1-1. "홈 네트워킹 도입..사적정보 유출 예방해야"<삼성硏>  

가정의 모든 ''정보 가전''을 연결하는 홈 네트워크 시스템이 정착되기 위해서는 사생활 정보유출의 예방이 선결돼야 한다는 지적이 나왔다.

삼성경제연구소는 22일 ''홈 네트워크 산업의 최근 동향과 이슈''라는 제목의 보고서를 통해 "홈 네트워크 시스템 도입초기 가정생활에 관련된 개인정보의 유출은 해당산업의 수요창출을 저해하는 결정적인 요인으로 작용할 수 있다"며 이같이 지적했다.

연구소는 "홈 네트워크 시스템이 가정에 도입되면 소비자의 생활습관이나 출.퇴근 시간과 같은 프라이버시 침해 가능성이 있는 정보가 다량 생산될 수 있다"며 "온라인상에서 이러한 정보들이 해킹의 표적이 되면 홈 네트워크 시스템의 마비 뿐만 아니라 사용자의 사생활이 노출되는 결과를 초래할 수 있다"고 분석했다.

연구소는 또 "이러한 부작용으로 시스템의 수요자와 공급자 간의 법적분쟁이 발생, 해당산업이 위축되는 결과를 낳을 수 있을 것"이라 예측했다.

연구소는 따라서 "이 시스템은 인터넷 사용환경에 상대적으로 익숙하지 않은 주부나 노약자들이 주 사용대상이 될 것"이라고 전제하고 "정보의 보안문제가 해당 산업의 성패를 좌우할 것이기 때문에 보안 인증제도나 관련 보험서비스를 함께 도입, 소비자의 불안을 최소화 해야 할 것"이라고 말했다.

보고서에 따르면 2004년 현재 우리나라의 홈 네트워크 시스템 시장의 잠재규모는 약 122만4천가구에 달하고 있다.

1-2. 허운나 ICU총장 "유비쿼터스에도 그림자 있다"

ICU(한국정보통신대학교) 허운나 총장은 18일 "차세대 IT패러다임으로 유비쿼터스 시대가 다가오고 있지만 개인정보 유출 등 부작용도 심각하다"며 "유비쿼터스에도 빛과 그림자가 있다"고 밝혔다.

허 총장은 이날 한국과학기술총연합회 대전지역연합회 주관으로 대덕컨벤션센터에서 열린 ''유비쿼터스 시대의 모습은?''이라는 주제로 열린 대덕과학포럼세미나에서 이같이 말했다.

허 총장은 "유비쿼터스가 곧 유토피아는 아니다"면서 "네트워크 융합에 따른 보안위협, 지적재산권 침해, 과도한 개인정보 수집, 해킹 및 바이러스 등으로 사이버 신뢰가 붕괴되는 것 등이 유비쿼터스의 그림자"라고 부연했다.

허총장은 물론 "유비쿼터스 시대로 접어들면서 우리들이 언제, 어디서나 편리하게 인터넷을 즐기는 시대를 맞고 있다"고 유비쿼터스의 빛의 측면을 강조하기도 했다.

그는 "개인 프라이버시 침해는 특히 중요하다"고 강조했다. 허 총장은 예를들어 "월마트와 베네통에서 모든 제품에 RFID칩을 부착토록 했지만 소비자들의 모든 정보가 노출돼 반대에 직면하고 있다"고 설명했다.

이에따라 허 총장은 "유비쿼터스 시대의 과제로 이에 부합하는 법과 제도를 정비하는 것은 물론 사이버공격에 대한 예방 및 대응체계를 갖춰 정보화는 물론 정보보호가 중요하다는 사실을 사회구성원 모두가 공감하는 것이 필요하다"고 강조했다.

허 총장은 ICU와 관련 "학생들은 끊임없는 호기심과 도전정신이 요구된다"면서 "ICU는 올해부터 인도 등 동남아의 인력등과 적극적인 교류를 통해 아시아 최고대학으로 자리잡을 수 있도록 하겠다"고 밝혔다.

