법원, 26억장 분량 정보 북에 털려...내용 파악된건 0.5%뿐 05130514 동아일보

[HyunKy]

북에 뜷린 법원 전산망

북 정칠총국 산하 '라자루스' 해킹

아마존 등 해외서버로 자료 뺴돌려

채무 등 개인 민감정보 다수 유출

북한 정찰총국 산하 '라자루스'가 법원 전산망에서  뺴간 개인정보 등 자료가 A4용지 26억장 에 해당하는

1TB(테라바이트)가 넘는 것으로 드러났다.

유출 자료 중 0.5%만 내용을 파악하는데, 금융정보와 의료 진단서 등 민감 정보가 다수 포함돼 있었다.

파악되지 않은 나머지 99.5%에 산업기술이나 탈북민의 개인정보 등이 포함됐을 가능성도 있어 대규모 피해가 우려된다.

12일 경찰청 국가수사본부는 아자루스가 2021년 6월부터 지난해 1월까지 법원행정처 전산망에 악성코드를 심어

외부로 빼돌린 자료가 총 1014GB(기가바이트) 로 확인됐다고 밝혔다.

이는 A4용지(2000자 기준)약 26억2100만 장에 해당하는 분량이다.

초반엔 뺴돌린 자료들은 국내 서버 4대를 거쳐 전송했지만, 나중에는 미국 아마존이 운영하는 클라우드 서버 등

해외 서버 4개로 직접 전송한 것으로 드러났다.

경찰이 그중 0.5%에 해당하는 4.7GB의 내용을 파악한 결과 주민등록번호와 진단서, 자필 진술서, 채무 자료, 혼인관계증명서 등

개인정보가 포함된 개인회생 관련 자료 등 5171 개의 문서가 유출된 것으로 확인됐다.

올 2월 대법원은 자료 유출을 사과하며 '개인정보가 담긴 PDF 파일도 26건 유출됐다고 했는데.

그 규모가 최소 200배 넘게 늘어난 셈이다.

문제는 유출 자료 중 복원되지 않은 약 1009GB는 무슨 내용인지 확인도 어렵다는 점이다.

법원 행정처가 지난해 2월 악성 프로그램을 탐지하고도 같은 해 12월에야 경찰과 국가정보원 등에 조사를 맡기는 바람에

유출 기록 등이 기간 만료로 삭제된 탓이다.

특허법원이 보관하는 산업 .방산 기술이나 형사소송에 증거로 제출된 성폭력 피해자의 신상 등이 유출됐을 가능성도

배제할 수 없는 셈이다.

경찰은 2차 피해를 막기 위해이달 9일 유출이 확인된 파일 5171건을 법원행정처에 제공하고 피해자에게 통지하도록 권고했다.

                                                                                                                                                             이상환.장은지.임재혁 기자

해킹된 법원 자료에 대출-금융정보...'보이스피싱 타깃 위험'

악성코드 탐지 10개월뒤 수사 의뢰

기록 지워져 자료내용 파악 안돼

혼인관계 증명서 -진단서 등 포함

'대포통장.대포폰 개설 등 속수무책

탈북민 정보 유출땐 북보복 우려도

'자필진술서, 채무증대 및 지급불능 경위서, 혼인관계증명서, 진단서 등.'

북한 정찰총국 산하 해킹조직 '라자루스'가 19개월간 법원행정처 전산망에서 뺴돌린 자료 가운데 약 0.5%를 복원한 결과

이 같은 지료들이 포함된 것으로 나타났다.

이 자체로도 많은 민감정보를 담고 있어서 전화금융사기(보이스피싱)나 대포통장 개설 등에 악용될 우려가 크다.

그런데 유출된 나머지 99.5%는 앞으로도 복원이 어려워 2차 피해 예방까지 시일이 지나면서 전송 기록이 거의 다 지워졌기

때문이다.

법원이 2년 넘게 악성프로그램 감염을 눈치채지 못하다가 수사 의뢰까지 미루면서 피해를 더 키웠다는 지적이 나온다.

북, '아마존 직송'으로 자료 뺴내

경찰청 국가수사본부에 따르면 라자루스가 법원행정처 전산망에 침입해 악성코드를 심은 건 2021년 1월 17일 이전이다.

시일이 많이 지나 보안장비의 상세한 기록이 삭제된 탓에 악성코드를 정확히 언제, 어떻게 심었는지는 밝힐 수 없었다.

라자루스는 2021년 6월 29일부터 법원 밖에 있는 국내 서버 4개로 자료를 뺴내기 시작했다.

3개는 일반기업이 운영하는 서버였는데, 이들도 라자루스가 심은 악성 프로그램에 당했다.

나머지 1개는 북한측이 직접 빌린 서버였다.

같은 해 11월 9일까지 4개여월간 이렇게 빼돌린 자료가 672GB였다.

2022년 4월 19일부턴 라자루스의 수법이 더 과감해졌다.

국내 서버가 아닌 미국 아마존웹 서비스(AWS)의 클라우드 서버 등 해외로 곧장 자료를 뺴내기 시작한 것.

라자루스는 한국 사업부가 1년 넘게 악성프로그램을 감지해 내지 못하고 대응이 허술하다는 걸 확인하고

방식을 바꾼 것으로 보인다.

이렇게 342GB가 추가로 유출됐다.

법원은 지난해 2월9일 악성프로그램을 탐지하고 라자루스의 접속을 차단했지만, 지난해 12월에야 경찰 등에 수사를 의뢰했다.

