박지민 기자

보안 프로그램 7종, 19건 취약점

/챗GPT 생성 이미지

인터넷뱅킹과 공공기관 업무를 위해 이용자 PC에 설치되는 보안 프로그램이 오히려 해킹 경로로 악용되고 있는 것으로 나타났다. 보안을 위해 설치한 프로그램이 공격자의 ‘문’이 된 셈이다.

더 큰 문제는 취약점을 고친 패치(문제점을 개선한 수정본)가 나와도 이용자 PC에 곧바로 적용되지 않는다는 점이다. 보안 전문가들은 “자동으로 적용되지도 않는 패치만 반복할 것이 아니라 컴퓨터에 보안 프로그램을 따로 깔아두는 설치형 보안 구조에서 벗어나야 한다”고 지적한다.

◇보안 약점 된 보안 프로그램

한국인터넷진흥원(KISA)에 따르면 공인인증 프로그램 ‘애니사인’에서는 지난해 3월부터 올해 9월까지 취약점이 잇따라 발견됐다. 지난해 3월 내부 정보를 수집할 수 있는 취약점을 보완한 버전이 배포됐지만, 해당 버전에서도 올해 6월 ‘원격 코드 실행 취약점(남이 내 컴퓨터를 마음대로 원격 조종하는 상황)’이 새로 확인됐다. 다시 최신 버전으로 업데이트하도록 했지만, 이 버전에서도 취약점이 추가로 발견돼, 지난 1일 새로운 버전이 배포됐다.

키보드 보안 프로그램인 터치엔 엔엑스키, 보안 모듈인 크로스EX 등 프로그램에서도 지난해 3월 보안 취약점이 발견됐다. 지난해 KAIST·고려대 등 공동 연구진이 주요 공공·금융 기관에서 사용 중인 보안 프로그램 7종을 분석한 결과 19건의 심각한 보안 취약점이 발견되기도 했다. 

보안 프로그램의 취약점은 실제로 북한 공격에도 쓰였다. 안랩은 지난 3월 북한 해킹 조직 라자루스가 애니사인의 원격 코드 실행 취약점을 이용한 공격을 벌인 사실을 확인했다고 밝혔다. 정상적인 국내 웹사이트를 해킹해 악성 스크립트를 심어두고, 방문자 PC에 설치된 보안 프로그램을 거쳐 백도어(뒷문)를 설치했다. 이를 통해 감염된 PC를 원격으로 조종하고 파일 등 내부 정보를 빼냈다.

전문가들은 이 같은 공격이 반복되는 이유로 보안 프로그램의 ‘설치형’ 구조를 꼽는다. 해외에서는 별도 보안 실행 파일을 의무적으로 설치시키지 않고 웹 브라우저를 통해 정보를 암호화하는 방식이 일반적이다.

반면 한국은 1990년대 브라우저만으로 인증서를 처리하기 어려웠던 시절 도입한 ‘액티브X’ 방식이 뿌리다. 액티브X가 퇴출된 뒤에도 PC에 별도로 설치하는 실행 파일로 바뀌었을 뿐 기본 구조는 남았다. 김호광 전 싸이월드 대표는 “이 프로그램들은 인증서와 키보드 입력을 처리하기 위해 PC 내부에 폭넓게 접근할 수 있어, 한 번 뚫렸을 때 피해가 PC 전체로 번질 위험이 크다”며 “은행·공공 사이트 이용을 위해 수많은 PC에 깔려 있다 보니 대규모 공격에 악용될 가능성도 크다”고 했다.

◇자동 업데이트도 안 돼

취약점을 고친 새 버전이 나와도 이용자 PC에 곧바로 자동 적용되지 않는 것은 더 큰 문제다. 보안 업계에서는 소프트웨어에서 취약점이 발견되는 것 자체는 이상한 일이 아니라고 본다. 취약점을 신속하게 고치고, 패치를 이용자들에게 전달하면 되기 때문이다. 국내 보안 프로그램은 그러나 자동 업데이트 기능이 없다. 이용자가 직접 취약한 과거 버전을 삭제하고, 다시 새로운 버전을 설치해야 하는 구조다. 보안 업계 관계자는 “보안 업체들도 자동 업데이트 기능을 예전부터 개발해 왔지만, 고객사마다 서비스 환경이 달라 실제로 적용하지 못했다”고 했다.

정부는 지난해 ‘설치 강요형 보안 소프트웨어’를 단계적으로 제한하겠다고 밝혔지만, 상당수 금융·공공기관은 여전히 사이트 이용 조건으로 별도 보안 프로그램 설치를 요구하고 있다. 김용대 KAIST 교수는 “아무도 설치하기 싫고 보안 역량도 떨어지는 소프트웨어를 한국만 설치해서 쓰고 있는 셈”이라며 “글로벌 표준인 브라우저와 서버 기반 보안 모델을 따르는 방향으로 전환해야 한다”고 했다.

출처: 조선일보(2026.09.10.)