아직 끝나지 않은 스턱스넷의 공포

2010년 전세계를 긴장시켰던 악성코드 스턱스넷이 내년에는 더욱 위협적인 존재로 부상할 것이란 관측이 쏟아지고 있다.

올해 이란 원전시설을 마비시키는 위력을 과시했던 스턱스넷 악성코드는 내년에 다양한 변종의 등장과 함께 한층 강력해질 것이란게 전문가들의 전망이다.

스턱스넷은 교통, 전기, 수도, 발전소와 같은 사회 기반 시설에 있는 제어 시스템(PCS; Process Control System)을 감염시켜 오작동을 유발한다.

외신들에 따르면 이란의 경우 스턱스넷 공격을 받아 핵 원전시설에서 최대 1천개에 달하는 원전기가 마비됐을 가능성이 제기됐다. 2011년에는 PC, 서버, 라우터가 아닌 다른 인프라를 통해서도 스턱스넷 공격을 받을 수 있다는 전망도 쏟아진다.

미국 보안 업체 사이버 아크(Cyber-Ark)의 아담 보스니아 부사장은 향후 스턱스넷 위협에 대해 "예상된 공격 대상을 넘어 생각할 필요가 있다"고 지적했다. 데이비드 올브라이트 미국 과학국제안보연구소(ISIS) 회장도  "스턱스넷은 천천히 미묘한 손상을 유발해 시스템 운영자가 악성코드로 의심하지 않게 만든다"고 경고했다.

판다시큐리티 보안 전문가들도 "스턱스넷과 같은 특화된 악성코드는 확실히 증가할 것이며, 일반이들이 공격을 대비하기 쉽지 않을 것"이라고 예상했다.

스턱스넷은 마이크로소프트(MS) 윈도 운영체제(OS) 결함을 이용했다. 감염됐을 경우 스턱스넷은 고정 패스워드를 사용해 로그인을 시도한다. 고정 비밀번호는 모든 지멘스 시스템 콘트롤러에서 동일하게 적용된다. 고정 비밀번호는 앞으로 스턱스넷과 같은 보안 위협에 노출될 가능성이 높다는 지적이다.

사이버 아크의 보스니아 부사장은 "많은 보안 결함에도 불구하고 많은 IT 솔루션들이 고정 패스워드와 함께 제공되는게 문제"라고 거듭 강조했다. 오라클과 시스코시스템즈가 대표적이다.

오라클은 32개 내장 비밀번호를 탑재해 데이터베이스관리시스템(DBMS)을 내놓고 있다. 사용자들이 비밀번호를 바꾸지 않는다면 보안에 취약해질 수 밖에 없다. 보안 강화를 위해 최소한 비밀번호를 바꿔줘야 한다는 것이다.

시만텍 호스트 서비스팀 폴 우드는 "향후 등장할 스턱스넷 변종은 전기 그리드 콘트롤러, 전자투표시스템과 같은 물리적 기반시설도 공격할 수 있다"고 경고했다.

일부 IT솔루션의 경우 이용자가 비밀번호를 바꿀 수 없는 경우도 있다. 시스코 통합 화상회의 솔루션(Unified Video Conferencing: UVC) 5100 시리즈가 사례로 거론됐다.

시스코는 11월 5100 시리즈 보안 취약점을 메우기 위해 무료 SW 업그레이드를 발표했다. 시스코는 UVC 웹서버가 신뢰할 수 있는 호스트에만 접근하도록 제한하는 것을 대안으로 내놓기도 했다.

시만텍에 따르면 현재 스턱스넷 공격으로 피해를 입은 국가는 미국, 인도네시아, 말레이시아, 영국 등이다.

안철수연구소 시큐리티대응센터 전성학 센터장은 "이란 원자력발전소 시설을 겨냥한 ‘스턱스넷’처럼 사회 기반 시설 시스템을 겨냥한 타깃형 공격이 증가할 것"이라며 "악의적인 해커가 국가 기반 시설을 공격하는 사이버 테러나 전쟁이 점차 현실화할 것으로 보인다"고 전망했다.