경찰이 아마존 등 해외 서버 운영 업체와 국내 서버 업체에 어떤 자료가 오갔는지 확인을 요청할 땐 이미 기록이 지워진 상태였다.

한 보안업체 관계자는 '법원이 더 일찍 악성코드를 탐지했거나 , 탐지하고 나서 바로 수사 의뢰만 했어도 더 많은 자료를

복원할 수 있었을 것'이라고 말했다.

'유출자료 중국이나 심부름 업체에 팔리면 큰 피해'

경찰이 복원힌 유출자료는 4.7GB로, 전부 개인회생과 관련된 문서였다.

전문가들은 확인된 자료만으로도 심각한 금융사기 등 피해가 우려된다고 지적했다.

유출된 자료에 포함된 주민등록번호와 계좌 정보 등을 조합하면 대포통장이나 대포폰 등을 개설할 수 있기 때문이다.

김용현 동국대 북한학과 교수는 '중국이나 동남아시아의 보이스피싱 조직에 구체적인 채무 정보가 넘어가면

범죄의 먹잇감이 되고, 피해자는 속수무책으로 당할 수있다'고 했다.

더 큰 문제는 복원에 실패한 나머지 약 1009GB에 무슨 파일이 들어있는지 앞으로도 호가인이 어렵다는 점이다.

법원행정처 전산망은 전국 법원의 자료를 전부 포괄하므로, 특히 소송에 증거로 제출된 첨단기술의 설계서나 계약서,

방산업체의 내부 자료도 북한의 손에 들어갔을 가능성이 있다.

피해자에 대해 2차 가해를 예방하기 위해 재판을 비공개로 진행하는 성폭력이나 가정폭력 사건의 경우 문제가 더 심각하다.

피해자의 신상이 심부름센터 등에 팔리면 보복범죄에 악용될 수 있다.

탈북민의 탈북 전 실명 등 개인정보는 북한 측의 직접 보복에 악용될 우려까지 있다.

전문가들은 정부 기관의 취약한 전산망 보안 수준이 드러난 것이라고 입을 모았다.

김승주 고려대 정보보호대학원 교수는 '민간에서는 정보 보호를 총괄하고 책임자는 최고정보보호책인자(CISO)를 임원급으로

두고 확실한 책임과 권한을 준다'면서 '정부나 공공기관에는 CISO를 두지 않아 정보 보호에 소홀할 수 있다'고 말했다.

법원 전산망 비번 '123que' 6년간 그대로...'보안의식 매우 낮아'

서버 9000개 보안 인력 9명 불과

'늦장' 수사의뢰 등 총체적 부실대응

북한 해킹조직 '라자루스'가 국내 법원 전산망을 해킹해 1TB(테라바이트)가 넘는 문서를 뺴내는 과정에서 사법부의 허술한

보안시스템과 총체적 부실대응이 여실히 드러났다는 지적이 나온다.

사법부는 해킹 정호아을 파악하고서도 10개월간 수사를 요청하지 않았고, 비밀번호를 허술하게 관리하는 등

보안의식도 부족했던 것으로 나타났다.

12일 동아일보 취재를 종합하면 2021년 1월 7일 이전부터 해킹 정황이 있었지만, 법원행정처가 이를 처음으로 탐지한 것은

김명수 전 대법원장 시절인 지난해 2월이었다.

사상 초유의 전산망 해킹이 이뤄졌음에도 사법행정을 총괄하는 법원행정처가 2년 넘게 인지조차 못했던 것이다.

포렌식 인력과 장비가 없는 법원행정처는 국가정보원에 이를 알린 뒤 민간회사인 '안랩'에 악성코드 분석을 의뢰하고

비밀번호 교체 등을 진행했지만 , 경찰에 수사를 요청하진 않았다.

특히 지난 해 3월 국가정보원이 북한의 해킹 정황을 통보했음에도 법원행정처는 지난해 12월에야 경찰에 수사를 의뢰했다.

법원행정처 관계자는 '법원 전산망엔 민감한 개인정보가 많은 만큼 외부기관 개입 조사에는 신중하게 접근할 수밖에 없었다'고

해명했다.

법원 관계자들은  비밀번호 관리 등 보안의식도 허술했던 것으로 파악됐다.

경찰과 국회에 따르면 전산망 일부 계정의 비밀번호는 '123qwe' 등 쉽게 뚫릴 수 있는 문자열로 구성됐고,

이마저도 6년간  한 번도 바꾸지 않은 것으로 조사됐다.

'123qwe'의 경우 키보드 왼쪽 상단에 연속적으로 배열된 문자 열이라 기업하긴 쉽지만, 손쉽게 입력할 수 있는 탓에

해킹엔 취약할 수밖에 없는 비밀번호다.

법원의 보안의식이 매우 낮았다는 점을 극명히 보여주는 사례라고 전문가들은 지적했다.

9000개가 넘는 서버와 법원 50여 곳 전산망의 보안을 담당하는 인력도 9명에 불과했고, 예산 역시 32억 원만 편성됐던  것으로

드러났다.

법원행정처는 경찰로부터 수사 결과를 통보받아 개인정보보호위원회에 신고했고, 걍찰청으로부터 유출 파일을 전달받아

개인정보를 분류하고 있다.

법원행정처 관계자는 '별도로 예산과 인력을 투입해 최대한 신속하게 (개인정보가 유출된 국민에게) 개별적으로 통지하겠다'고 밝혔다.                                                                                                                                                                        장은지 기자