선관위 보안 취약

합동 보안점검

국가정보원과 중앙선거관리위원회, 한국인터넷진흥원은 2023년 7월부터 9월까지 선관위 정보시스템에 대한 합동 보안점검을 실시했습니다.

국정원은 가상의 해커가 선관위 전산망 침투를 시도하는 방식으로 시스템 취약점, 해킹사고 대응 실태, 주요정보통신기반시설 보안관리 상태를 점검했다고 발표했습니다.

국정원이 발표한 투표시스템 취약점

국정원은 통합선거인명부시스템의 접속 권한과 계정 관리가 미흡했다고 발표했습니다. 모의해킹 과정에서는 유권자의 사전투표 여부 표시를 변경하고 존재하지 않는 유권자 정보를 등록할 수 있었다고 밝혔습니다.

선관위 내부시스템에서는 사전투표용지에 사용되는 선관위 도장과 투표관리관 도장 파일을 확보할 수 있었다고 발표했습니다. 테스트용 출력 프로그램을 이용해 실제 사전투표용지와 동일한 형식의 QR코드가 포함된 투표지를 출력할 수 있었다는 내용도 포함됐습니다.

국정원이 발표한 개표시스템 취약점

국정원은 개표 결과가 저장되는 시스템의 보안관리가 미흡해 저장된 결과값을 변경할 수 있었다고 발표했습니다.

투표지분류기에는 비인가 USB 장치를 연결할 수 있었고 해킹 프로그램 설치와 분류 결과 변경이 가능했다고 밝혔습니다. 인터넷 통신 기능이 있는 무선장비를 연결할 수 있었다는 점도 발표 내용에 포함됐습니다.

실제로 확인된 해킹 사고

국정원은 2021년 4월경 선관위 직원의 외부 인터넷용 PC가 북한 해킹조직 킴수키의 악성코드에 감염됐다고 발표했습니다.

국정원 발표에는 해당 직원의 상용 메일함에 저장된 업무자료와 인터넷용 PC의 저장자료가 유출됐다는 내용이 포함됐습니다.

선관위는 해당 감염 사고에서 내부 업무망과 선거시스템의 침해 흔적은 발견되지 않았다고 밝혔습니다. 선관위는 2023년 보안점검에서도 북한 해킹으로 인한 선거시스템 침해 흔적이 발견되지 않았다는 입장을 발표했습니다.

선관위가 밝힌 점검 조건

선관위는 모의해킹을 위해 시스템 구성도, 정보자산 현황, 시스템 접속 관리자 계정과 테스트 계정을 제공했다고 설명했습니다.

선관위는 점검 준비 과정에서 침입탐지와 차단 기능 등 자체 보안시스템 일부를 적용하지 않았다고 밝혔습니다.

선관위는 통합선거인명부 데이터에 접근하려면 서버와 데이터베이스 접속정보를 확보하고 보안관제시스템을 무력화해야 한다고 설명했습니다.

선거 결과 조작에 관한 선관위 입장

선관위는 투표와 개표 과정에 실물 투표지, 공개 수작업 개표, 투·개표참관인, 선거사무 관계자, 사후 재검표 절차가 적용된다고 설명했습니다.

선관위는 전산시스템과 투표지분류기가 투·개표 업무를 지원하는 장비라고 밝혔습니다. 개표 결과는 실물 투표지를 통해 다시 검증할 수 있다는 입장도 발표했습니다.

선관위는 전산값을 조작한 뒤 해당 값과 일치하도록 실물 투표지를 변경하려면 다수 관계자의 조직적 가담이 필요하다고 주장했습니다.

부정선거 여부에 관한 국정원 입장

국정원은 2023년 보안점검 결과 발표 당시 점검이 기술적 관점에서 취약점을 확인한 작업이라고 설명했습니다.

백종욱 당시 국정원 3차장은 점검 결과를 과거 선거 결과 의혹과 연결하는 해석을 경계해야 한다고 밝혔습니다.

국정원은 2024년 12월 당시 점검을 통해 부정선거 여부를 판단하지 못했으며 해당 입장을 유지한다고 다시 밝혔습니다.

보안관리 평가

국정원은 선관위가 2022년도 주요정보통신기반시설 보호대책 자체 평가 결과를 100점으로 통보했다고 밝혔습니다.

합동보안점검팀이 같은 기준의 31개 항목을 평가한 결과는 31.5점이었다고 발표했습니다. 국정원은 전산망 관리, 용역업체 보안관리, 취약점 분석평가 업체 자격 등에서 문제가 확인됐다고 밝혔습니다.

후속 조치

국정원은 망 사이의 접점, 사용자 인증절차 우회, 유추 가능한 비밀번호 등 일부 문제를 선관위와 함께 즉시 보완했다고 발표했습니다.

선관위는 시스템 접근 제어와 통제 강화, 보안장비 추가, 보안컨설팅 결과 이행추진 TF 구성, 보안분야 감사 강화를 추진하겠다고 밝혔습니다.

선관위는 2024년 제22대 국회의원선거 실시 전에 발견된 취약점 대부분에 대한 보안 강화 조치를 완료했다고 설명했습니다.

공개자료 구분

carrotlink"https://www.nis.go.kr/CM/1_4/view.do?seq=251""국정원의 선관위 부실 확인"
carrotlink"https://www.nec.go.kr/site/nec/ex/bbs/View.do?bcIdx=194245&cbIdx=1090""선관위, 컨설팅 관련 입장"
carrotlink"https://www.nec.go.kr/site/nec/law/qnaView.do?bcIdx=194814&cbIdx=1245""선관위, 국정원 답변"