허 총장은 "이같은 아시아 최고대학으로 육성해 세계 500대 IT기업들이 ICU학생들을 모셔갈 수 있는 인재를 양성해 나갈 방침"이라고 소개했다.

1-3. "정보보안 소홀히하면 모든 것 잃을수 있어"     

“개개인의 은행계좌번호나 ID번호와 같은 중요한 정보를 한순간에 도난당할 수 있습니다. 정보보안을 소홀히 하면 모든 것을 잃어버리게 됩니다.”정보보안 분야의 국제적 전문가로 꼽히는 프레드 파이퍼(64) 영국 로열할로웨이대 교수는 “정보보안의 필요성은 점점 커지고 있다”고 강조했다.

한국 기업들과 정보기술협력을 위해 방한한 파이퍼 교수는 19일 정보보안학 분야의 선구적 인물로 알려져 있다. 그가 1983년 펴낸 저서 ‘사이퍼 시스템’으로 ‘정보보안학’이 하나의 학문영역으로 자리잡았다는 평가를 받는다.

이 책을 비롯한 그의 이론서들은 정보보안 전문가들과 해커들에게 바이블과 같다. 전세계 해커들과 정보보안 전문가들이 그의 이론을 바탕으로 사이버상에서 숨바꼭질을 벌이고 있다고 해도 과언이 아니다.

그는 세계 최초의 정보보안 대학원을 개설한 것으로 알려져 있다. 그가 배출한 1000여명의 제자들은 세계 각국 정보보안 분야에서 중추적인 역할을 맡고 있다. 우리나라에도 그의 제자 20여명이 정보보호진흥원(KISA)과 정보보안관련 벤처업체에서 일하고 있다.

영국 정보보안기관과 유럽 주요 국가의 보안관련 컨설팅을 맡고 있는 파이퍼 교수는 “한국에 와서 자료를 훑어보니 한국은 정보보안에서 일본 등 주변 국가들보다 수준이 높은 편”이라고 평가했다. 그는 그러나 최첨단 정보보안기술 측면에서는 아직 세계 선두권과 차이가 많다고 지적했다.

파이퍼 교수는 “현재 기술수준에서 어떤 해킹도 막아내는 정보보안 기술이 개발되어 있지만, 운용 과정에서 사람의 실수가 있으면 무용지물”이라면서 “첨단보안시스템 개발보다는 정보보안시스템을 제대로 운영하도록 철저히 교육하는 것이 바람직하다”고 조언했다.

1-4. 인도 아웃소싱 `고객정보 보호` 비상

시장 성장따라 보안문제 중요성 부각
미 의회 개인정보유출 금지법 제정추진

인도 아웃소싱 업체들이 주 고객인 미국 업체들의 고객 정보 보호에 각별히 신경을 쓰기 시작했다고 아시안월스트리트저널(AWSJ)이 8일 보도했다.

인도 아웃소싱 시장이 날로 성장해가고 있는 가운데, 데이터 보호가 아웃소싱 시장 성장에 새로운 위협으로 떠오르고 있기 때문이다. 특히 `보안'이 미국에서 중요한 정치적인 이슈가 되고 있어, 인도와 미국의 기업 경영자들은 아웃소싱 업체들이 고객 데이터 보호에 더욱 관심을 기울여야 한다고 입을 모으고 있다.

데이터 보호와 관련된 문제는 아웃소싱을 반대하는 이들이 주장하는 `아웃소싱으로 인한 북미 지역의 실직자 증가'보다 더 큰 문제로 대두되고 있다고 신문은 전했다.

실제로 미국의 의원들은 재정정보와 의약기록 등과 같은 다소 예민한 데이터들이 해외로 나가는 것을 막을 수 있는 법률 제정을 제안하고 있다.

지난 3월 뉴욕 상원의원인 힐러리 클린턴은 데이터 사기를 막기 위해 해외 모든 아웃소싱센터는 미 정부의 인증을 받아야한다는 청원서를 제출했다.

5월에는 하원의원인 에드 바키가 개인의 동의없이 개인정보를 해외로 보내지 못하게 하는 `개인정보 아웃소싱 보호법'을 지지하고 나섰다.

