다. 이후 A씨는 원하지 않는 팝업창이 자꾸 뜨고, 시스템이 느려져 불편을 겪고 있다. 네티즌이라면 누구나 A씨와 같은 경험을 한번쯤은 겪을 것이다. 현재 네티즌들이 느끼고 있는 최대 보안 위협은 바로 이러한 ‘그레이웨어’다. 그레이웨어란 허위 안티스파이웨어 프로그램, 악성 툴바, 불필요한 Active X 등과 같이 사용자의 설치 동의를 악용해 다른 프로그램을 함께 설치하거나 불법적인 행위를 하는 프로그램을 말한다. 그레이웨어는 특정 광고를 강제로 보게 하거나 웹 브라우저를 하이재킹해 사용자를 수익 창출 페이지로 이동시킨다. 또한 사용자들이 쉽게 삭제할 수 없게 만들어 개인정보 유출, 시스템 성능 저하 등의 문제를 불러 일으킨다. 즉, 그레이웨어는 합법적인 동의 과정을 거쳐 설치했지만 교묘하게 불법적인 행위를 하는 등 합법과 불법 사이를 오고 가며 사용자들을 괴롭히고 있다. 이러한 그레이웨어는 불법적으로 설치한 것이 아니기 때문에 안티바이러스나 안티스파이웨어 등의 프로그램으로는 삭제가 되지 않는다. 일부 네티즌들은 그레이웨어로 인한 피해를 입고 있으며, 행위 자체가 불법이기 때문에 스파이웨어로 규정해 안티스파이웨어 제품에서 제거해 줄 것을 요청하기도 한다. 그러나 이는 쉽지 않은 일다. 정통부의 ‘스파이웨어 기준’에 따르면, 7개 기준에 부합하는 스파이웨어를 ‘정보통신망이용촉진및정보보호등에 관한 법률의 48조 2항에서 정의한 ‘악성프로그램’으로 간주하여 5년 이하의 징역, 5000만원 이하의 벌금형에 처할 수 있다고 되어 있다. 하지만 실제로 기준안이 제 기능을 못하면서 보안 업체와 스파이웨어 유포 ‘혐의자’간 소송이 벌어지기도 한다. 무엇보다, 그레이웨어는 사용자 동의 하에 설치되었기 때문에 분명히 스파이웨어와는 다르다. 그레이웨어는 사용자가 직접 삭제해야 하지만 이 과정 또한 녹록하지 않다. 정상적인 프로그램의 경우 제어판의 프로그램 삭제/추가 만으로 삭제가 가능하다. 하지만 최근 일부 그레이웨어는 은폐 기능을 이용해 삭제를 점점 어렵게 만들고 있다. 많은 지식 사이트에 전문가들이 그레이웨어를 수동으로 삭제하는 방법을 알려주고는 있지만 프로그램에 익숙하지 않는 대다수의 네티즌들은 이 과정마저 쉽지 않은 것이 사실이다. 무엇을 하는지도 모르는 파일이나 프로세스를 삭제해도 되는 건지 난감하다. 해당 파일을 클릭해 오른쪽 버튼에서 제거하기를 누렸을 때 나타나는 ‘이 파일을 제거하면 일부 프로그램이 정상적으로 작동하지 않을 수 있습니다’라는 경고창에 다시 한번 좌절하게 된다. 그레이웨어는 금전적인 이익을 노리는 일부 부도덕한 제작자들에 의해 제작•유포되고 있다. 이를 막기 위해서는 불법적인 소프트웨어 배포에 대한 강력한 처벌 기준이 마련되어야 한다. 사용자들도 자신의 시스템을 안전하게 지키기 위해 적극적으로 대처해야 한다. 우선 신뢰할 수 있는 사이트를 이용하며, 제작사가 불분명한 프로그램을 다운 받을 때는 신중해야 한다. 특히, 무료 프로그램을 다운로드 할 때에는 약관을 꼼꼼히 살펴, 불필요한 프로그램이 설치되지 않도록 주의한다. 그리고 보안 패치와 안티바이러스 및 안티스파이웨어의 최신 버전을 업데이트해 피해를 최소화하려는 노력이 필요하다. 또한 보안업체들도 그레이웨어의 불법 행위를 적절히 차단할 수 있는 프로그램을 제시해야 한다. 안철수연구소는 네티즌 참여로 만들어가는 보안 오픈 프로젝트를 조만간 선보일 예정이다. 이 프로젝트는 그레이웨어에 대한 통제권을 사용자들에게 넘겨주고, 그것의 사용 및 삭제 여부를 사용자가 주관적으로 결정하도록 하는 개념이다. 보안업체는 사용자들의 통제권을 좀더 쉽게 행사할 수 있도록 가이드라인을 제시하고 도와주는 역할을 하게 된다. 미 시사주간지 타임지가 2006년 올해의 인물로 ‘You(당신)’를 선정했다. 이는 그 동안 수동적인 역할에 머무르던 ‘개인’이 새로운 콘텐츠 생산의 주체로서 새로운 패러다임을 바꾸고 있다는 의미이다. 이제 보안에서도 이러한 개인의 능동적인 참여가 필요한 시점이다. @ 출처 : 안철수연구소 2006-12-28