지하철 신호제어시스템이 인터넷과 연결되는 바람에 사이버공격에 무방비로 노출돼 있던 것으로 드러났다. 보안 규칙을 제대로 지키지 않았다.
서울시 감사위원회는 서울메트로와 도시철도 감사 결과 열차 신호제어시스템이 인터넷과 연결되는 등 폐쇄망 운영 규정을 어겼다고 지적했다.
서울메트로 ○○사업소는 열차신호제어 유지보수와 열차자동정지장치(ATS) 공사·설계 시공업무를 한다. 해당 사업소에는 열차감시 모니터링 시스템을 설치, 1~4호선 역사별로 운영되는 ATS와 열차자동운전장치(ATO) 정보를 실시간 감시한다.
ATS는 열차가 신호지시를 어기거나 신호체계를 무시해 운행할 때 자동으로 정지하거나 감속하는 핵심 장치다. ATO는 기관사 없이 열차 출발과 정차, 출입문 개폐까지 자동으로 작동하는 기능이다.
관련 제어시스템은 주요 정보통신 기반 시설로, 외부 접근이 불가한 별도 망에서 운영해야 한다. ATS나 ATO가 사이버 공격을 받으면 열차 운행은 물론 인명 피해까지 발생할 수 있다.
서울메트로는 열차신호제어 독립 폐쇄망에 있던 관리 PC를 인터넷과 연결해 사용했다. 망을 분리했지만 결국 제어시스템을 인터넷과 연결한 셈이다. 관리PC에 랜카드가 있었고, 감시 소프트웨어(SW) 형상까지 수정해 자동으로 외부망에 연결했다. 폐쇄망에서 인터넷망으로 연결하려면 국가정보원장 승인을 거쳐야 하는데 승인도 받지 않았다.
폐쇄망 관리 PC는 자유롭게 외부 인터넷에 접속하며 대용량 파일을 송수신하는 인터넷파일전송프로그램(FTP)을 사용했다. 해당 PC는 평상시 각종 장치에 대한 접근과 상태 정보를 자동으로 기록해 감시 추적하는 기능도 설정하지 않았다. 공유폴더 기능도 사용했다.
지하철 안전 운행을 위해 24시간 감시 통제 업무를 수행하는 관제센터 사이버 보안도 매우 허술했다. 해당 관제센터에 있는 승강장안전문(스크린도어) 감시시스템 PC는 익명 접속이 가능한 게스트 계정이 존재했다. 재난공유시스템 PC는 USB 이동형 랜카드가 사용됐다. 스마트폰 테더링으로 연결하면 바로 외부망과 연결된다.
폐쇄망이었지만 외부에서 인터넷으로 접속하는 통로는 여기저기 뚫렸다. 공조설비관리시스템 자료관리 PC는 공유 폴더와 USB를 사용해 악성코드에 감염됐다. 녹화영상물을 발출하는 관리 PC도 각종 악성코드에 감염됐으며, 숨겨진 해킹 도구(루트킷)도 발견됐다.
감사위원회는 관제센터 내 각종 기술관제시스템 정보보안이 취약해 비인가자의 시스템 접근 위험과 사이버 침해 위협이 높다고 지적했다.
개인정보 관리도 허술했다. 다른 서울메트로 ○○사업소는 시민안전과 열차 안전운행 목적에 쓰는 CCTV카메라와 녹화영상물저장장치(DVR)도 폐쇄망으로 운영하지 않았다. CCTV와 DVR 관리 PC USB포트를 봉인하지 않아 악성코드에 감염됐으며, 외부 인터넷망과도 연결했다. 녹화영상물 저장장치 서버가 인터넷망에 개방됐고, 백신 등 기본적 보안솔루션도 없는 상태로 운영했다. 개인영상정보를 저장하는 서버가 악성코드에 감염돼 정보 유출 위험이 높았다.
김용대 KAIST 교수는 “폐쇄망에서 운영되는 여러 산업제어시스템이 쇼단이나 지맵 등 인터넷에 연결된 시스템을 찾는 검색엔진에 나타난다”면서 “이번 감사 결과는 망 분리만 맹신하는 주요 정보통신기반시설 보안 현황을 그대로 보여 줬다”고 말했다.
김인순 보안 전문기자 insoon@etnews.com