한국인의 인내심 테스터, 보안 프로그램

 

대한민국에서 액티브X에 고통받아 보지 않은 사람이 과연 있을까? 인터넷 뱅킹 한 번 하려고 보안 프로그램 대여섯 개를 깔고 재부팅도 하고 한참 씨름하다가 그냥 은행으로 직접 가본 경험, 대한민국 사람이라면 이런 진땀 뺀 기억 하나쯤 없는 이가 드물다. 그런데 이번 정부가 올해 안에 금융 보안 프로그램 단계적 폐지를 발표했다. 이번엔 진짜일까, 아니면 또 말로만 그러는 걸까?

 

이 골치 아픈 역사의 시작은 1990년대 말로 거슬러 올라간다. IMF 직후 김대중 정부가 IT 강국을 외치며 초고속 인터넷을 깔던 시절이다. 그런데 인터넷 뱅킹을 하려면 본인 인증이 필요했고 그러려면 강력한 암호화 기술이 있어야 했다. 문제는 미국이 자국의 128비트 암호화 기술을 미사일과 동급의 전략 자산으로 분류해 수출을 막았다는 점이다. 지금 미국이 첨단 AI 칩 수출을 통제하는 것과 같은 그림이다. 한국에 풀린 것은 반나절이면 풀 수 있는 40비트짜리 약한 암호화뿐이었다.

 

그래서 어쩔 수 없이 자체 기술을 만들었다. 그게 바로 '시드(SEED)'라는 한국형 128비트 암호화 알고리즘이다. 여기까지는 박수 받을 만한 일이었다. 그런데 치명적인 문제가 남았다. 한국이 만든 시드가 인터넷 익스플로러 같은 외국 브라우저의 표준에 맞지 않는 것이다. 여기서 액티브X가 등장했다. 브라우저가 한국 암호 기술을 모르니 브라우저 바깥에 별도의 보안 프로그램을 강제로 설치하게 한 것이다. 비유하자면 글로벌 표준 자물쇠를 못 쓰니 우리만의 자물쇠를 따로 들고 다니라고 시킨 셈이다. 키보드 보안, 개인 방화벽, 백신, 인증서 모듈 등 은행 사이트에 한 번 들어가는데 이런 프로그램들이 줄줄이 깔렸고 컴퓨터는 무거워졌고 인터넷 익스플로러가 아니면 거래 자체가 불가능했다.

 

문제는 이 갈라파고스 시스템이 보안에 도움이 됐냐는 거다. 카이스트 연구진이 국내 주요 금융·공공기관의 보안 프로그램 7종을 분석했더니 19건의 심각한 취약점이 나왔다. 더 황당한 건 보안 프로그램이 깔리지 않은 평범한 브라우저에서는 키보드 입력값이 외부로 샐 일이 없는데, '보안' 프로그램이 깔린 PC에서는 오히려 해커가 보안 프로그램을 통해 키 입력값을 빼낼 수 있었다. ‘보안’하라고 깔아둔 자물쇠가 도둑한테는 친절한 안내문이 되어 있었던 셈이다. 작년 공개된 해킹 보고서에선 정부 시스템을 노린 해커의 도구함에 행정용 보안 프로그램 파일이 들어 있었다는 정황까지 확인됐다.

 

여기까지만 봐도 답답한데 진짜 분통 터지는 부분은 책임 소재다. 해외에서는 금융 보안의 1차 책임이 금융사와 브라우저에 있다. 사고 나면 은행이 보상한다. 하지만 우리나라는 사용자가 자기 PC에 보안 프로그램을 직접 설치하도록 만들어 놨다. 그래서 사고가 터지면 은행은 ‘우리는 보안 프로그램까지만 제공했다.’라며 빠지고, 결국 ‘PC 관리 잘못한 네 책임’으로 돌아온다. 보안 프로그램이 보안이 아니라 면피용 도구로 작동해 온 셈이다.

 

2025년에는 더 가관이었다. SKT 유심 2,696만 건, 롯데카드 297만 명, 쿠팡 3,367만 건. 사이버 침해 사고 접수 건수는 사상 처음으로 2,000건을 넘었다. 보안 프로그램을 설치하라고 강제하면서도 정작 진짜 큰 사고는 줄지 않는 모순된 풍경. 사용자한테 책임을 떠넘긴 시스템이 30년 가까이 굴러왔으니 어찌 보면 당연한 결과다.

 

민심잡기용 정책임이 뻔히 보인다지만 이번에라도 고치는 것은 다행스러운 일이다. 책임 소재를 고객에게 떠넘겨오던 무책임한 금융권에서는 ‘일정이 촉박하다’며 우는 소리를 한다. 정말 촉박해서 우는 건지 면피용 방패가 사라지는 게 아쉬워서인지는 두고 봐야겠지만, 통쾌한 건 매한가지다. 30년 묵은 갈라파고스, 이번엔 정말 끝내야 한다.