대통령은 '즉각 조치' 주문…SKT·KT·LGU+, 보안 점검표 밖은 안전한가

[경제일보] 이재명 대통령이 국가 핵심 시스템의 보안체계를 조속히 점검하고 필요한 조치를 즉각 시행하라고 주문한 가운데 정부가 민간 주요정보통신기반시설 172곳에 대한 보안 점검에 착수했다. SK텔레콤·KT·LG유플러스 등 통신 3사의 유무선 통신서비스와 인터넷데이터센터(IDC) 관련 시스템도 대상에 포함됐다. 금융·공공기관 해킹에서 드러난 외부 노출 서버와 웹페이지의 관리 실태를 집중적으로 살피겠다는 것이다.

문제는 점검 대상에 포함됐다는 사실만으로 기업의 모든 시스템이 안전해지는 것은 아니라는 점이다. 기업이 운영하는 홈페이지와 관리용 서버, 외주 업체의 개발·운영 시스템, 협력사와 연결된 업무망까지 보안 점검이 이뤄지는지가 중요하다. 지정된 핵심 시설을 점검하는 것과 기업이 보유한 전체 정보자산의 취약점을 찾아내는 것은 별개의 일이다.

과학기술정보통신부는 민간 주요정보통신기반시설을 관리하는 111개 기관을 대상으로 점검을 추진한다. 대상 시설은 약 172개다. 이번 점검은 최근 금융·공공기관의 개인정보 유출 사고에서 인터넷에 노출된 자산이 침해 경로로 악용됐을 가능성이 제기된 데 따른 것이다. 외부에 공개된 서버와 웹페이지 등 인터넷 접점 자산의 관리 상태와 취약점을 중점적으로 확인한다.

이 대통령은 지난 10월 6일 국무회의에서 금융·공공기관의 개인정보 유출 사고를 언급하며 민간 부문과 국가 핵심 시스템 전반의 보안체계를 조속히 점검하고 필요한 보완 조치를 즉각 시행하라고 지시했다. 사고가 발생한 뒤 수습하는 방식에서 벗어나 공격을 사전에 탐지하고 차단할 역량을 갖추라는 주문이었다.

정부의 이번 점검은 기존 관리 절차에 긴급 점검을 더하는 방식이다. 주요정보통신기반시설 관리기관은 매년 자체적으로 취약점을 점검하고 보호대책을 마련해 왔다. 이번에는 최근 금융권 사고를 반영한 점검표를 배포하고, 기관별 자체 점검과 정부의 보안관리 실태 확인을 병행한다. 정부는 10월 말까지 기관별 점검 동의서와 대상 현황, 자체 점검 결과를 취합한 뒤 이르면 11월, 늦어도 연내 확인·점검을 마무리한다는 방침이다. 세부 점검 대상과 내용은 보안상 이유로 공개하지 않고 있다.

◆ 통신망보다 외부 접점이 먼저 뚫릴 수 있다

통신사는 가입자 서비스와 기업 고객의 네트워크를 운영한다. IDC에는 여러 기업의 정보시스템과 데이터가 들어 있다. 핵심 통신망 자체에 보안 장비를 갖추더라도 외부에 노출된 웹서버나 장비 관리 화면, 유지보수용 계정이 허술하면 다른 경로로 내부 시스템에 접근할 수 있다. 통신망의 보안 수준만으로 기업 전체의 안전을 판단할 수 없는 이유다.

특히 오래전에 구축한 홈페이지와 외주 제작 시스템은 관리 목록에서 빠지기 쉽다. 운영 부서와 보안 담당 부서가 다르거나 유지보수 업체가 바뀌는 과정에서 관리자 계정과 접근 권한이 그대로 남는 경우도 점검해야 한다. 서비스 본체뿐 아니라 시험·개발 서버, 백업 시스템, 장비 관리 화면까지 실제 운영 자산을 빠짐없이 파악해야 한다.

PHP 취약점 대응은 이런 관리 공백을 보여주는 사례다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 10월 22일 PHP 보안 취약점 2건에 따른 대규모 해킹 가능성을 이유로 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 높였다. 해당 취약점은 특정하게 조작된 요청을 보내면 별도의 인증 없이 서버에서 명령을 실행할 수 있는 문제다. 공격에 성공하면 웹셸 설치와 고객정보 유출, 홈페이지 변조·마비로 이어질 수 있다.

