지난주 검찰이 농협 IT장애를 북한의 해킹이라고 밝히고 카드시스템이 완전정상화되면서 거의 한달간 끌어온 농협 전산장애 사태는 일단락됐다. 

하지만 문제는 남아 있다. 농협 IT장애 사태를 북한 소행이라고 밝힌 검찰에 대해 국내 IT업계, 금융권 등이 냉소를 보이고 언론조차 검찰 발표를 신뢰하지 않는 상황이 연출됐다.

사건의 원인, 배경, 근거, 해결방식 등이 미궁속으로 빠진 것이다.

물론 검찰은 북한과 공모한 농협 내부자를 찾겠다고 밝혔지만 가능성은 낮아보인다. 아울러 농협 내부 책임자 문책 등 적지 않은 후폭풍이 예상된다.

본지에서는 지난 20여일 동안 취재한 내용과 각종 의혹, 검찰발표 내용을 정리해 봤다.

◆의혹 1 ‘북한 해커는 IBM 서버만 공부했다?’= 검찰은 한국IBM 직원 노트북을 통해 공격명령을 내렸다고 밝혔다.

사건 초기 알려진 rm dd 또는 rm all / 등 명령어는 유닉스시스템 공통 명령어로 전해지고 있다.

재미있는 사실은 농협 전산장애는 IBM 서버 275대가 이 공격명령에 소스프로그램이 삭제됐다는 점인데 그렇다면 북한 해커는 IBM 서버만을 겨냥했거나, IBM 서버에 대한 지식만 있었을 것이라는 추론이 된다.

농협은 HP 서버 공격 시도가 있었지만 불발에 그쳤고 조기에 서버를 다운시켜 막았다고 해명했고, 업계 일각에서는 HP, 썬 서버 운영체제(OS)가 이 명령어 접근이 안되는 버전이었다고 전하고 있다.

검찰은 좀더 구체적으로 북한이 왜 IBM 서버만을 공격했는지를 밝혔어야 했다..

◆의혹2 “내부공모 가능성은” = 북한공격 발표로 IT 업계는 “북한 해커의 능력이 아무리 출중해도 내부 공모없이는 불가능한 일”이라고 입을 모은다.

검찰은 사건 초기 양재동에 있는 한국IBM 직원 노트북 및 주요 서버 로그 기록 등을 조사했다.

사실 사건 초기 공격 발원지로 지목된 시스템은 카드시스템이다. 카드시스템 내 WAS(웹 애플리케이션 서버)를 타고 IBM 서버 275대를 전부 공격해 수분만에 주요 소스프로그램을 삭제한 것이다. < 본지 2011년 4월 13일 ‘농협 전산장애, 내부해킹 가능성’ 제하의 기사 참조>

카드시스템 주 서버와 WAS는 안성센터에 있다. 양재동에 있는 한국IBM 노트북을 통해 심어진 명령어가 안성센터에서 실행되려면 최소한 안성센터 서버의 IP주소라도 사전에 입력돼 있어야 한다.

이 IP 주소는 농협 내부자들 중 극히 일부만 알고, 관리되고 있다. 검찰 발표를 그대로 적용하면 이 일부 관리자가 북한에 IP 주소를 넘겼다는 결론이 된다.

농협 IT본부 특성 등을 감안하면 쉽게 검증이 되지 않는 부분이다.

◆“시스템 개발 작업 중 사고” 제보도 = 이번 사건이 고의적인 해킹이냐, 사고냐는 쟁점이 여전히 남는다.

지난 수십일간 제보 내용을 종합하면 안성센터 시스템 교체작업 중 사고일 가능성이 적지 않은 것으로 전해지고 있다.

사고 당일 안성센터 카드시스템 일부 서버 또는 스토리지 교체작업이 진행중이었다는 제보도 있다.

정보생명주기 관리(ILM) 시스템 구축과정에서 장애 또는 소스프로그램 삭제를 유발할 수 있는 특정 명령어가 잘못 입력돼 이같은 사태가 유발됐다는 주장이다.

애초에 ‘사건’이 아니라 ‘사고’라는 것이다.

아울러 농협정보시스템이 한국IBM 서버 등을 채택하는 과정 등이 투명하지 않았다는 제보도 함께 전해지고 있다. 사건의 초기 은폐 의혹은 여기에 있다는 추론이다.

결국 검찰은 이번 사건 초기 양재동, 안성센터를 모두 면밀히 조사할 필요가 있었고, 특히 카드시스템 운영을 맡아 온 농협정보시스템에 대한 조사를 병행했어야 한다는 게 업계 시각이다. 

이번 사건을 지켜본 업계와 금융권의 IT 전문가들은  농협 내부 공모자 색출이 불가능할 것이라는  점 등을 들어 이 사건이 사실상 ‘미제’ 사건으로 남을 것으로 내다보고 있다.

<김동기 기자>kdk@bikorea.net