한인 비즈니스도 은행을 중심으로 해킹에 대한 경각심이 높아지고 있다. 뱅크 인프라의 이규선 대표가 한인 스몰 비즈니스 업주를 상대로 웹사이트 보안 검색 서비스에 대해 설명하고 있다.

비즈니스에서 인터넷의 사용이 점차 늘어나면서 날이 갈수록 해킹이나 악성코드 유포, 개인 비밀번호 유출 등과 같은 사이버 범죄가 극성을 부리고 있다. 최근에 한 해커집단이 야후 서버에서 훔쳐냈다고 주장하는 45만3,000명의 이메일 주소와 비밀번호 등을 온라인상에 공개해 업계가 발칵 뒤집힌 적이 있다.‘D33DS 컴퍼니’라는 이름의 해커집단은 야후의 한 웹사이트를 해킹한 후 암호화되지 않은 계정정보를 훔쳐내 공개했다. 이에 앞서 비즈니스 소셜네트워킹 사이트인 링크드인도 지난달 가입자 640만명의 비밀번호가 해킹되는 등 최근 주요 사이트들이 해커들의 표적이 되고 있다.

소프트웨어 수시 업데이트 바람직
비밀번호는 예측 어렵게, 주기적 변경
때론 보안 서비스 업체 도움도 필요

해커들은 웹사이트에 침입해 악성 코드로 데이터베이스를 공략해서 중요한 소비자 정보를 빼내간다. 그러나 이런 해커들의 공격도 미리 차단할 수 있는 방법이 있다. 구글은 매일 악성코드에 전염된 웹사이트 9,500개를 적발해 낸다. 스몰 비즈니스들은 특별히 해킹에 무방비 상태로 노출되어 있는 경우가 많다. 왜냐하면 테크놀러지에 대한 전문지식이 부족하고 대기업이 가지고 있는 사이트 보안 시스템이 제대로 되어 있지 않기 때문이다. 비즈니스 오너들은 그들의 사이트가 블랙리스트 명단에 등재되면 온라인 트래픽이 줄어들고 매출도 따라서 감소할 수 있다.

메트로 시커닷컴이라는 한 신생 인터넷 신상정보 회사는 해커들의 침입으로 말미암아 1주 동안 회사의 웹사이트 작동이 중단되었다. 해커가 어떤 경로도 침투했는지 정확하게 알려지지 않았지만 회사 측은 서버를 지우고 재건했으며 매니지먼트 소프트웨어를 업그레이드 시켰다. 그리고 모든 직원들이 로그인을 다시 하고 콘텐츠의 내용도 바꿨다. 3명의 풀타임 직원이 시스템을 재건하는데 동원됐으며 재정적인 손실은 물론 신용 추락이라는 피해도 감수해야 했다.

한인사회에서도 은행을 중심으로 인터넷의 사용이 급증하는 추세를 보이고 있어 고객의 신상정보를 빼가려는 사이버 범죄에 대한 보안대책이 시급한 실정이다.

지난해에는 실제로 한인은행에서 인터넷 계좌에서 본인 몰래 거액이 이체되는 사고가 발생하기도해 은행과 고객 사이에 책임 공방이 오고가기도 했다. 컴퓨터 시스템이 한번 해킹을 당하면 해당업체는 물론 고객들도 많은 피해를 입게 되기 때문에 사전에 해킹을 예방하는 것은 물론 대비책도 확실하게 세워둬야 한다. 해킹을 피하기 위한 사전준비 작업에 대해 알아본다.

■소프트웨어를 계속 업데이트해야 한다
해커들은 공격적으로 유명 웹사이트의 보안상의 허점을 노리고 집중 공략한다. 따라서 소프트웨어를 계속 업데이트 하는 것이 바람직하다. 한 번 손상된 사이트는 그들의 소프트웨어에서 약점을 보완하지 않으면 다시 손상될 수 있다. 웹매스터는 해킹이 가능했던 약점을 찾아내서 사이트 페이지에서 해커의 악성코드를 제거해야 한다.