정부는 PHP를 사용하는 홈페이지와 온라인 쇼핑몰뿐 아니라 외주 제작 사이트, 오래된 관리자 페이지, 장비 관리 화면까지 점검하라고 당부했다. 취약한 버전을 최신 버전으로 업데이트하고 웹 서비스를 재시작해야 보안 조치가 적용된다. 이미 업데이트를 마친 서버도 이상 접속 기록과 웹셸 설치 여부 등 침해 흔적을 확인해야 한다.

이후 추가 취약점도 확인됐다. KISA는 10월 24일 PHP 세션 처리 과정에서 발생하는 CVE-2026·115560에 대해 임시 조치를 권고했다. 기존 PHP2Shell 취약점 2건에 대한 보안 업데이트만으로는 해결되지 않으며, 특정 세션 설정을 함께 사용하는 시스템은 파일 업로드 진행률 기능을 비활성화해야 한다. 보안패치를 적용했다는 사실만으로 관련 위험이 모두 사라지는 것은 아니라는 뜻이다.

◆ 점검표 제출보다 실제 패치·차단 여부 확인해야

정부가 강조하는 것도 기존의 수동 점검과 사후 패치만으로는 대응이 어렵다는 점이다. 배경훈 부총리 겸 과기정통부 장관은 PHP 취약점 대응과 관련해 인터넷 접점 자산의 즉각적인 차단과 웹방화벽(WAF) 규칙의 선제 적용 등 자동화된 대응체계가 필요하다고 밝혔다. 공격이 진행된 뒤 취약점을 찾아 며칠 안에 패치하는 방식으로는 피해를 막기 어렵다는 지적이다.

통신 3사도 같은 기준으로 대응 상황을 확인해야 한다. 외부에 노출된 자산을 어디까지 파악했는지, 취약한 시스템을 얼마나 찾아냈는지, 업데이트와 서비스 재시작을 언제 마쳤는지가 기본이다. 즉시 패치하기 어려운 시스템에는 외부 접속 차단이나 웹방화벽 등 어떤 임시 조치를 적용했는지도 확인해야 한다. 단순히 점검표를 제출했는지가 아니라 실제 운영 환경에서 취약점이 제거됐는지가 중요하다.

이번 정부 점검이 111개 기관의 172개 지정 시설에 집중된다는 점도 살펴야 한다. 해당 기관이 운영하는 모든 서버와 홈페이지, 계열사 및 외부 협력업체의 시스템까지 자동으로 점검 범위에 들어가는 것은 아니다. 개별 기업의 전체 정보자산과 위탁 운영 시스템을 누가 확인하고 관리할 것인지 별도 기준이 필요하다. 네이버·카카오 등 플랫폼 기업을 포함한 다른 민간 사업자도 주요정보통신기반시설 지정 여부와 관계없이 자체 보안 점검을 강화해야 한다.

국내 PHP 보안패치 현황도 경각심을 높인다. 미국 보안업체 센시스(Censys)가 10월 27일 발표한 조사에서는 국내 인터넷 공개 PHP 서비스 가운데 취약 버전 사용 이력이 확인된 50만8709개 중 패치 적용이 확인된 서비스가 1만9737개에 그쳤다. 패치 확인 비율은 3.9%였다. 외부에서 관측되는 서비스와 버전을 기준으로 한 조사여서 국내 전체 서버의 실제 패치율로 볼 수는 없지만, 인터넷에 노출된 시스템의 업데이트가 빠르게 이뤄지지 않고 있다는 점은 보여준다.

정부는 이번 점검을 연내 마무리하겠다는 계획이다. 그러나 점검표를 걷고 취약점을 찾아내는 것만으로 보안이 강화되는 것은 아니다. 발견한 취약점을 실제로 고쳤는지, 외부 접속을 차단했는지, 업데이트 이후 침해 흔적까지 확인했는지 결과를 확인해야 한다. 미조치 시스템과 그 사유, 임시 대응책도 관리 대상에 포함해야 한다.

통신 3사와 IDC는 다른 산업의 고객정보와 업무시스템을 연결하는 기반을 운영한다. 이들 시스템에 문제가 생기면 한 기업의 사고가 여러 고객사와 서비스로 번질 수 있다. 정부가 점검한 172개 시설뿐 아니라 그 바깥에 있는 홈페이지와 관리 서버, 협력업체의 접속 경로까지 보안 책임이 이어져야 한다. 대통령의 '즉각 조치' 주문이 점검표 제출로 끝나서는 안 된다. 실제 취약점 제거와 침해 흔적 확인, 미조치 시스템의 차단까지 이뤄졌는지 확인해야 보안 점검이 끝났다고 할 수 있다.