제250회 국정감사 과학기술정보통신위원회	보도자료 2004. 10. 14 (木)	국회의원(부산연제구) 김 희 정
국회의원회관 635호 02-788-2203/784-6261

대상기관 : 한국정보보호진흥원(KISA), 한국소프트웨어진흥원(KIPA)

<한국정보보호진흥원(KISA)>

★ 휴대폰바이러스 국내상륙 임박, 이통업체 속수무책!

- SKT만 일부 백신 서비스, KTF·LGT 무방비

- 6개월후 핸드폰 플랫폼 일원화, 바이러스 활동 쉬워져

- 안철수연구소, □SKT와 백신개발하는데 10개월 걸려□

★ 한국, 인터넷 금융사기 경우지 급부상!

- 국내 서버, 미국 다음으로 금융사기 위장사이트로 활용

- 2004.1.이후 128개 국내 사이트 피싱 해킹 당해

- 피해 업체, □기업 이미지 때문에 피해사실 못 밝혀□

<한국소프트웨어진흥원(KIPA)>

★ □대기업수주제한제도, 있으나마나!□

- 대기업 16곳, 수주제한 위반

- 발주기관, 허술한 예외조항 근거로 규정위반 편법 묵인

★ □입찰제안서, 하늘에서 떨어지나?□

- 지적재산 인정해, 응분 보상해줘야

- 대기업 97%, 중소기업 100%, 행정기관 60%,

□소프트웨어업체 지적재산보호필요성 인정해야□

★ □누구를 위한 S/W 테스트인가?□

- 품질인증테스트 요청,

□2003년 189개 □ 2004. 9월, 119개로 급감□

- 성능비교테스트 요청,

□2003년 63 개 □ 2004. 9월, 30개로 급감□

★ 휴대폰바이러스 국내상륙 임박, 이통업체 속수무책!

- SKT만 일부 백신 서비스, KTF·LGT 무방비

- 6개월후 핸드폰 플랫폼 일원화, 바이러스 안심 못해

- 안철수연구소, □SKT와 백신개발하는데 10개월 걸려□

1. PC처럼 운영체계(OS)를 내장한 이동통신 단말기가 일반화되면서, 휴대폰 바이러스에 대한 우려가 증가되고 있음.

- 실제로 러시아의 경우, □04년 6월 휴대폰 웜바이러스인 카비르, 불법 복제게임 실행 시 SMS가 다량으로 발송되는 모스키토스(Mosquitos), NTT 도꼬모의 휴대폰용 I-Mode 애플리케이션에 감염된 악성 코드가 경찰 응급 전화번호(110)로 자동 전화 호출(□01년 6월) 등의 피해사례가 있었음.

2. 문제는 <휴대폰 바이러스>에 대한 정부차원에서 적극적인 대책마련 노력이 부족한 것 같다는 점임.

- 만약 정부가 자연재해만 아니라 정보통신 장애를 대량으로 유발하는 <바이러스>도 재해의 일종으로 인식한다면, 현재 핸드폰 바이러스가 문제가 되고 있는 외국 사례를 주목하고 <샘플수집 등> 연구차원에 나섰어야 하는데 그렇게 하지 않았다는 점임.

3. 지금과 달리 내년 4월부터는 국내 판매휴대폰에 무선인터넷 플랫폼인 위피(WIPI)가 의무적으로 탑재되어 플랫폼 통일에 따른 핸드폰 바이러스의 자유로운 이동과 확산 가능성이 커질 것으로 전망되기 때문임.

4. 또 다른 문제는 내년부터 핸드폰 바이러스 발생가능성을 배제하기 어려운 상황인데, 정작 대책마련에 나서야할 이동통신사들이 대책마련에 적극적으로 나서지 않고 있다는 점임. 10월 현재, SKT만 <안철수연구소>와 협력하여 위피(WIPI)를 기반으로 한 휴대폰 단말기(4개 기종)에 대해 바이러스 백신서비스를 제공하고 있을 뿐임.

5. <안철수연구소>에 확인한 바로는, SKT가 현재 서비스를 제공하는 바이러스 예방백신을 개발하는데 10개월이 소요되었고, 앞으로 최대한 빨리 바이러스백신을 개발한다고 해도 최소 3개월 이상이 소요된다고 함.

