[GSC 2012] 게임 보안 위협사례와 대응방안 - 경찰청 사이버수사대 김동욱 주임

2012년 4월 4일, 서울 삼성동 그랜드인터컨티넨탈호텔에서 '제1회 게임보안컨퍼런스(이하 GSC 2012)'가 열렸다. 최근 게임업체들의 보안 관련 관심도가 높아지고 있는 가운데 열린 이번 컨퍼런스는 동아닷컴이 주최, 게임동아가 주관하고, 안철수 연구소, 팔로알토(Palo Alto)네트웍스, VMware, 소프트포럼, 한국 맥아피, 싸이버원, RSA시큐리티, 한국 주니퍼네트웍스 등 유명 보안 솔루션 회사와 넥슨, 엔씨소프트, NHN, 네오위즈게임즈 등 국내 유명 게임업체 보안 담당자 100여 명이 참석해 높은 관심을 드러냈다.

오전 9시부터 시작한 이번 행사는 경찰청, 팔로 알토, VMware, 소프트 포럼이 각각의 주제를 가지고 게임업체 담당자들 앞에서 공통세션을 진행했으며, 오후에는 온라인 게임과 모바일 게임으로 나뉜 트랙세션으로 진행했다. 특히, 8개 게임업체를 선정해 보안 업체가 1:1로 보안 관련 컨설팅을 진행하고, 최고의 보안 컨설팅 업체를 선정하는 ‘나는 보안이다’라는 스페셜 프로그램은, 게임사와 보안 업체가 서로 윈윈할 수 있는 좋은 계기가 되었다는 평가다.

게임 보안 위협사례와 대응방안

GSC 2012에서 가장 먼저 세션의 문을 연 것은 경찰청 사이버수사대의 김동욱 주임(경위)이다. 그는 게임업체 보안 담당자들에게 보안의 중요성을 일깨우고, 보안 사고사례와 사고 발생 시 대응방안에 대해서 말하기 위해 강단에 섰다.

김 주임은 게임 소스 유출의 위험성이 산업기밀 유출과 같다고 봤다. 그는 “게임 보안은 과거 몇 년 전부터 다루어진 중요 사안 중의 하나다”라며, “특히 지난 2008년 국내 최초로 옥션에서 개인정보가 유출되는 등 점점 사이버범죄가 증가하고 있어 앞으로 이에 대한 준비가 절실해졌다”라고 게임 보안의 중요성을 강조했다.

이어서 그는 “보안 관련 문제는 국내뿐 아니라 전 세계에서 일어나고 있는 사이버범죄다. 미국의 이동통신사 버라이즌이 발표한 자료에 따르면, 개인정보 유출이나 기업 내 기밀 정보가 유출되는 경로의 대부분이 인터넷을 통해서이며, 유출되는 정보는 개인관련 정보가 가장 많다고 한다. 즉, 그만큼 실생활에서 가깝게 발생하고 있으며, 개인의 소중한 정보가 무분별하게 관리되고 있다는 것을 뜻한다”라며, “지금의 이러한 실정은 얼마 전 동일본에서 벌어진 핵발전소 사고의 여파와 같다고 생각한다. 그만큼 심각하다는 뜻이다”라고 말했다.

계속해서 설명을 하던 그는 게임업체 보안 담당자들에게 몇 가지 질문을 던졌다. 그는 “리스크(Risk)관련 보고서를 작성하고 있는 업체가 있는지 궁금하다. 혹시 앞으로 벌어질 수도 있는 사고를 예측해 본 적은 있는지, 사고가 일어날 확률은 얼마나 되는지, 만일 발생한다면 영향은 얼마나 되는지 준비하고 있는 업체가 있다면 손을 들어주기 바란다. (손을 드는 업체는 없었다) 우리는 이러한 점을 생각해봐야 한다”라며, “보안을 강화해야 한다는 점은 모두 잘 알고 있을 것이다. 하지만 업체 입장에서는 투자비용을 생각하지 않을 수 없다. 그렇다고 투자를 하지 않을 것인가? 그럴 수는 없는 법이다”라고 강조했다.

이어서 그는 “투자를 하고 난 이후에도 준비해야 할 것이 있다. 투자를 끝냈다고 끝난 것이 아니다. ‘안심’을 구매하지 말고, ‘보안’을 구매해야 한다는 뜻이다”라며, “브로큰윈도우(Broken Window)라는 개념이 있다. 브로큰 윈도우란, 할렘가에 유리창이 하나 깨져있으면 다음 날부터 깨진 유리창이 하나씩 계속해서 늘어난다는 뜻이다. 창문과 범죄율이라고 얘기를 한다. 그래서 경찰이 순찰을 돌 때 유리창을 주의깊게 보곤 한다. 보안도 마찬가지다. 처음을 잘 준비해야 한다. 담을넘는 방법을 생각해 보자. 담을 그대로 넘거나, 땅굴을 파서 밑으로 넘거나, 부수고 넘어갈 수도 있다. 이와 마찬가지다. 발생할 수 있는 모든 경우의 수를 대비하고 준비해야 한다”라고 설명했다.

마지막으로 그는 “현재 전 세계적으로 약 1억 명 정도의 개인정보가 유출된 것으로 파악되고 있다. 이를 ‘성공한 해킹 사례’라고 할 수 있다. 지금까지 발생한 해킹 사례를 통해 동일한 수법을 대비하고 준비할 수 있을 것이다”라며, “그런데 이런 점도 생각해봐야 한다. 해킹이 미수에 그친 사례, 해킹을 시도했지만 업체가 막아낸 사례, 감염되었지만 치료한 좀비PC 사례 등이있다. 해킹시도가 있었는데, 보안담당자가 이를 막고 그냥 넘어가는 경우가 많다. 이런 경우가 발생하면, 사이버수사대로 연락을 주길 부탁한다. 해킹 미수도 살인미수처럼 충분히 처벌할 수 있다. 이 점을 꼭 기억해 달라”라고 말했다.

글 / IT동아 권명관(tornadosn@itdonga.com)