이처럼 미국 내에서 데이터 보호에 대한 요구가 높아지자 인도의 대표적인 아웃소싱 업체들도 이에 대한 대비책을 마련하고 있다.

뉴델리에 소재한 브이커스터머는 5초마다 콜센터의 네트워크를 검사하고, 모니터링 시스템을 이용해 파일을 다운로드받으려는 시도나 데이터를 보내려는 시도를 감지하고 있다.

또 사무실 자체에 보안시설을 철저하게 구축하고 있다. 이 회사 직원들은 각자의 정보를 기록한 아이디카드를 가지고 있는데, 이 카드를 통해 회사는 직원들이 회사 내에서 이동하는 거리와 시간을 계속 체크할 수 있다. 또한 기자들을 포함해서 모든 방문자들은 콜센터에 들어가는 것이 금지되어 있다.

이 회사 경영진들은 데이터 유출을 막기 위해 근무 환경을 완벽하게 종이없는 일터로 만들어가고 있다. 또 콜센터 내부의 회사 에이전트에서는 일과 관련없는 이메일을 보내는 것도 금지되어있으며, 컴퓨터에서 CD롬 드라이브와 USB 포트 등은 아예 없애버렸다.

브이커스터머의 통제센터에서는 전화 대화 내용과 날짜, 시간이 차곡차곡 데이터베이스에 저장되며, 근무시간이 아닌 경우에 아무도 시스템에 접근할 수 없도록 자동잠금장치가 되어 있다.

인도의 대표적인 아웃소싱 업체인 위프로스펙트라마인드는 사설 보안회사를 이용, 분기별로 쏟아지는 신입사원들의 뒷 배경을 조사한다. 그들이 사내 정보를 유출할 위험이 있는지 없는지를 점검하기 위한 것이다.

위프로는 재정 관련 데이터와 의약기록 등과 같은 정보들도 다루고 있는데, 이 경우 특정 클라이언트들에게 맞춤 보안서비스를 제공한다. 또한 고객 중 정보를 미국 서버에 남겨놓기를 원하는 고객에 대해서는, 정보를 인도 서버로 가져오지 않고 콜센터 에이전트가 미국 서버에 암호화된 상태로 접속해 작업을 진행한다.

이같은 인도업체들의 노력과 함께 사이버범죄를 막기 위한 미국과 인도 정부의 공조도 확대되고 있다. 지난 10월 뉴델리의 한 호텔에서 인도 정부 관계자와 미국 상무부 관계자, MS와 시스코, 오라클 등 업계 관계자들이 모여 워싱턴과 뉴델리를 연결하는 `미국 인도 사이버테러리즘 이니셔티브'를 구축하기도 했다.
　

2-1. 알짜 정보는 인터넷이 아니라 PC에 있다

구글이 하는 일은 모두 이슈가 되는 것일까? 아니면 정말 필요한 일을 구글이 앞서 개발하는 것일까?

구글(www.google.co.kr)이 데스크톱 검색 툴을 내놓았다. 구글이 블로거닷컴을 운영중인 파이라를 인수했을 때, 지인 커뮤니티 서비스를 시작한다고 했을 때, 그리고 1GB짜리 메일 서비스를 시작한다고 했을 때처럼 인터넷 업계가 겪었던 부산함이 마찬가지로 느껴지고 있다.

MSN(www.msn.com)이 최근 새로운 검색을 내놓으면서 데스크톱 검색을 올 연뺑沮?내놓기 위해 개발에 박차를 가하고 있다고 밝힌 바 있다. 미국에서는 구글에 이어 라이코스의 핫봇(www.hotbot.com)이 툴바 형식의 데스크톱 검색을 선보였다. 모질라 최신 버전인 파이어폭스는 브라우저 기능의 하나로 데스크톱 검색 기능을 포함시키겠다는 약속을 했다. 국내에서는 엠파스(www.empas.com)의 검색 기능을 담당하고 있는 코난테크놀로지(www.konantech.co.kr)가 데스크톱 검색 툴 베타 버전을 선보였다.

