법률 사무소에서 다루는 정보, 민감성 매우 높아
아직 기본적인 사항 못 갖춘 곳 다수...푸들과 로그잼 여전히 활동 중

[보안뉴스 문가용 기자] 최근 보안 전문업체인 비트사이트(BitSight)에서 산업별로 보안 등급을 매겼다. 그 결과 1위는 전통의 강자인 금융 업계가 차지했다. 그리고 2위는 예상 외로 법조계가 차지했다. 3위는 소매업계였다. 그러나 순위에 속지 말아야 한다고 비트사이트는 경고했다. 그 안을 들여다보면 사실상 많은 로펌 및 법무 업체들이 DROWN 등 이미 널리 알려진 공격들에 취약하기 때문이다.


“산업 전체적으로 보면 법조계가 크게 못하고 있다고 볼 순 없습니다. 하지만 기본도 갖추지 못한 업체들이 분명히 존재하고 있습니다.” 비트사이트의 CTO인 스티븐 보여(Stephen Boyer)의 설명이다. “법무 사무소는 굉장히 민감한 정보가 많은 곳입니다. 여기에서 흘러나온 정보가 끼치는 영향력은 다른 업계의 정보와 차원이 다르죠. 즉, 이번 연구를 통해 저희가 명심해야 할 건 법조계가 2위를 했다는 게 아니라, 법조계에 기본적인 보안 개념이 미처 잡히지 않았다는 겁니다. 그 작은 틈이 거대한 재앙이 될 가능성이 높은데도 말이죠.”

비트사이트의 점수 시스템에서는 최하점이 250점, 최고점이 900점이다. 금융 업계는 703점을 받았고, 법계는 687점, 소매업이 685점, 의료 분야가 668점, 에너지 및 시설이 667점, 정부 기관이 657점을 받았다. 작년에 실시한 조사에서 법조계는 690점을 받은 바 있다. 점수는 온라인 서버, 도메인, 취약점, 환경설정 상태, 공개된 유출 사고 등을 참고하여 매겨지며, 비트사이트는 20153개의 조직들을 조사했다고 한다.

한편 법조계는 올해 초 이른바 파나마 페이퍼(Panama Papers) 사건을 겪으며 세계의 관심을 집중해서 받은 바 있다. 파나마의 로펌인 모색 폰세카(Mossack Fonseca)에서 1천 1백 5십만 건의 민감한 기록들이 유출된 사건으로, 세계의 ‘거물들’이 어떤 식으로 자금을 세탁하고, 어디에 주로 돈을 모아두고 있는지가 죄다 드러났다. 특히 각종 탈세 방법과 기록들이 치명적으로 작용했다. 이 사건이 전 세계 로펌들이 사이버 보안을 다시 생각해보게 하는 계기가 되었다.

이에 더해 최근 컨설팅 업체인 ALM 인텔리전스(ALM Intelligence)에서도 로펌 사이버보안 보고서(Law Firm Cybersecurity Report)를 발표했다. 그 보고서에 따르면 “파나마 사건 이후 로펌의 고객들 역시 사이버 보안에 대한 압박을 회사 측에 넣고 있다”고 하며 “새로운 사이버 보안 체제를 구축한 회사는 50% 정도에 불과하다”고 한다.

ALM의 법률 분석가인 다니엘라 이삭슨(Daniella Isaacson)은 “많은 법조계 조직들의 ‘보안 자신감’은 근거가 부실해 보인다”고 말한다. “직접 조사해보니 깜짝 놀랄 정도로 무방비 상태인 조직들이 많았습니다. 사이버 보안 프로토콜을 한 번도 실험해보지 않은 기업들이 태반이에요. 즉, 사건 대응을 상상으로만 하고 있다는 거죠. 실제 일이 터지면 허둥지둥 댈 것이 눈에 보이는 듯 합니다.”

법조계는 항상 해커들이 가장 많이 노릴 법한 산업이었다. 매우 민감한 고급 정보들을 주로 다루는 곳이며, 꽤나 큼직한 액수의 돈들이 오가기 때문이다. 미국의 로펌들은 중국 해커들의 빈번한 공격에 노출되어 있다고 알려져 있으며, 2015년 3월 한 로펌은 7GB의 데이터를 도난당하기도 했다. 이 사건 역시 중국이 강력한 용의자로 꼽힌다. 또한 M&A가 활발히 진행 중인 것을 노려 사이버 범죄자들이 기밀들을 훔치러 로펌들을 공격한다는 경고가 FBI로부터 나오기도 했다.

비트사이트는 “에너지 산업의 보안 상태는 악화되고 있는 중”이라고 경고하기도 했다. “에너지 산업의 업체들 중 133개 업체가 500점도 받지 못했습니다. 저희 점수 시스템에서 500점 미만이면 700점 이상 받은 업체들보다 사이버 공격 받을 확률이 5배 높은 것이거든요.”

한편 산업 불문하고 80%의 기업들에서 발견된 취약점이 두 가지 있었다고 비트사이트는 보고서를 통해 설명했다. “이미 패치까지 공개된 서버 오류인 로그잼(Logjam)과 푸들(POODLE)입니다.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>