최근 이메일을 통한 해킹 공격이 연이어 발생하면서 정부가 실전과 같은 이메일 공격 대응훈련에 나선 것으로 알려졌다.

16일 복수의 정부 관계자들에 따르면, 정부는 ‘2016 을지연습 사이버공격 대응훈련’의 일환으로 중앙부처, 지자체, 공공기관 등을 대상으로 7월부터 해킹메일 실전 훈련을 진행하고 있다.

이번 훈련은 단순히 이메일을 보내고 보안을 점검하는 것이 아니라 실제 해킹과 같은 방식으로 이뤄지는 것으로 알려졌다. 정부는 정부기관을 사칭하거나 사회적 이슈를 소재로 한 내용 등의 해킹메일을 공무원, 공공기관 관계자 등에게 발송하고 이를 열람하지 않도록 하는 방식이다. 또 훈련에는 해킹 공격을 통한 자료 유출, 내부망 침투 대응과 각 기관별로 초동 조치 및 대응도 포함된다.

또 이번 훈련과 맞물려 각 기관들이 자체적으로 유사한 모의훈련을 실시하고 있는 것으로 알려졌다. 일부 기관은 전 직원을 대상으로 훈련용 이메일을 보내고 이에 대한 대응을 살펴보고 있다.

그동안 정부는 사이버위기상황별 대응, 디도스 공격, 망침투, 이메일 공격 등 다양한 사안에 대한 훈련을 했다. 그런데 올해에는 사칭 이메일 공격에 중점을 두고 있는 것으로 알려졌다.

정부가 실전을 방불케 하는 훈련에 나선 것은 최근 이메일을 이용한 해킹 공격이 계속되고 있기 때문이다. 7월 발생한 인터파크 1030만명 고객정보 유출 사건의 경우 지인을 사칭한 이메일을 통해 악성코드가 시스템에 침투하면서 벌어진 것으로 알려졌다. 또 검찰에 따르면 올해 1월부터 6월까지 외교, 안보 관계자 90명을 대상으로 한 사이버공격이 있었다. 해커는 기관, 포털사이트 관리자 등을 사칭하는 이메일을 보낸 후 이메일 비밀번호 등 개인정보를 빼내려 했고 90명 중 56명의 정보가 유출됐다.

이메일 공격 자체는 단순한 방식이지만 사회공학적 기법이 적용되면서 위험성이 커지고 있다. 예를 들어 외교부 공무원에게 외교부 또는 외교부 실제 직원을 사칭하는 이메일을 보내 악성코드에 감염시키는 방식이다. 평소 이메일을 주고받던 사이에서 무심코 한 클릭이 해킹으로 이어지고 있는 것이다.

보안전문가들은 이같이 정부기관이나 전산 관리자 등을 사칭 공격이 앞으로 더 많아질 것으로 보고 있다. 정부도 이런 상황을 의식해 실전 훈련을 진행하는 것이다.

보안전문가들은 실전 훈련을 확대하고 결과에 대한 인식도 명확히 해야 한다고 지적하고 있다.

한 IT보안전문가는 “인식 개선을 위해 대상자를 넓히고 진짜 실전처럼 훈련을 하고 그 결과를 정확히 알려줘 많은 사람들이 위험성을 인식하도록 해야 한다”고 말했다.

[테크M = 강진규 기자(viper@techm.kr)]