어느 정도 정체기에 들어선 검색엔진 사업체들은 누가 데스크톱 검색 시장을 점령하느냐에 따라 검색 판도가 달라질 수 있다고 판단하는 것으로 보인다.

데스크톱 검색이란 웹에 있는 콘텐츠를 검색하듯 자신의 PC에 저장돼 있는 데이터를 검색할 수 있는 기능을 말한다. 굳이 운영체제에 검색 기능이 있는데도 불구하고 이런 검색툴이 나오는 것은 사용자들이 PC에 복잡한 기능에 익숙해지는 것보다 마우스로 꾹꾹 누르면 되는 인터넷에 더 빠르게 익숙해졌다는 것을 반증한다. 또 하나는 인터넷 검색 엔진 기술의 발달로 인해 파일 내용과 파일 형식별 검색이 가능해졌기 때문이기도 하다.

검색엔진이 내놓게 될 데스크톱 검색은 어떤 특징을 갖고 있을까. 우선 인터넷 검색처럼 인덱스 방식을 사용하는 것으로 보인다. 인터넷 검색은 인덱스 양으로 그 기능성을 판단하게 된다. 인덱스 방식을 사용하는 것은 수많은 문서의 내용을 간단한 DB로 쌓아두어 효율적인 검색을 하기 위해서다.

하지만 초기에 내놓은 구글의 데스크톱 검색 툴에서 보듯 인덱스 양이 적고 인덱스 범위가 좁을 때는 정말 원하는 문서를 찾기 힘들 수도 있다. 실제로 기자의 PC에 담겨 있는 수많은 기사 데이터 가운데 구글 데스크톱 검색은 10/1도 제대로 찾지 못하는 것을 볼 수 있다.

검색엔진이 노리고 있는 검색 기능의 궁극적인 목표는 어떤 파일형식이든 원하는 단어가 담긴 것이라면 바로 결과를 보여주는 것이다. 예를 들어 이메일 데이터는 이메일 클라이언트에 직접 들어가서 검색해야 하지만 검색엔진을 이용한 데스크톱 검색은 이메일 메시지 안에 담고 있는 단어들을 검색해 웹브라우저에서 바로 보여주게 된다. 또한 워드, 파워포인트 등의 문서 파일도 운영체제에서는 제목이나 수정 날짜, 요약 등의 정보로 찾게 되지만 검색엔진을 이용하면 네이버나 엠파스에서처럼 내용을 함께 검색할 수 있게 된다.

물론 구글이나 외산 툴은 국산 소프트웨어인 한글 등의 문서 형식은 지원되지 않는다. 따라서 국내 검색엔진 업체인 코난테크놀로지의 데스크톱 검색 툴에 기대를 갖게 된다. 국산 검색 사이트 가운데에서도 여러 참여가 있을 것이란 소문은 있지만 아직 정확한 개발 방향이나 일정을 내놓지는 않고 있다. 하지만 웹브라우저의 상단 바 형태의 툴바가 사용자들로부터 호응을 받으면서 핫봇처럼 툴바 형태의 데스크톱 검색 기능이 추가될 것으로 점쳐볼 수 있을 것이다.

10년 이상 PC 사용자들이 늘고 있고 그들이 쌓아놓은 데이터가 수백GB에 이르는 하드디스크에 쌓이면서 사용자들은 웹보다 자신의 PC에 담긴 것을 손쉽게 찾을 수 있는 툴을 요구해온 것이 사실이다. 이런 사용자들의 요구를 기술 업계가 발빠르게 받아들이고 있는 것으로 해석할 수 있다.

여기까지는 데스크톱 검색 툴에 대한 긍정적인 요소라고 할 수 있겠지만 최근 나오는 모든 기술이 그렇듯이 이 기술도 역시 사생활 침해, 보안 등의 이슈를 몰고 올 수 있는 여지가 다분하다.

웹검색 기능과 함께 연동되는 형태든, 툴바 형태든 데스크톱 검색 툴은 사용자 하드디스크에서 조용히 인덱스 작업을 할 것이고 사적인 내용을 담고 있는 내용이 누군가의 손에 들어갈 수도 있다는 점을 상상해본다면 왜 데스크톱 검색 기술이 사생활 침해 논란을 불러 올 수 있는지 짐작할 수 있을 것이다.

