‘구멍 뚫린’ 선관위 보안망… 투표자 바꿔치기·유령유권자 등록 등 조작 가능

클릭하시면 더 큰이미지를 보실 수 있습니다

외부 인터넷과 망 분리 미흡해
투표지 분류기에 USB 무단연결
개표조작 등 가능 ‘총체적 부실’

선관위,정치적 중립성 내세우며
그동안 보안점검 거부하며 방치

10일 공개된 선거관리위원회·국가정보원·한국인터넷진흥원(KISA) 합동 보안점검 결과 국가 선거시스템 전반을 책임지는 선관위의 총체적 관리 부실이 수면 위로 드러났다. 투·개표 시스템이 북한 등 적대국이나 외부 세력의 의도적인 공격에 취약한 것으로 나타나며 내년 국회의원 총선거를 앞두고 선거시스템 보안을 강화해야 한다는 지적이 제기된다. 그간 ‘정치적 중립성’을 내세워 국정원의 보안점검을 거부했던 선관위 입장은 명분을 잃게 됐다. 선관위는 부실한 보안 실태가 드러나자 “최대한 빠른 시일 내에 이번 보안점검에서 적출된 다양한 문제점을 조치할 예정”이라고 밝혔다.

이날 국정원에 따르면 중요 정보를 처리하는 내부 전산망을 인터넷과 분리해야 하는 선관위의 망 분리 보안정책이 미흡한 탓에 인터넷에서 업무망·선거망 등 내부 주요망으로 침투가 가능했다. 사전투표소에 설치된 통신장비 역시 사전 인가된 장비뿐 아니라 인가를 받지 않은 외부 PC를 연결할 수 있어 내부 선거망으로 침투하는 통로가 될 수 있었다. 이 때문에 외부 해커가 통합선거인명부시스템에 들어가 사전투표를 한 사람과 하지 않은 사람을 바꿔치기하거나 있지도 않은 ‘유령 유권자’를 만들어내는 등 조작이 가능한 취약점이 발견됐다. 국가 단위 선거뿐 아니라 여야 정당 내부 투표 등 위탁선거에 활용되는 온라인투표시스템에서도 정당한 투표권자가 맞는지 인증하는 절차가 미흡, 해커가 대리 투표하더라도 확인이 되지 않는 문제점이 드러났다. 해커는 개표 시스템에 들어가 개표 결과 값을 변경하거나 투표지 분류기에 해킹 프로그램을 설치하는 등의 방식으로 개표 단계에서의 조작을 시도할 수 있었다.

반면 선관위의 시스템 관리는 민간 기업 수준에도 미치지 못할 만큼 부실했다. 국정원에 따르면 선관위는 주요 시스템에 접속할 때 사용하는 패스워드에 숫자·문자·특수기호 등을 혼합하는 대신 단순한 패스워드를 이용하고 있었다. 또 암호화해 관리해야 하는 내부 포털 접속 패스워드, 역대 선거 등록 후보자 명부·재외선거인명부 등을 평문으로 저장해 내부 서버 침투나 개인정보 대량 유출의 위험성에 노출돼 있었다.

이번 보안점검에서 북한 등 외부 세력에 의한 해킹 정황이 드러나진 않았지만, 언제든 공격을 받을 수 있는 선관위의 부실 관리도 이번 보안점검에서 나타났다. 선관위는 지난해 주요정보통신기반시설 보호대책 이행여부 점검 자체 평가 점수를 100점 만점으로 국정원에 통보했지만, 합동보안점검팀이 31개 평가항목에 대해 동일기준으로 재평가한 결과, 전산망 및 용역업체 보안관리 미흡 등에 따라 31.5점에 그친 것으로 확인됐다.

이번 보안점검은 국정원과 선관위, KISA 합동으로 투·개표 시스템 취약점, 북한 해킹 대응 실태, 기반시설 보안 관리 부분에 걸쳐 지난 5월부터 12주간 진행됐다.

조재연 기자 jaeyeon@munhwa.com