폴란드의 공공 웹서비스에서 광범위한 보안 취약점이 발견됐다는 조사 결과가 공개됐다. 현지 보안 연구자 로베르트 크루체크와 카밀 슈추로프스키는 자국 인터넷 환경을 점검하는 과정에서 공항, 병원, 법원, 정부 기관을 포함한 1만여 공공 단체와 약 25만개 웹사이트가 공격 위험에 놓여 있다고 밝혔다. 공공 서비스가 디지털 창구에 크게 의존하는 상황에서, 노후 소프트웨어와 취약점 대응 절차의 공백이 동시에 드러난 사례다.
두 연구자는 미국 라스베이거스에서 열린 보안 콘퍼런스 데프콘에서 조사 내용을 소개했다. 이들은 특정 기관을 겨냥한 침해가 아니라 공개된 인터넷 자산을 살펴보며 국가 차원의 노출 정도를 파악하려 했다고 설명했다. 그러나 조사 범위가 넓어질수록 단순한 설정 실수보다 오래 방치된 구조적 문제가 많았다고 전했다. 보안 결함을 제보할 공식 통로와 보상 제도가 부족한 점도 위험을 키운 요인으로 지목됐다.
비밀번호 없이 접근 가능한 공공 사이트
조사에서 특히 문제가 된 것은 여러 공공기관이 사용하는 콘텐츠 관리 시스템, 이른바 CMS였다. CMS는 기관이 홈페이지의 공지와 정보를 관리하도록 돕는 핵심 도구지만, 보안 업데이트가 멈추면 공격자가 같은 약점을 반복적으로 노릴 수 있다. 연구진은 Pad CMS라는 시스템의 중대한 취약점으로 비밀번호 없이 300곳이 넘는 공공 웹사이트에 접근할 수 있었다고 밝혔다.
해당 소프트웨어는 이미 지원 종료 상태여서 개발사가 보안 패치를 제공하지 않았다고 한다. 지원 종료 제품은 새 취약점이 확인돼도 수정판을 기대하기 어렵다는 점에서 위험하다. 운영 기관이 대체 시스템으로 옮기거나 별도의 보완 조치를 마련하지 않으면, 공개된 결함이 장기간 공격 경로로 남을 수 있다.
또 다른 취약점은 폴란드 사법부 웹사이트에도 영향을 미쳤다. 연구진은 약 245개 법원, 즉 전체의 약 3분의 2에 해당하는 사이트에 접근할 수 있는 문제를 확인했다고 설명했다. 법원과 병원, 공항 같은 기관은 이용자 정보와 필수 서비스에 연결돼 있어 단순한 홈페이지 훼손을 넘어 민원 처리 지연, 신뢰 하락, 2차 침해로 이어질 가능성을 경계해야 한다.
신고 체계와 공급망 관리가 관건
연구진은 발견 내용을 여러 공식 경로로 정부에 알렸고, 조사 이후 일부 환경이 더 안전해졌다고 평가했다. 다만 취약점을 발견한 개인 연구자가 어느 곳에, 어떤 형식으로, 어느 수준까지 정보를 전달해야 하는지가 명확하지 않으면 대응 속도는 늦어질 수 있다. 기관과 소프트웨어 공급사가 취약점 제보를 불편한 민원으로만 다루지 않고, 재현·분석·조치 과정을 갖추는 것이 필요하다.
이번 사례는 공공 부문의 사이버 보안이 장비 구매나 단발성 점검만으로 완성되지 않는다는 점을 보여준다. 자산 목록을 최신으로 유지하고, 사용 중인 CMS와 플러그인의 지원 상태를 파악하며, 중요도에 따라 업데이트와 교체 순서를 정하는 일은 평상시 운영의 일부가 돼야 한다. 외부에서 접근 가능한 관리 화면과 불필요한 서비스는 줄이고, 강력한 인증과 접근 기록 점검도 병행할 필요가 있다.
폴란드는 최근 에너지와 수도 공급 부문을 겨냥한 것으로 의심되는 사이버 공격에 대응해 방어 역량을 강화해 왔다. 연구진이 제시한 결과는 국가 기반 서비스의 안전이 전력·수도 같은 산업 시스템뿐 아니라 주민이 매일 접하는 웹서비스의 작은 결함에서도 흔들릴 수 있음을 시사한다. 공격자는 복잡한 침투 기법보다 먼저 공개된 취약점과 관리가 느슨한 시스템을 찾는 경우가 많다.
공공 서비스 신뢰를 위한 상시 점검
대규모 취약점 조사는 숫자 자체보다 이후의 개선 과정이 중요하다. 영향을 받은 기관은 같은 제품을 쓰는 다른 사이트까지 범위를 넓혀 점검하고, 지원 종료 소프트웨어의 교체 계획과 임시 완화 조치를 공개적으로 관리할 필요가 있다. 정부 차원에서는 공공기관이 제보를 신속히 접수할 수 있는 창구와 공동 대응 체계를 마련하는 방안도 검토할 수 있다.
시민에게 필요한 것은 과도한 불안보다 기본적인 경계다. 공공기관 사이트에서 평소와 다른 로그인 요구, 수상한 안내문, 개인정보 입력을 재촉하는 화면을 발견하면 공식 대표번호나 별도 채널로 확인하는 습관이 도움이 된다. 기관 역시 보안 사고가 발생했을 때 이용자에게 사실과 대응 방법을 빠르게 알릴수록 피해 확산과 신뢰 훼손을 줄일 수 있다.
이번 조사는 공공 웹 보안이 기술 부서만의 과제가 아니라 서비스 지속성과 행정 신뢰의 문제임을 다시 확인시켰다. 발견된 취약점을 일회성 경고로 끝내지 않고, 소프트웨어 수명 관리와 신고·패치 절차를 정비할 때 비로소 공공 디지털 서비스의 안전망도 단단해질 수 있다.
댓글