적어도 해커의 입장이라면 데스크톱 검색 툴이 저장해 놓은 인덱스 파일을 찾는 것만으로 그 PC 안에 저장돼 있는 데이터의 성격과 분류, 내용까지 손쉽게 손에 넣을 수 있을 것이기 때문이다.

데스크톱 검색 기술이 아직 초기 단계이고 각 업체마다 내놓고 있는 버전이 베타수준에 머물러 있지만 사용자의 데스크톱 검색 인덱스 파일이 P2P 형태로 발전하게 되면 아마도 인터넷 콘텐츠 수는 수십배씩 증가하게 될 것이다. 어쩌면 리뉴얼로 사라진 오래전 사이트 모습도 고대 유물처럼 사용자 PC에서 임시 파일로 잠자고 있을지도 모른다.

RFID, 유비쿼터스, 데스크톱 검색 등 인터넷과 PC가 하나로 합쳐지는 과정이 생각보다 빠르다. 적어도 안전한 컴퓨팅 환경에 대한 요구나 사용자의 개인정보에 대한 보호 의식의 발전 속도보다 빠르다.

<출처 : ZDNet Korea>

2-2. [류한석의 스마트 모델링] 사용자는 좀비가 아니다: 네이버의 소탐대실  

독자들은 구글의 공동 창업자들이 IPO 과정에서 밝힌 "사악해지지 말자(Don't be evil)"라는 기사 내용을 기억하고 있을 것이다. 당시에는 구태여 그런 표현까지 쓸 필요가 있을까?하는 의문을 갖는 사람들이 있었으며, 또한 사악한 것이 과연 무엇을 의미하는지 궁금해하는 사람들도 있었다.

구글의 예는 아니지만, 근래 한 유명 포탈 사이트의 스캔들을 통해 우리는 그것의 의미를 명확히 이해하게 되었다. 최근 네티즌들 사이에 이슈가 되고 있는 네이버의 터보플레이어 사건이 바로 그것이다. 네이버에서 동영상을 보기 위해서는 반드시 터보플레이어를 설치해야 하는데, 그로 인해 PC 및 네트워크의 성능이 저하되어 곤란함을 호소하는 사용자들이 많았다. 근래 밝혀진 바에 의하면, 네이버의 터보플레이어는 사용자에게 정확히 안내하지 않은 상태에서 사용자 PC의 시스템 자원(CPU, RAM, HDD)을 상당부분 사용하고 또한 엄청난 네트워크 트래픽을 유발했음이 사실로 드러났다.

이번 사태의 문제점은 다음과 같은 3가지 핵심으로 요약될 수 있다.

첫째, 네이버는 프로그램 설치로 인해 사용자가 감수해야 하는 나쁜 영향에 대해 분명하고 확실하게 안내하지 않았다. 그래서 대부분의 사용자들은 자신의 PC에 미칠 나쁜 영향을 인지하지 못했는데, 네이버측에서 최근에 사용자들의 항의를 받은 후에는 프로그램 설치 시 좀 더 많은 내용을 안내하고 있기는 하지만, 여전히 일반 사용자들이 정확한 내용을 이해하기는 힘든 상황이다. 또한 웹 페이지 상에 표시한 플레이어 아이콘이 MS의 윈도우 미디어 플레이어를 연상시키는 것이어서 더욱 오해를 유발하고 있다.

둘째, 터보플레이어가 설치된 후에는 네이버 접속 여부 및 해당 프로그램의 사용 여부와 상관없이 부팅 시마다 무조건 스파이웨어 성격의 TurboAgent.exe이 가동됨으로써 사용자 PC가 마치 네이버의 서버처럼 마음대로 이용되고 있다는 점이다.

네이버는 이것을 P2P 프로그램의 장점을 이용한 것이라고 해명하고 있지만, 사용자들이 단지 P2P 기능 자체를 문제시 할 만큼 미숙하지는 않다.