★ 한국, 인터넷 금융사기 경우지 급부상!

- 국내 서버, 미국 다음으로 금융사기 위장사이트로 활용

- 2004.1.이후 128개 국내 사이트 피싱 해킹 당해

- 피해 업체, □기업 이미지 때문에 피해사실 못 밝혀□

1. 국내에서는 아직까지 피싱(Phishing)으로 피해를 입은 사례가 보고된 바 없으나, 피싱 경유지로 한국 웹 사이트들이 이용되는 경우들이 급증하고 있고, 미국 등 국외 확산추세로 볼 때 국내에서도 모방범죄가 기승을 부릴 우려가 있어 조속한 대책마련이 요구됨.

(*) 피싱은 개인정보(Private Data)를 낚는다. (Fishing)는 의미를 지닌 합성어. 정상적인 웹서버를 해킹하여 위장사이트를 개설한 후, 금융기관을 사칭하여 인터넷 이용자들에게 이메일을 보내 신용카드나 통장계좌에 문제가 있다고 속여 계좌번호나 비밀번호, 그 밖의 신상정보나 연락처, 신용정보를 해커에게 송출하도록 하는 사회 공학적 신종 해킹기법

- 미국 시장조사기관인 (가트너) 보고서에 따르면, 피싱 메일을 받은 미국인 5,700만명 중 약 19%인 1,100만명 정도의 사람들이 메일이 유인한 가짜 웹사이트에 들어가 이중 약 1.3%(178만명)가 피싱메일 발송자에게 금융 및 개인정보를 제공한 것으로 나타남.

2. 우리나라 웹 사이트들을 대상으로 한 피싱사고의 경우, 최근 미국의 대표적인 피싱추방 단체인 안티피싱워킹그룹 (APWG)이 밝힌 바에 따르면, 지난 7월 미국에 신고된 1,974건의 피싱사건 가운데 한국서버가 이용된 경우가 16%로 미국에 이어 두 번째임.

- <정보보호진흥원> 제출자료에 따르면, □04년 5월까지 국내 웹 사이트가 피싱 경유지로 이용된 사례는 15건에 불과했으나 <□04년 6월, 7월, 8월 들어 각각 21건, 22건, 27건으로 조금씩 늘어나다가 지난 9월 43건으로 급격히 늘어나고 있음.>

3. 문제는 <정보보호진흥원>이 제출한 자료가 자체 모니터링을 통해 파악한 것이 아니라 모두 국외의 침해대응기관이나 위장사이트 대상기관에서 국내 인터넷침해사고대응지원센터(KrCERT)로 신고하여 집계된 점임.

4. 심각한 문제는, ①피싱이 신종금융사기 수법이다 보니 일반 국민들이 잘 모르고 있고, ②피싱사고가 나도 해당 업체들이 이미지 관리 때문에 사고 사실을 감추려하고, ③피싱대상 웹 사이트들이 주로 보안이 취약한 중소기업들이라는 점 때문에 피싱사고 근절이 쉽지 않을 것이라는 점임.

□ Phishing 관련 통계 자료

<2004. 09. 30 기준>

□ 국내 서버를 해킹하여 Phishing 위장사이트로 악용한 사고는 7월에 22건, 8월에 27건, 9월에는 43건이 신고되어 전월대비 59.3% 증가

□ Phishing : 정상적인 웹서버를 해킹하여 위장사이트를 개설한 후, 인터넷 이용자들에게 전자우편을 보내 금융정보 등을 빼내는 사회공학적 신종사기수법으로 Bank Fraud, Sacm 등으로 불림

□ Phishing 사고는 국외의 침해사고대응기관이나 위장사이트 대상기관에서 KrCERT로 신고하여 처리한 것임

- 9월 기준으로 피싱 대상이 된 사이트는 ebay(34건), SunTrust Banks(3건), PayPal(2건) US Bank(1건) 등이었으며, US Bank에 대한 피싱이 크게 감소한 반면 ebay 관련 사고건수는 증가함.

