◇해커 공격은 느는데 보안 인식과 투자는 부족=샤오치잉의 공격 수법은 고난도가 아니라는 의견이 많지만 국내 홈페이지가 뚫렸던 것은 그만큼 평소 보안 투자가 소홀했기 때문이라는 분석이 나온다. 실제로 지난 설 연휴 샤오치잉에 해킹당한 학술기관의 경우 12곳 모두가 같은 웹호스팅 업체의 서비스를 이용한 것으로 드러났다. 일주일 전 해킹당한 편의점 프랜차이즈 CU의 경우에도 특정 일부 페이지만 해킹당했음에도 메인 홈페이지를 비롯한 전체 페이지를 차단하기도 했다.

아마존 등 규모가 큰 외국계 웹호스팅 업체와 달리 국내 업체는 영세한 곳이 많다. 웹호스팅을 자체 구축하면 서버 운영이 필요하고 상시 근무할 수 있는 보안 인력도 채용해야 해 인건비 부담이 크다. 영세한 기업·기관의 경우 웹호스팅 서비스가 효율적이다. 한 보안 전문가는 “이들 기관은 홈페이지를 만들어 운영할 능력이 부족하다”며 “웹호스팅 업체에서 제공하는 보안 서비스 수준에 맞춰야 해 취약했을 것”이라고 지적했다.

전문가들은 개인정보를 따로 분리하지 않는 허술한 홈페이지 시스템을 지적한다. 염흥열 순천향대 정보보안학과 교수는 “웹사이트 내에 데이터베이스(DB)와 연계해 개인정보에 접근할 수 있는 권한이 있거나 웹사이트에서 개인정보를 게시판 등에 저장하다가 사용자에게 알게 모르게 엑셀로 통지하는 경우도 있다”고 말했다.

◇해킹 후 3개월간 방치 정황…개인정보 암호화는 기본=텔레그램에 유포된 KAB 유출 자료에는 날짜가 올 2월에 해당하는 것도 있어 최근에도 샤오치잉이 해킹을 계속해 데이터를 축적한 것으로 추정된다. 보안 업계에서는 KAB가 지난해 개인정보가 노출됐는데도 3개월간 대처가 부족했던 것으로 보고 있다. 한 보안 전문가는 “지난해 11월 샤오치잉의 전신인 ‘텅 스네이크’가 오픈소스(무상 공개 소프트웨어) 커뮤니티 ‘깃허브’에 KAB 직원들의 정보 수십 건을 공개했었다”며 “개인정보 유출 이후에도 3개월간 방치된 셈”이라고 지적했다. 그러면서 “관련 정보를 이용해 그간 후속 해킹이 이미 많이 일어났을 수도 있다”며 “이처럼 다수의 기관들은 해킹 사실을 파악하지 못해 대응하지 못하는 경우가 허다하다”고 지적했다.

전문가들은 해킹을 원천적으로 막기 어려운 만큼 정보를 암호화해 피해를 최소화하는 것이 중요하다고 지적한다. 문종현 이스트시큐리티 이사는 “사이버 보안의 기본은 개인정보 암호화”라면서 “정부나 수사기관이 적극적으로 나서 법적 책임을 끝까지 묻는 한편 범정부 차원에서 정보보호와 관련한 대책과 투자 확대가 이뤄져야 한다”고 말했다.