프루나 등과 같은 P2P 전용 프로그램들 조차 해당 프로그램이 가동하고 있을 경우에만 P2P 기능이 작동하고, 또한 부팅 시 자동 실행 여부를 사용자가 선택할 수 있고 언제든지 프로그램 종료가 가능한 반면에, 터보플레이어는 자동 실행 에이전트를 몰래 설치하고 그것이 플레이어와는 별개로 항상 동작하며 종료할 수조차 없다(물론 작업관리자를 이용하면 가능). 이것은 합리적인 P2P 애플리케이션이 아니며, 사용자가 설정/통제할 수 없는 상태로 무조건 구동되고 트레이 아이콘도 표시되지 않으며 시스템의 자원을 소모한다는 점에서 일종의 악성 스파이웨어라고 할 수 있는 것이다.

셋째, 너무나 과도한 시스템 자원의 사용이다. 사용자들의 항의에 따라 지금은 좀 더 약하게 수정이 되었기는 하지만, 얼마 전까지만 해도 사용자의 동영상 재생 분량에 따라 무려 수GB에 이르는 하드 디스크 자원을 점유하였다. 지금도 여전히 과도한 수준인 것은 마찬가지이다.

그리고 사용자 PC의 메모리에 항상 상주하면서 사용자의 네이버 접속 여부와 상관없이 사용자 PC를 마치 자신들의 동영상 서버인양 이용하고 있는 것 또한 여전하다. 이에 대한 사용자들의 항의에 따라, 네이버측에서는 약관 내용의 일부를 프로그램 설치 시점에 공지하고(여전히 충분치는 않다) 이전 버전보다 프로그램 삭제를 강화하였지만, 위에서 설명한 이 프로그램의 스파이웨어적 행태는 기본적으로 달라지지 않았다.

열혈 사용자의 추적에 따라 이슈화되기 전까지 상당한 기간 동안 네이버는 이러한 식으로 터보플레이어를 운용한 셈인데, 백 번 양보하여 P2P로 인한 장점을 인정한다고 하더라도 단지 딱 한번 네이버에서 동영상을 보기라도 한다면 그때부터 (사용자가 수동으로 프로그램 제거를 하기 전까지) 사용자의 PC가 영원히 네이버에 이용당해 버린다는 것은 너무나 과도한 처사인 것만은 확실하다(특히 저사양의 PC라면 사용자가 너무 불쌍하다. 사용자는 좀비가 아니다).

컬럼의 서두에서 언급한 내용처럼, 구글은 'evil'이라는 극단적인 표현까지 사용해가며 기업의 이윤추구보다 고객의 신뢰를 우선시하겠다는 전략을 밝힌 바 있다. 하지만 그것이 결과적으로 고객을 위해 자사의 이익을 포기하겠다는 뜻은 아니라고 생각된다. 고객에게 피해를 주는 방식으로 이익을 추구함으로써 고객이 결국 떠나버리게 하지는 않겠다는 것, 그것은 바로 소탐대실(小貪大失)하지 않겠다는 뜻이다.

기업은 이윤 추구를 통하여 고용을 창출하고 기술을 개발하고 결국 사회의 발전에 기여한다. 하지만 단기적 이익에 연연한 나머지 고객의 신뢰를 져버린다면, 결과적으로 회사의 이미지와 가치에 심각한 손상을 가져올 것이다. 프리챌의 유료화 사건도 그러한 경우에 해당하지 않는가?

사용자들과의 정서적 유대감으로 이익을 얻는 커뮤니티 사이트의 특성상, 작은 의사결정의 실수와 그에 따른 사용자들의 실망감이 엄청난 파장을 가져올 수 있는 것이다. 그러므로 포탈/커뮤니티 사이트들은 어떤 기업 유형보다도 특히 사용자들의 감수성을 절대적으로 존중하고 두터운 팬층을 유지하는 것이 중요하다. 구글은 그것을 가장 잘 알고 있는 회사이며, 아직까지는 성공적인 행보를 보이고 있다. 하지만 소탐대실의 유혹은 언제 어디에서나 존재하며, 구글의 공동 창업자들은 그것에 대한 우려를 극단적인 문구로 표현한 것이다.