■모방하거나 연상하기 힘든 패스워드를 사용한다
해커들은 평이한 패스워드를 금방 훔칠 수 있기 때문에 모방하기 힘든 패스워드를 사용할 필요가 있다. 너무 평범하거나 예측할 수 있는 패스워드는 금방 침투의 대상이 된다. 인터넷 웹사이트의 비밀번호를 설정하는 데 있어서 가장 중요한 것은 해커가 유추하기 힘들도록 해야 한다. 비밀번호를 최소한 8자 이상으로 설정하고 영문 대문자나 특수문자 등 다양한 조합의 비밀번호를 만들고, 개인의 신상명세를 통해 유추가 가능한 정보사용은 금물이다. 또한 각 사이트의 패스워드는 달라야 하며, 주기적으로 변경해 주어야 한다.

또한 PC를 바이러스 감염으로부터 확실하게 보호해서 패스워드를 절도당하지 않도록 한다. 특히 같은 직장에서도 서로 패스워드를 안다든가 노출이 되는 것은 피해야 하는 등 각별히 신경을 써서 선의의 피해가 발생하지 않도록 주의할 필요가 있다.

■구글의 웹매스터 도구에 등록한다
구글의 블랙리스트에 등록이 되면 사이트의 접속이 크게 줄어든다. 웹매스트 툴에 등록함으로써 악성코드에 감염이 되었다는 사실을 빨리 통고받을 수 있다. 따라서 빨리 대처해 악성코드를 제거할 수 있게 된다.

■전문가의 도움을 받는다
웹사이트에 대한 의존도가 높은 회사들은 악성코드 감염여부를 알려줄 수 있는 회사들을 고용해서 보안에 취약한 점을 파악하고 해킹을 당한 후에도 수리를 위한 도움을 받아야 한다.

스몰 비즈니스를 운영하는 회사들을 대상으로 이런 보안 서비스를 제공하는 회사들도 스탑더해커, 사이트록 등이 있으며 연 회비도 90달러정도로 저렴한 편이다.
고객들의 민감한 정보를 포함하고 있는 웹사이트가 있는 회사들은 사전에 보안검색을 받을 수 있도록 해야 한다.

한편 은행관련 소프트웨어 개발업체인 뱅크인프라의 이규선 대표는 “전문적 해커집단은 큰 회사를 노리지만, 아마추어 해커집단은 무작위로 타겟을 삼을 수 있다”며 “직원들에 대한 컴퓨터 보안교육을 포함하여 수시로 보안에 대한 업데이트를 실시하는 것이 중요하다”고 설명했다.

IT 책임자 허락 없이 SW 설치·다운로드 못하게

■ 웹사이트 보안 노하우

첫째 최근의 전형적 해커는 회사 내부의 직원이나 시스템을 이용한다. 그러므로 직원들과 회사 내에서 일반적으로 사용하는 소프트웨어에 대해서 태스크 매니저에 정상적으로 나타나는 파일들의 생성 날짜, 파일의 크기 등을 기록해 두고, 필요 없는 소프트웨어를 회사의 IT 책임자 허락 없이 설치하거나 다운로드하는 것을 금지해야 한다. 만일 그럴듯한 이름의 낯선 파일이 생성되어 있다면 즉시 지워야 한다. 일정한 날짜가 지나면 그 프로그램이 작동하여 직원의 타이핑으로부터 핵심 데이터베이스에 접근이 가능할 수 있기 때문이다.

둘째 이메일과 인터넷 사용에 있어서 Firewall(방화벽)을 최대한 활용하여 정기적으로 모니터를 하거나, 직접 할 수 없다면 전문 아웃소싱을 찾아보는 게 좋다.
셋째 은행들은 데이터 시큐리티 때문에 주저하기는 하지만 소규모 업체는 시스코나 마이크로 소프트의 Azure 등의 클라우드 서비스를 받는 것도 데이터 손실을 막는데 좋은 방법이다. 정기적이고 안전한 방법으로 백업을 해주기 때문이다. 비즈니스 성격상 데이터 손실보다 정보가 새어나가는 것이 더욱 위험하다고 느끼면 이 방법도 최근의 야후가 겪은 해킹처럼 완벽히 안전한 방법은 아니라는 것에 유의해야 한다.


<글·사진 박흥률 기자>