해커가 대리 투표는 물론, 개표 결과값 변경도 가능...취약한 시스템 드러나

중앙선거관리위원회 관계자들이 강서구청장 보궐선거를 하루 앞둔 10일 서울 강서구 서울식물원에 마련된 가양1동 제8투표소에서 기표소를 설치하고 있다. 사진=연합뉴스

중앙선거관리위원회의 투ㆍ개표 시스템에서 해킹대응 취약점이 다수 발견되며, 북한 등 외부세력이 통상적 해킹 수법을 통해 침투할 수 있는 상태였음이 국정원 조사 결과 드러났다.

국가정보원은 선관위, 한국인터넷진흥원(KISA)과 함께 지난 7월 17일부터 9월 22일까지 실시한 합동 보안점검 결과 선관위의 사이버 보안 관리 부실이 확인됐다고 10일 밝혔다.

국정원은 "기술적인 모든 가능성을 대상으로 가상의 해커가 선관위 전산망 침투를 시도하는 방식으로 시스템 취약점을 점검한 결과, 투표시스템ㆍ사전투표시스템ㆍ개표시스템 등에서 보안 취약점이 발견됐다"고 말했다.

먼저, '투표 시스템'의 경우 유권자 등록현황ㆍ투표 여부 등을 관리하는 ‘통합선거인명부시스템’에 허점이 드러났다. 외부세력이 인터넷을 통해 선관위 내부망으로 침투해 선거인명부 내용 조작이 가능한 것으로 나타난 것이다. 이는 ‘사전 투표한 인원'을 '투표하지 않은 사람’으로 표시하거나 ‘사전 투표하지 않은 인원'을 '투표한 사람’으로 표시할 수 있음을 의미한다. 나아가 존재하지 않은 유령 유권자도 정상적인 유권자로 등록할 수 있었다.

또한 외부세력은 테스트용 사전투표용지 출력 프로그램에 침투하여 실제 사전투표용지와 QR코드가 동일한 투표지를 무단으로 인쇄 가능함을 확인하였다.

위탁선거에 활용되는 ‘온라인투표시스템’에서는 정당한 투표권자가 맞는지를 인증하기 위한 절차가 미흡하여 해커가 대리 투표하더라도 확인이 되지 않는 것으로 나타났다.

위탁선거에 활용되는 ‘온라인투표시스템’에서는 정당한 투표권자가 맞는지를 인증하기 위한 절차가 미흡하여 해커가 대리 투표하더라도 확인이 되지 않는 문제점

투표 조작에서 한 단계 나아가 개표결과가 저장되는 ’개표시스템’에선 해커가 개표결과 값을 변경할 수 있음이 드러났다.

투표지분류기 역시 USB 등의 외부장비 접속 통제가 이루어지지 않아 해킹프로그램 설치를 통해 투표 분류 결과를 바꿀 수 있었다고 밝혔다.

선관위는 그동안 중요 정보를 처리 시 내부 주요 전산망을 인터넷과 분리하여 사전 인가된 접속만 허용하는 망분리 방식이 아닌, 전산망 통신을 통해 처리해왔다. 이를 통해 인터넷에서 내부 중요망(업무망ㆍ선거망 등)으로 침입할 수 있는 등 보안 관리에 취약했던 것으로 드러났다.

주요 시스템 접속시 사용하는 패스워드 역시 단순한 패스워드를 사용하고 있어 해커들이 손쉽게 유추하여 시스템에 침투가 가능했다.

선관위에서 다루어지는 시스템 접속 패스워드 및 개인정보 등 중요정보 역시 암호화해 관리되지 않고, 평문으로 저장돼 내무 주요 서버 침투가 용이할 뿐 아니라, 개인정보 대량 유출 위험성도 확인됐다.

선관위는 2022년도 ‘주요정보통신기반시설 보호대책 이행여부 점검’에서 자체 평가 점수를 100점 만점으로 국정원에 통보했다. 그러나 합동보안점검팀이 31개 평가항목에 대해 동일기준으로 재평가 한 결과, 전산망 및 용역업체 보안관리 미흡 등에 따라 31.5점에 그친 것으로 확인됐다.

취약점 분석평가를 관계 법령에서 정한 ‘정보보호 전문서비스 기업’이 아닌 무자격 업체를 통해 실시하는 등 법 위반 사례도 발견했다고 국정원은 밝혔다.

국정원은 "합동보안점검팀은 국제 해킹조직들이 통상적으로 사용하는 해킹 수법을 통해 선관위 시스템에 침투할 수 있었던 바, 북한 등 외부 세력이 의도할 경우 어느 때라도 공격이 가능한 상황이었다"고 설명했다.

이어 "합동점검팀은 선관위에 선거 시스템 보안 관리를 국가 사이버 위협 대응체계와 연동시켜 해킹 대응 역량을 강화하는 방안을 제의했다"며 "해킹에 악용 가능한 망간 접점, 사용자 인증 절차 우회, 유추 가능한 비밀번호 등은 선관위와 함께 즉시 보완하고, 빠른 시일 내에 문제점에 대한 조치가 이루어질 예정이다"고 밝혔다.

<문화경제 김예은 기자>