터보플레이어가 분명히 스파이웨어적인 성격을 갖고 있음에도 불구하고, 아직도 네이버는 이 사태의 심각성을 이해하고 있지 못하는 듯하다. 사용자가 나쁜 영향의 수준을 명확히 인지하기 힘들고, 사용자가 자동 실행 및 종료 여부를 통제할 수 없고, 사용자가 네이버를 이용하지 않는 상태에서도 무단으로 계속 시스템을 점유하며 작동하고 있다면, 이것은 명백한 스파이웨어이다. P2P인가 아닌가에 대한 이슈가 아닌 것이다.

네이버는 인터넷 기업으로서는 치명적인, 사용자 애정의 배신이라는 함정에 빠지게 되었다. 해당 프로그램을 통해 서버 및 네트워크 비용의 절감을 얻었는지는 모르겠지만, 고객의 신뢰를 상실하였다. 결과적으로 마이너스의 효과를 얻은 것이다. 자그마한 일로 너무 커다란 비약을 하는 것이 아닌가?하는 독자들의 의견도 있겠지만, 이번 사건은 어쩌면 기업 철학을 드러내는 것이며 사용자를 존중하는가 아닌가에 대한 문제인 것이다.

네이버 사용자의 한 사람으로서, 이번 사태가 기업 철학의 본질적인 문제가 아니라 갑작스런 조직 규모의 비대화에 따른 단편적인 부작용이기를 바라는 마음이 있다. 하지만 스캔들 이후 네이버의 대응은 실망스러운 수준이었으며, 그로 인해 사용자들의 마음에 퍼지는 사악한 기운이 몹시 안타까울 따름이다.
　

2-3. CA「가장 위협적인 스파이웨어는 카자」

컴퓨터 어소시에이츠 인터네셔널(CA)는 현재 가장 위협적인 스파이웨어로 P2P 파일 공유 프로그램인 카자(Kazaa)를 지목했다.

CA는 페스트패트롤(Pest Patrol) 연구를 통해 작성한 위협적인 스파이웨어 상위 5개를 공개했다. 카자는 그 가운데 가장 위협적인 프로그램으로 선정됐다. 이는 카자가 다른 프로그램에 비해 보급률이 높고 그 때문에 영향력도 크기 때문이라고 CA측은 설명했다. 카자는 자사의 소프트웨어가 2억 1400만회 다운로드 횟수를 기록하고 있다고 주장한다.

CA는 카자가 불필요한 레지스트리나 디렉토리를 생성해 컴퓨터의 처리 속도를 저하시키는 '지연 지수(clot factor)'가 높다고 평가했다. 그러나 이것은 자체적인 평가기준일 뿐만 아니라 카자와 같은 인기 애플리케이션을 스파이웨어로 분류하는것은 다소 미묘한 문제기 때문에 CA는 카자를 어떻게 분류할지에 대해 조심스러운 게 사실이다.

CA의 보안전략 담당 부사장인 사이먼 페리는 "카자가 유용한 프로그램임은 틀림없다. 하지만 이 프로그램을 실행시키면 몇 백만의 사람들이 자신의 PC에 접속할 수 있게 된다. 특히 카자는 너무 넓게 보급돼 있기 때문에 그만큼 위협도 커진다"고 말했다.

CA는 블럽스터나 이뮬, 뉴클리우스, 윈MX와 같은 다른 P2P 파일 교환 프로그램도 애드웨어나 스파이웨어가 번들되면서 네트워크의 성능을 저하시키고 저장 용량을 소모할 가능성이 있다고 말했다.

CA가 발표한 스파이웨어 리스트의 두번째는 애드웨어인 '에즐라(Ezula)'가 올랐다. 그 다음으로는 어댑트 핫바 닷컴(adopt.hotbar.com)', '게임스파이 아케이드(GameSpy Arcade)'가 뒤를 이었다.

페리는 CA가 스파이웨어를 정의하기 어렵다는 이유로 일부 프로그램들을 '페스트(pests)'라는 용어를 사용한다고 말했다. 바이러스의 정의는 분명한데 비해 스파이웨어의 해석은 사람에 따라서 가지각색으로 달라질 수 있기 때문이다.

