랜섬웨어 협박범에 13억 줄 때까지 속수무책...“대응 매뉴얼 필요” 한 목소리

실시간
뉴스

법제도/정책

랜섬웨어 협박범에 13억 줄 때까지 속수무책...“대응 매뉴얼 필요” 한 목소리

디지털데일리 발행일 2017-06-16 09:42:56

최민지

URL복사

[디지털데일리 최민지기자] 웹호스팅 기업 ‘인터넷나야나’가 해커에게 협상금액 13억원을 전달했다. 사상 최악의 랜섬웨어 선례에, 한국은 전세계 해커들의 집중타깃이 됐다.

그러나 이 과정에서 정부의 적절한 대응 매뉴얼이 없어 향후 유사한 사건 재발시 또 다시 당할 수 있다는 지적이 제기돼 정부 차원의 대응책 마련이 요구되고 있다.

황칠홍 인터넷나야나 대표는 해커와 협상금액을 최종적으로 결정한 직후 미래부 등에 이를 알렸다. 암호화된 데이터를 복구하기 위해 해커와 협상을 하려고 하는데, 돈을 보내도 되느냐에 대한 질문이었다. 범죄자와 거래하는 것에 대한 정부의 가이드를 요청한 것이다.

미래부는 구두상으로 관련 규정이 없어 미래부가 관여하기 어렵다는 입장을 밝혔다. 미래부 관계자는 “미래부가 판단할 수 있는 상황이 아니며, 개별 기업이 데이터의 가치를 판단해 범죄자와 협상하는 것에 대해 정부가 관여하는 자체가 바람직하지 않다”며 “해커와의 협상에 대한 법률·규정이 없어 가이드를 제시할 부분은 없으나 필요한 부분에 대한 지원을 진행하기 위해 협의하고 있다”고 말했다.

미래부와 한국인터넷진흥원(KISA) 등은 지난 10일경부터 인터넷나야나 랜섬웨어 사실을 인지하고 대처해 왔다. 이에 현재 경찰 등은 사이버공격 경위 및 비트코인 추적 등을 진행하고 있다.

이제 문제는 정부의 설명이 설득력이 있다하더라도, 랜섬웨어를 통해 해커가 거액의 금액을 요구한 부분에 대해서는 기업의 독자적인 결정에만 맡겨놓는 것이 바람직하냐는 것으로 옮겨지고 있다.

최근 몇 년 간 전세계에서 가장 대두되고는 있는 사이버공격이 랜섬웨어다. 랜섬웨어가 흥행에 성공하게 된 이유는, 이번 사건에서 알 수 있듯이 수익성이다. 중요 파일을 인질로 잡고 몸값을 내놓으라고 협박하는데, 그동안의 주로 개인들이 당해 왔다.

하지만 인터넷나야나를 기점으로 이제 기업을 대상으로 한 표적형 랜섬웨어 공격이 성행할 것으로 전망된다. 협상금액이 공개되면서 13억원이라는 가격선까지 형성돼버렸다.

이 과정에서 일단 정부는 협상에 관여하지 않았다. 관련 법률 규정이 없기 때문에 기업의 판단에 맡길 수밖에 없다는 입장이다. 그러나 한편으론 정부가 기업을 대신해서 협상에 개입할 경우, 사안 자체가 커져서 오히려 사태 해결에 어려움을 줄 수 있고, 모든 기업의 랜섬웨어 협상에 정부가 나서는 것도 현실적으로 문제가 있기때문에 현 단계에서 정부의 스탠스를 지적하기에도 무리가 따른다.

◆정부의 역할은 어디까지? 견해 엇갈려 = 워너크라이 랜섬웨어가 한 달 전 한국을 비롯해 전세계를 휩쓸었다. 당시 미래부는 민관협의체를 구성하고 핫라인을 구축하며 랜섬웨어 추가 공격에 적극 대응하겠다는 의지를 내비쳤다. 랜섬웨어에 걸리지 않도록 예방하고, 감염된 이후 정상화를 위한 보안기술 지원만이 능사가 아니라는 지적이다.

이와 관련 정부도 법률 규정이 없어 답답하다는 입장이다. 랜섬웨어에 걸려 해커와 협상하는 것이 불법으로 돼 있지 않아 사설복구업체들이 운영되고 있다. 이런 상황에서 정부가 개별 기업에게 해커에게 돈을 보내는 행위에 대해 불법이라고 말하기 어렵고, 그렇다고 이를 허용해 랜섬웨어 성행을 돕는 것도 어렵다는 판단이다.

그럼에도 랜섬웨어에 대한 논의가 활발했었던 만큼, 실제 랜섬웨어에 걸린 피해자들이 가장 다급해하는 협박범의 요구에 대처하는 방안에 대해서는 손을 놓고 있었다는 지적은 불가피해 보인다.최소한의 매뉴얼이라도 마련하고 최악의 13억 사태를 막았어야 했다는 지적이 제기된다.

보안업계 관계자는 “인질극이 벌어지거나 테러범이 국민의 목숨을 담보로 협박을 한다면, 과연 정부에서 이에 관여하지 않을 수 있겠는가”라며 “물리적인 상황에서는 범죄자와 협상하는 규칙이 존재할 텐데, 사이버상에서는 전무하다”고 주장했다. 뮤

이어 “정부가 책임을 질 수 없기 때문에 기업과 해커 간 거래에 관여하지 않겠다는 것은 책임 회피로 볼 수 있으며 사이버 컨트롤타워를 통해 이런 사건이 벌어졌을 때 지혜를 모으고 조속히 대처해야 한다”고 덧붙였다.

그러나 이같은 주장에 대해 “개별 민간기업이 보안을 소홀히해 사태를 초래한 것까지 정부가 모두 책임져야 하는 것은 지나친 해석이고 자칫 모럴 해저드가 생길 수 있다”는 반론도 만만치 않다.

<최민지 기자>cmj@ddaily.co.kr