“상대는 IT 보안지식은 물론 제철소 생산시스템에 대해서도 지식이 해박했다. 우리는 (사이버 공격으로) 용광로를 제어할 능력을 잃었다.”
독일 연방정보안보실(BSI)은 지난 14일 한 제철소를 겨냥한 사이버 테러에 대해 41페이지짜리 보고서를 발표했다. 익명의 해커그룹이 제철소 직원에게 ‘스피어피싱’ 이메일을 보내 열어 보는 순간 직원의 아이디와 패스워드가 유출됐다. 해커그룹은 훔친 아이디와 패스워드로 용광로 컨트롤 네트워크에 접속했다.
보고서는 “해커들이 제어시스템 기능을 차단해 용광로를 제 시간에 멈추지 못하는 일이 발생했다. 막대한 손실이 발생했다”고 기록했다. 이 사건은 사이버 테러의 목표가 정보 유출이 아니라 물리적 시설이었으며 공격이 성공했다는 점에서 각국 보안 책임자들을 긴장시켰다. BSI가 알아낸 사실은 ‘공격자는 개인이 아닌 집단’이며 ‘IT 지식과 제철소에 대한 해박한 지식을 지녔다’는 것뿐이었다.
전 세계가 사이버 테러로 신음하고 있다. 올해도 인도와 파키스탄, 아르메니아와 아제르바이잔, 이스라엘과 그 주변국(단체), 러시아와 크로아티아, 미국과 중국 등 전 세계 각처에서 사이버 테러전이 치열하게 벌어지고 있다. 총성이 들리지 않고 인명 살상이 없을 뿐 독일 제철소의 경우처럼 물리적인 파괴는 이미 시작됐다. 보안 전문기업 시만텍의 윤광택 이사는 “사이버 공격 수법이 나날이 발전하고 지능화돼 대응이 쉽지 않다”며 “기밀 정보 유출을 넘어 사회 혼란을 야기할 목적의 공격이 더욱 많아질 것”으로 예상했다.
사이버 공격(Cyber attack)은 크게 네 범주로 전문가들은 구분한다. 정치·사회적 목적에서 정보 유출이나 사이트를 다운시키는 ‘핵티비즘(Hacktivism)’, 금융기관이나 개인 돈을 빼내는 등의 ‘사이버 범죄(Cyber crime)’, 기업 기밀과 기술 등을 훔치는 ‘사이버 스파이(Cyber espionage)’, 정부 조직단위의 파괴행위인 ‘사이버 전쟁(Cyber warfare)’ 등이다.
사이버 테러리즘은 사이버 전쟁에 속하며 “정치적인 목적에서 계획적으로 정부 혹은 준정부조직에 의해 비군사적 목표물을 대상으로 컴퓨터 시스템과 프로그램, 데이터 등을 공격하는 것”으로 미 연방수사국(FBI)은 정의한다. 지난 19일 FBI는 소니사 해킹공격에 대해 ‘미국 민간기업과 민간인에 대한 북한의 공격’으로 발표했는데 이를 사이버 테러로 간주한 것이다.
사이버 테러는 인터넷과 동전의 양면처럼 함께 기술이 발전하고 있다고 전문가들은 보고 있다.
1999년 발생한 중국 해커집단에 의한 미국 정부기관 사이트 공격은 초기 사이버 테러의 전형이었다. 당시 미국은 내전 중이던 유고슬라비아의 중국 대사관을 오인해 폭격했다. 사건이 발생하자 중국 해커집단은 미국 백악관과 에너지부, 내무부, 국립공원관리소까지 사흘간 이메일 융단폭격을 퍼부었다. 물리적 피해는 적었지만 이 사건은 중국이 언제든지 미국에 대해 전면적인 사이버 테러를 단행할 수 있다는 경각심을 미국인에게 심어줬다.
2000년대에는 정보를 캐내고 저장 자료를 삭제하는 ‘트로이안’ ‘와이퍼’ 같은 악성코드가 이란, 이스라엘, 사우디아라비아, 시리아 등 중동지역을 중심으로 창궐했다. 사우디아라비아 국영석유회사 아람코는 이란의 ‘샤문 바이러스’ 공격으로 3만대의 컴퓨터가 부팅조차 되지 않았다.
2010년에는 이란 원자력발전소와 우라늄 농축시설에 대해 ‘스턱스넷 공격’으로 가동이 중단되는 물리적 피해를 입었다. 당시 이란의 핵과학자 4명도 암살됐는데 이란은 이스라엘과 미국 소행으로 단정했다.
미래 사물인터넷(IoT) 시대에는 사이버 테러로 인한 물리적 파괴력이 전쟁 수준에 못지않을 것으로 전문가들은 우려하고 있다.
포레스터리서치 등 시장조사기관은 내년 IT시장 분석 리포트에서 “‘IoT’는 인터넷 위협(Internet of Threat)을 뜻하게 될 것”이라며 “IoT 확산으로 해킹 시도가 상시화되고 사이버 안보 위협이 더 많아질 것”이라고 지적했다.
예를 들어 구글이 개발한 자율운전차(무인자동차) 등 ‘움직이는 인터넷 기기’들은 해킹될 경우 인명 살상무기가 될 수 있다. 또 헬스케어 분야에서 사이버 테러리스트들이 환자의 심박 조율기나 MRI 장비 등을 해킹하는 것도 영화 속 장면만은 아니다. 2007년 지병인 심장질환으로 체내 심장박동기를 사용하던 딕 체니 전 미국 부통령은 해킹 위협이 제기되자 이 장치의 무선 조종 기능을 중지시키기도 했다.
최근 글로벌 보안업체 시만텍이 발표한 ‘사이버 범죄 및 보안 위협 동향 조사’에 따르면 유아 모니터용 카메라, 보안 카메라, 인터넷 공유기 등 가정용 IoT 기기가 해킹당하는 사고가 발생했다.
매일경제
