허술한 보안… 거짓 해명… 신용 날린 농협

비밀번호 엉터리 관리… 해킹 빌미 제공
“4년간 5100억원 들여 보안 강화” 뒷북

검찰이 농협 전산망 마비 사태를 북한 소행으로 결론냈지만 그렇다고 농협 측에 ‘면죄부’가 생기는 것은 아니다. 허술한 보안관리로 외부 공격의 빌미를 제공한 것은 농협이기 때문이다. 농협은 그간 각종 해명에서 ‘철통 같은’ 자체 보안체계를 강조했으나 수사 결과 곳곳이 허점투성이었던 게 밝혀졌다.

3일 검찰에 따르면 농협은 서버 파일 삭제 등 최고접근(root) 권한부터 시스템보안실 출입통제까지 사실상 보안 무방비 상태였다고 해도 과언이 아니다. 업무 편의성만 생각했을 뿐 한순간이라도 허점을 노출하면 뚫릴 수밖에 없다는 IT보안 담당자로서의 긴장감은 찾아볼 수 없었다.

농협 전산시스템 접속 계정 비밀번호는 전산관리지침상 매월 변경해야 하지만 작년 7월 이후 한 차례도 바뀌지 않았다. 그런데도 농협 보안 담당자들은 관리대장에 매달 비밀번호를 바꾼 것처럼 버젓이 기재했다. 타인에게 누설하면 안 되는 규정도 무시하고 비밀번호를 아예 파일로 만들어 외부 유지보수 업체인 한국IBM 직원에게 건넸다.

한국IBM 직원들과 이들이 소유한 노트북PC 역시 자유자재로 시스템보안실 등을 오갔고 무선인터넷 접속에도 별다른 제한을 받지 않았다. 사실상 농협 직원과 동일하게 노트북 등을 사용했지만 정작 농협보안프로그램(DMS)은 컴퓨터에 설치하지 않았다. 외부 반출 시에도 규정된 포맷 절차 없이 그냥 가지고 나갈 수 있었다.

농협이 전산망 마비 사태 발생 후 중간 조사결과 등의 브리핑 등에서 “비밀번호는 작년 금감원 감사 후 바로 시정했다”, “협력업체 직원의 노트북이 외부 인터넷과 연결되는 것은 불가능하다”고 했던 설명이 모두 거짓으로 드러난 셈이다.

농협은 검찰 수사결과 발표 후 보도자료에서 “2015년까지 최고의 보안시스템과 최첨단 방화벽을 갖춘 IT센터 신축과 최신시스템을 설치하는 데 총 5100억원을 투자할 것”이라고 밝혔다. 농협은 금융거래 중단으로 이날까지 접수한 1385건의 피해보상 민원 중 1361건의 보상을 완료하고 나머지도 이른 시일 안에 처리할 예정이다.

김재홍 기자