★ □대기업수주제한제도, 있으나마나!□

- 대기업 16곳, 수주제한 위반

- 발주기관, 허술한 예외조항 근거로 규정위반 편법 묵인

1. □04년 3월 정통부는 새로운 시장 확보를 통해 중소기업 사이의 경쟁을 활성화함으로써, 우수한 중소기업들이 성장할 토대를 구축하자는 취지로 공공부문 정보시스템 구축사업에 대해 <대기업인 소프트웨어 사업자가 참여할 수 있는 사업금액의 하한>고시함(□04. 3. 6 정통부고시 제2004-11호).

(*) 대기업 수주제한제도 : 국가기관 등이 발주하는 정보시스템 구축사업에 대기업인 스프트웨어사업자가 참여할 수 있는 사업 금액의 하한을 정한 제도

대상업체	사업금액의 하한
매출액 8천억원 이상인 대기업	10억원 이상
매출액 8천억원 미만 ~ 2천억원 이상인 대기업	7억원 이상
매출액 2천억원 미만인 대기업	5억원 이상

2. 문제는 공공부문 정보시스템 구축사업 발주 시점에 제도 준수여부를 조사할 수 있는 체제 구축이 되어 있지 않는데다 이 제도가 강제, 처벌조항이 없는 임의조항으로 되어 있어 공공부문 정보시스템 입찰시 대기업 수주제한제도를 준수하지 않는 경우들이 발생한다는 것임.

3. □04년 2/4분기에 시행된 공공부문 정보화시스템 구축사업 가운데 대기업수주제한제도 준수요건에 해당하는 196건의 해당요건 준수 여부를 조사한 결과, 16건이 해당 요건을 준수하지 않은 것으로 조사되었음.

★ □입찰제안서, 하늘에서 떨어지나?□

- 지적재산 인정해, 응분 보상해줘야

- 대기업 97%, 중소기업 100%, 행정기관 60%,

□소프트웨어업체 지적재산보호필요성 인정해야□

1. 대기업과 중소기업은 물론, 정부에서 조차 사업을 발주할 때 입찰자들로부터 받는 제안서에 대해 지적소유권을 인정해줘야 한다고 모두 공감하면서도 관련법규가 정비되지 않아 입찰자들이 심혈을 기울여 작성해 제출한 제안서에 대한 지적재산권이 보호되지 않고 있어 개선대책 마련이 필요함.

2. <소프트웨어업체의 지적재산권보호 필요성>과 관련해 금년 상반기에 <한국소프트웨어산업협회>가 대기업/중소기업 500개사와 200개 기관을 대상으로 조사한 자료에 따르면, 제안서 보상에 대해서는 대기업 응답자의 97%가, 중소기업 응답자는 100%, 심지어 행정기관 응답자도 60%가 □개선이 시급하다□는 응답을 했음.

3. 이와 관련해, 현재 문제가 되는 조항은 소트프웨어진흥법 제21조임.

- 이 조항에는 입찰자들이 제출하는 제안서에 대한 보상은 임의규정으로 되어 있고, 세부규정이 명확하게 정비되지 않다보니 실제로 보상이 이뤄지는 경우들이 없어 당초 이 조항을 만든 취지를 무색하게 하고 있음.

★ □누구를 위한 S/W 테스트인가?□

- 품질인증테스트 요청,

□2003년 189개 □ 2004. 9월, 119개로 급감□

- 성능비교테스트 요청,

□2003년 63 개 □ 2004. 9월, 30개로 급감□

1. 국내 중소 S/W기업들의 품질향상과 제품인지도를 높이기 위해 도입된 S/W 품질인증제도와 S/W 성능비교 테스트가 <중소 S/W개발업체와 S/W사용기관들의 Test에 대한 신뢰부족으로 소기의 성과를 거두지 못하고 있음>.

(*) S/W 품질인증제도 : S/W가 갖추어야 할 품질특성인 기능성, 신뢰성, 호환성 등에 대한 평가를 통해 일정수준 이상인 제품에 GS(Good Software)마크를 부여하는 제도

- □04년 9월말 현재 S/W 품질인증시험을 요청한 업체는 119개로 □03년 189개보다 적고, S/W 성능비교를 요청한 업체도 □04년 9월말 현재 30개로 □03년 63개보다 저조함.