정부 산하기관이 부추긴 '해킹 위험 노출' 아파트 월패드

[이데일리 윤정훈 기자] 잇따른 해킹 사태로 개인정보 유출 우려가 커지면서, 아파트 등 공동주택의 보안 문제도 다시 도마에 올랐다. 정부는 2021년 발생한 ‘월패드 해킹’ 사태 이후 아파트 네트워크 보안을 강화하겠다며 세대 간 망분리를 의무화했지만, 다수 건설사가 현장에서는 여전히 값싼 VPN(가상사설망)으로 이를 대체하는 방식을 택하고 있다는 지적이 제기된다. 한국인터넷진흥원(KISA)이 내놓은 가이드라인에서 VPN을 허용하면서다.

월패드 해킹 관련 제미나이 생성 이미지

23일 정보기술(IT) 업계에 따르면 정부는 월패드 해킹을 계기로 2022년 7월 ‘지능형 홈네트워크 설치 설비 및 기술기준’을 도입하고 신축 아파트에 망분리를 의무화했다. 하지만 2022년 7월 이전에 건축 허가를 받은 아파트는 물론 법 도입 이후 허가를 받은 일부 아파트에서 버젓이 이를 지키지 않는 것으로 알려졌다.

한국사이버안전협회에 따르면, 강남의 7000세대 규모 대단지 아파트는 VPN조차 설치하지 않았으며, 인천 송도와 강원 지역 신축 아파트들 역시 단순 VPN이나 보안프로그램만 설치해 규정을 형식적으로 따르는 사례가 적지 않다. 건설사들이 월패드에 단순 VPN만 설치하는 이유는 비용 문제가 가장 크다. 물리적 망분리를 위해서는 아파트 동당 2000만~3000만원의 비용이 추가로 발생하는데 단순 소프트웨어 설치형 VPN은 설치 비용이 10분의 1 수준이다.

문제는 단순 VPN 방식이 해킹에 취약하다는 점이다. 실제로 지난 7월 SGI서울보증은 SSL VPN 장비의 SSH 포트가 해킹당해 내부망이 뚫리고, 이 과정에서 랜섬웨어 공격까지 발생했다. 기업조차 VPN 취약점으로 막대한 피해를 본 만큼, 공동주택의 월패드에 동일한 장비를 설치하는 것은 보안을 방기하는 것이나 다름없다는 지적이다.

이에 개인정보보호위원회는 VPN을 활용해 논리적으로 인터넷망을 분리할 경우는 ‘가상화’ 등의 기술을 사용하도록 하고 있다. 그러나 정부산하기관인 KISA의 ‘2024년 홈네트워크 보안가이드 개정본’의 예시에는 월패드에 VPN을 설치만하면 되기 때문에 대부분의 건설사는 KISA의 가이드대로 VPN만 설치하는데 그치고 있다.

전문가들은 KISA의 애매한 VPN 규정과 물리적 망분리 원칙을 명확히 해야 한다고 지적했다. 동시에 정부 차원의 전수조사를 통해 신축 아파트 망분리 실태를 검증하고, 기축 아파트에 대한 보안 지원 방안도 마련해야 한다는 조언했다.

사이버 보안 전문가인 박재경 폴리텍대 교수는 “한국토지주택공사(LH)나 민간건설사들이 비용 절감을 위해 값싼 SSL VPN 소프트웨어만으로 망분리를 대체하고 있는데 이는 ‘시한폭탄’을 안고 아파트를 짓는 것과 같다”며 “망분리 법안은 현재 신축 아파트만 대상인데, 훨씬 더 많은 기축 아파트가 보안에 무방비 상태로 노출돼 있다”고 말했다.

이어 “월패드에 장착된 카메라를 가리고 있어도 이 장비가 우리 생활 음성을 녹음하고 있기 때문에 문제가 될 수 있다”며 “층간 소음 같은 개인적인 원한으로 해커에게 돈을 주고 윗집 사생활을 해킹해달라고 하는 등 홈네트워크 해킹이 심각한 범죄로 이어질 가능성이 충분하다”고 주장했다.

현행 법은 홈네트워크 설비 의무를 위반해 안전관리 계획을 세우지 않아도 건축법에 따라 과태료가 적어 실효성이 떨어진다는 지적이다. 또 개인정보보호법에서는 문제가 생기더라도 홈네트워크 정보 책임주체에게만 처분을 내릴 수 있도록 돼있다.

김다섭 법무법인 민우 변호사는 “결국 개인정보보호위원회의 개인정보의 안전성 확보조치 기준 안내서와 배치 되는 논리적 망분리 기술 적용으로 아파트 입주자의 피해와 관리주체, 입주자 대표의 법적 책임이 전가 되는 형국”이라며 “입주민들이 관리 규약을 개정해 보안 강화를 결의하고, 관련 비용을 장기수선충당금이나 별도의 관리비 항목으로 책정해 자율적으로 대응을 추진해야 한다”고 설명했다.

이어 “가장 시급한 문제인 관련기관·기업에서 사용 된적이 없는 원칙없는 VPN 설치로 인한 세대간 망분리 기준을 개인정보보호위원회에서 제시 해왔던 기준에 따라 지켜지도록 제도를 손실 해야 하며 기축 아파트에 대해서는 조례를 통해 보조금을 지원하거나, 관리 주체가 자율적으로 보안을 강화하도록 유도하는 방안이 필요하다”고 말했다.

KISA 월패드 가이드라인 예시 사진. 사진 맨 아래쪽에 보면 월패드와 VPN Client를 합친 예시를 그려 실제 월패드에 VPN을 넣어도 되는 것처럼 보인다. 다만 KISA는 이해를 돕기 위한 개념도로 실제 홈네트워크와 다를 수 있다고 설명한다(사진=KISA)

개인정보보호위원회가 설명하는 가상화 VPN을 이용한 논리적 망분리. KISA 예시와 달리 가상화 서버를 두는 등 망 분리가 확실하게 그려져 있다(사진=개보위)