이와 함께 CA는 인터넷 사용을 방해하는 30가지 프로그램을 '페스트'로 통칭하고 있다.

그는 "페스트는 더 넓은 범주의 개념이며 스파이웨어, 애드웨어, 브라우저 헬프 오브젝트 등이 포함된다. 바이러스 제작자는 자신이 만든 것에 대해 바이러스라고 부른다고 해서 소송을 일으키는 경우는 없다. 그러나 CA가 지목한 일부 프로그램의 제작자는 자신의 제작물이 스파이웨어로 불리는데 대해 항의하는 이도 있다"고 말했다.

그러나 CA는 웹사이트에서 카자를 분명히 가장 심각한 스파이웨어로 분류하고 있으며 이번에 발표된 상위 5개 프로그램의 순위는 당분간 이어질 것으로 보고 있다.

이번 문제에 대해 카자를 배포한 샤만 네트웍스는 즉각적인 입장표명을 피했다.

Dan Ilett (CNET News.com)

2-4. 이런게 스파이웨어!

스파이웨어(애드웨어 포함)는 다양한 경로를 통해 사용자 컴퓨터에 설치된다.

주로 성인 사이트나 지명도 낮은 인터넷 사이트 방문시 스파이웨어에 감염될 가능성이 높다. 스팸메일을 통해서도 심심치 않게 설치된다.

스파이웨어는 스스로 스파이웨어라고 알리지 않는다. PC 사용시 유용한 소프트웨어거나 사이트 서핑시 반드시 필요한 SW로 위장하는 경우가 많다. 이 때문에 사용자는 ''동의'' 절차를 거쳐 자발적으로 스파이웨어를 설치하는 꼴이 된다. 동의를 구하는 내용이 영문으로 된 스파이웨어도 수두룩하다.

[그림1] 사용자 동의를 구하는 화면 (사진제공: 하우리)

셰어웨어나 프리웨어에는 조심해야 한다. 스파이웨어 기능이 포함된 것이 많기 때문이다. 스파이웨어 기능을 가진 셰어웨어나 프리웨어를 설치하면 스파이웨어도 함께 설치된다.

그림1의 경우 동의를 구하는 내용이 영문으로 돼 있어, 별 생각없이 ''Yes''를 누르기 쉽다.

[그림2] 업체명과 목적이 명시된 화면 (자료제공: 안철수연구소) 인터넷을 돌아다니다 보면 한번쯤 접했을 화면이다.

꼼꼼히 살펴 보면 특정 회사가 팝업 광고를 위해 설치하는 광고성 스파이웨어라는 것을 알게 된다. 그러나 ''보안 경고''만으로 설치되는 프로그램이 스파이웨어인지 확인하는 것은 어렵기 마찬가지다.

일부 사이트의 경우 프로그램을 설치하지 않으면 정상적인 사이트 이용을 어렵게 만들어, 반강제적으로 ''예''를 누르도록 만들기도 한다. 그래도 [그림2]는 그나마 ''지킬것은 지키는'' 스파이웨어에 속한다고 할 수 있다.

[그림3] 인증없는 액티브X 설치 요청(자료 제공: 안철수연구소) 정상적인 액티브X에는 특정 업체가 그것을 보증한다는 내용이 명시돼 있다.

그러나 [그림3]처럼 업체명이 없고, 프로그램만 있는 경우도 많다. [그림2]에 비해 악질이라고 할수 있다. 이 경우 사용자는 무심코 ''예''를 누를 가능성이 높다.

액티브X 는 응용 소프트웨어를 인터넷과 연결시킬 때 필요한 것으로 인터넷에서 다양한 SW를 구현할때 이용된다.

[그림4] 스팸메일에 스파이웨어 코드가 존재하는 경우(자료제공:안철수연구소) 스팸메일 속에 스파이웨어 설치 주소를 삽입해 발송한 것이다. 사용자가 스팸 메일을 읽을 경우 경고창이 뜨고 ''예''를 누르면 스파이웨어가 설치된다.

　

3-1. 해커들의 총반격이 시작됐다