PHP 취약점에 잇단 해킹까지…정부, 통신·금융 등 핵심시설 172곳 보안점검

[서울=뉴시스]윤현성 심지혜 기자 = 최근 금융·공공기관·민간기업을 아우르는 전방위적 사이버 침해사고가 이어지고 'PHP'를 비롯해 웹 개발 소프트웨어에서 심각한 보안 취약점이 잇따라 발견되면서 정부가 민간 핵심 정보통신시설 170여곳에 대한 보안 점검에 나섰다. 통신·플랫폼·금융 등 주요 산업 분야를 대상으로 외부에 노출된 서버와 웹페이지의 보안 취약점 등을 집중적으로 살펴본다는 방침이다.

28일 과학기술정보통신부에 따르면 정부는 민간 분야 주요정보통신기반시설을 관리하는 111개 기관을 대상으로 보안 취약점 점검을 진행하고 있다. 점검 대상은 이들 기관이 관리하는 약 172개 시설로 알려졌다.

이번 점검은 최근 금융권과 공공기관에서 개인정보 유출 등 보안사고가 잇따르는 가운데 주요 정보통신시설의 보안체계를 강화하기 위해 추진됐다.

특히 최근 금융권에서 발생한 사이버 침해사고에서는 관리가 소홀했던 인터넷 접점 자산이 해커의 침투 경로 중 하나로 지목됐다. 외부에서 접근할 수 있는 서버나 웹페이지 등에 보안 허점이 남아 있을 경우 이를 통해 내부 시스템까지 공격에 노출될 수 있다는 것이다.

이에 과기정통부는 이번 점검에서 외부에 노출된 정보통신 자산의 보안 취약점을 중점적으로 확인하고 있다. 각 기관이 운영하는 시스템의 보안 관리 실태를 살펴보고 사이버 공격에 악용될 수 있는 취약 요소를 파악하는 데 초점을 맞춘다.

점검 대상에는 신사, 플랫폼 기업 등 다양한 분야의 주요정보통신기반시설이 포함됐다.

과기정통부 관계자는 "민간 주요정보통신기반시설에 대한 취약점 점검은 최근 상황을 고려해 진행하고 있다"며 "통신과 금융, 플랫폼 등 다양한 분야가 포함돼 있지만 구체적인 점검 대상이나 범위는 공개하기 어렵다"고 설명했다.

최근 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발견된 것도 이번 보안 점검에서 고려하는 주요 요소다.

해당 취약점은 공격자가 별도 로그인 절차 없이 특수하게 조작된 요청을 보내 서버에서 원하는 명령을 실행할 수 있는 문제다. 이를 악용할 경우 개인정보 탈취나 서버 장악, 웹사이트 변조 등으로 피해가 확산할 우려가 있다.

앞서 과기정통부는 지난 22일 PHP 취약점에 따른 대규모 해킹 가능성에 대비해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 한 단계 격상했다.

아울러 주요정보통신기반시설을 비롯한 국내 기업·기관에 긴급 보안 조치를 안내하고, 침해대응 인력 증원과 비상출동조 상시 대기 등 비상대응 체계도 가동했다.

이번 점검에서도 각 기관의 PHP 사용 현황과 관련 보안 취약점 등을 확인하고 있다. PHP를 사용하는 홈페이지가 있는지 살펴보고 자체 점검 체크리스트 등을 활용해 전반적인 보안 관리 상태를 점검하는 방식이다.

PHP뿐만 아니라 외부에 공개된 웹페이지와 서버 등 공격자가 접근할 수 있는 정보통신 자산 전반의 취약점도 살펴본다. 특정 소프트웨어의 보안 문제에 국한하지 않고 핵심시설의 전반적인 보안 수준을 확인하려는 취지다.

이번 점검은 이재명 대통령이 지난 6일 국무회의에서 민간 부문과 국가 핵심 시스템 전반의 보안체계를 조속히 점검하고 필요한 보완 조치를 즉각 시행하라고 지시한 데 따른 후속 조치로 읽힌다.

당시 이 대통령은 금융·공공기관의 잇단 개인정보 유출 사고와 관련해 정부와 기업 모두 경각심을 가져야 한다고 강조하며 신속한 보안 점검을 주문한 바 있다.

과기정통부는 이달 말까지 점검 대상 기관들의 동의를 확보하고 자체 보안 점검을 위한 체크리스트를 배포할 예정이다. 이후 각 기관의 자체 점검과 보안 관리 실태 확인 등을 병행해 취약점이 제대로 관리되고 있는지 살펴볼 계획이다.

전체 점검은 이르면 다음 달 중 마무리하고, 늦어도 올해 안에는 완료한다는 방침이다.

과기정통부 관계자는 "최근 상황 변화에 따른 보안 강화 차원에서 점검을 진행하고 있다"며 "보안상 구체적인 점검 대상과 내용은 대외적으로 공개하지 않고 있다"고 말했다.


◎공감언론 뉴시스 [email protected], [email protected]