일본 총리 SNS “대단히 긴급한 부탁입니다”

일본에서 웹사이트 구축에 널리 쓰이는 프로그래밍 언어 PHP의 보안 취약점이 공개를 앞두고 악용될 우려가 커지자 다카이치 사나에 총리가 밤늦게 직접 대응을 촉구했고, 일부 은행과 증권사는 인터넷 서비스를 일시 중단했다.

지난 21일 오후 9시 55분 다카이치 총리는 자신의 X(옛 트위터)에 웹사이트 운영자들을 대상으로 긴급 메시지를 올렸다. 보안 취약점을 보완하는 수정 프로그램을 신속하게 적용해 달라는 요청이었다. 즉시 적용하기 어려운 경우에는 웹사이트 운영을 일시 중단하는 것도 위험을 줄이는 방법이라고 안내했다.

총리가 특정 소프트웨어의 보안 문제를 두고 밤늦게 직접 대응을 요청한 것은 이례적인 일로 받아들여졌다. 문제가 된 것은 웹사이트 개발과 운영에 널리 쓰이는 프로그래밍 언어 PHP의 취약점이었다. 취약점을 보완하는 수정 프로그램은 같은 날 오후 11시 공개될 예정이었다.

문제는 수정 프로그램이 나오기 전에 공격이 시작될 수 있다는 점이었다. 일본 IT 전문 매체 ITmedia에 따르면 수정 프로그램 공개를 앞두고 취약점 정보가 유출됐으며, 실제 공격을 재현할 수 있는 코드가 온라인에 유통됐다. 취약점을 이용하려는 공격 시도도 관측됐다.

일본 정보처리추진기구(IPA)는 공격자가 취약점을 악용해 매우 짧은 시간 안에 공격을 실행할 가능성이 있다고 경고했다. 웹사이트 운영자들에게는 수정 프로그램이 공개되는 즉시 적용할 수 있도록 준비하라고 당부했다. 다음 날 업무가 시작될 때까지 기다리면 대응이 늦어질 수 있다는 판단이었다.

PHP는 웹사이트와 웹서비스의 서버 측 기능을 구현하는 데 사용되는 프로그래밍 언어다. 사용자가 입력한 정보 처리, 데이터베이스 연동, 로그인과 회원 관리 등 다양한 기능에 활용된다. 인터넷에 공개된 웹사이트 상당수가 PHP를 이용하는 만큼, 취약점의 영향은 특정 서비스에 국한되지 않을 수 있다.

보안 취약점이 악용되면 공격자는 웹사이트에 저장된 정보에 접근하거나 서버의 기능을 비정상적으로 실행할 수 있다. 취약점의 종류와 서버 설정, 보안 조치 여부에 따라 피해 범위는 달라지지만, 서버를 장악당하면 개인정보 유출 외에도 내부 시스템 훼손이나 추가 공격으로 이어질 가능성이 있다. 침해된 서버가 다른 시스템을 공격하는 경유지로 악용될 수도 있다.

요미우리신문에 따르면 보안업체 트렌드마이크로의 다카하시 마사야 시니어 스페셜리스트는 이번 취약점의 영향 범위가 넓고 방치할 경우 위험성이 크다며 기업과 기관의 신속한 대응을 촉구했다.

보안 취약점이 공개되면 운영자는 수정 프로그램을 적용해 위험을 줄여야 한다. 다만 업데이트 과정에서 웹사이트 기능이 정상적으로 작동하는지 확인해야 하고, 오래된 시스템이나 다른 소프트웨어와의 호환성 문제도 살펴야 한다. 이런 이유로 일부 기업은 즉시 업데이트하기보다 서비스 중단 여부를 포함한 대응 방안을 결정해야 하는 상황에 놓인다.

이번에는 수정 프로그램 공개 전에 취약점 정보와 공격 코드가 퍼졌다는 점이 긴급성을 키웠다. 공격자가 취약점의 작동 방식을 파악하면 공개된 정보를 토대로 공격을 자동화할 수 있기 때문이다. 운영자 입장에서는 실제 피해가 발생한 뒤 대응하기보다 공격 가능성이 확인된 시점에 예방 조치를 취하는 것이 중요하다.

취약점 악용 우려는 실제 금융 서비스 운영에도 영향을 미쳤다. 교도통신에 따르면 시즈오카은행은 인터넷뱅킹을 일시 중단했고, 시치주시치은행도 일부 서비스를 예방 차원에서 중단했다. 다이와증권은 계좌 개설 등을 처리하는 웹사이트 서비스를 멈췄다.

금융회사가 서비스를 중단하면 고객은 계좌 조회나 온라인 거래, 신규 계좌 개설 등 일부 업무를 이용하지 못할 수 있다. 하지만 취약점이 악용될 경우 발생할 수 있는 피해를 고려해 사전에 서비스를 제한하는 방식은 보안 사고의 확산을 막기 위한 대응 수단 가운데 하나다.

일본은행협회는 은행 간 결제 시스템에 영향을 미쳤다는 사실은 확인되지 않았다고 밝혔다. 이는 일부 금융회사가 고객 대상 웹서비스를 중단한 것과 은행 간 자금 결제 기능이 중단된 것은 구분해야 한다는 의미다.

일본 언론들은 총리가 직접 위험을 알린 것이 기업과 기관의 대응 결정에도 영향을 줄 수 있다고 전했다. 야간에 서비스를 중단하거나 긴급 인력을 투입하려면 고객 불편과 비용을 감수해야 하는데, 정부 최고 책임자가 위험을 공개적으로 알리면서 경영진이 예방 조치를 결정할 근거가 강화됐다는 분석이다.

일본에서는 이번 취약점 문제에 앞서 생활 서비스와 금융권에서 정보 유출 사고가 잇따랐다. 차량 공유 서비스 타임즈카에서는 약 660만 계정, 외식업체 야키니쿠킹에서는 약 1079만 건, 버거킹에서는 약 1118만 건의 회원정보가 유출된 것으로 알려졌다.

정부는 지난 8일 관계부처 회의를 열어 잇따른 정보 유출 사고에 대한 대응에 나섰다. 다카이치 총리도 국회에서 국민의 불안을 언급하며 보안 대책을 강화하겠다고 밝혔다. 이용자가 일상적으로 사용하는 차량 공유와 외식 서비스에서도 대규모 정보 유출이 발생하면서 개인정보 보호 문제가 사회적 관심사로 떠올랐다.

금융권에서는 개인정보 유출을 넘어 고객 계좌에서 의도하지 않은 거래가 발생한 사건도 나왔다. 이와이코스모증권은 고객 4975명의 정보가 유출됐으며, 7개 계좌에서 고객이 의도하지 않은 주문이 발생했다고 발표했다. 이 가운데 5개 계좌에서는 실제 거래가 체결됐다. 해당 거래는 취소 처리됐다.

이 사건은 계좌 정보와 거래 접근 권한이 악용될 경우 고객의 개인정보가 노출되는 데서 끝나지 않고 실제 금융 거래로 피해가 이어질 수 있음을 보여줬다. 금융회사의 보안 사고는 고객 정보 보호뿐 아니라 거래 시스템의 무결성과 고객 자산 보호 문제로 연결된다.

이번 PHP 취약점 대응은 소프트웨어의 보안 문제가 웹사이트 운영자만의 문제가 아니라 금융 서비스를 포함한 일상적인 디지털 서비스에도 영향을 줄 수 있음을 보여줬다. 일본 정부와 기업들은 수정 프로그램 적용과 서비스 중단 등 긴급 조치를 통해 공격 위험을 줄이는 데 나섰다.