한국과학기술원 학생들의 포항공대 해킹 사건

지난 4월6일 아침, 포항공대 전기전자공학과 전산시스템관리자 이종석씨는 평소와 다름없이 시스템을 가동시켰다.
그날 따라 시스템이 제대로 작동되지 않아 이리저리 살펴보던 이 씨는 곧 국내 최고 수준으로 관리돼 해킹의 안전지대라고 자부 했던 학과 전산시스템이 해킹당했다는 사실을 감지하고는 매우 당황했다.
이 씨를 더욱 경악케 만든 것은 상상을 뛰어넘는 해킹 수법이었다. 지금껏 학교를 둘러싼 해킹 사건은 전산망에 침입하거나 비 밀번호 파일을 뻬내는 수준이었다.

그런데 이번엔 시스템의 읽기 전용 기억 소자인 EEP-롬의 비밀번호를 바꿔버려 EEP-롬 자체를 새 것으로 바꾸지 않으면 시스템 의 재사용이 불가능한 지경이었다. 뿐만 아니라 교수 및 연구원들의 연구자료, 학생들의 각종 과제물 등 모든 전산자료를 삭제해 전기전자공학과의 학사 행정이 완전히 마비될 수밖에 없었다.

사태의 심각성을 인식한 이 씨는 황급히 학과장과 학교 당국에 이 사실을 보고했다. 그런데 문제는 여기서 끝나지 않았다. 전기 전자 공학과뿐 아니라 포항공대내 다른 시스템에서도 해킹 피해가 속속 접수되기 시작했다. 최종적으로 전기전자공학과 및 물리 학과의 7개 워크스테이션급 전산시스템의 본체 비밀번호가 바뀌고 모든 자료가 파괴된 것을 확인했다. 학사행정 및 연구기능 마 비로 인한 피해도 피해려니와 국내 최고의 시설과 인적 자원을 갖추고 21세기 한국을 대표하는 지성의 전당에설 이렇듯 치명적인 해킹 사례가 발행했다는 것은 학교의 명예와도 직결되는 민감한 일이 아닐 수 없다.

포항공대가 설립 이래 최대의 사고로 전전 긍긍하고 있을 무렵 서울의 이화여대에도 비상 사이렌이 울렸다. 포항공대 전산시스 템의 해킹사건과 거의 유사한 시간에 매우 흡사한 방법으로 이 대학 전자게산학과 시스템이 해킹당했다. 시스템내 BBS 사용자 전 보파일이 모두 변경된 것이다.

포항공대에서는 손상된 시스템의 EEP-롬을 같은 모델의 제품으로 대체하고 하드디스크쪽 부팅관련 섹터를 완저히 교체, 시스템 을 정상화시키느데만 꼬박 1개월이 소요됐다. 그 짧지 않은 기간동안 해당 학과의 학사행정과 연구작업에 빚어지 차질은 상상이 가고도 남을 일이다. 더욱 큼 피해는 삭제된 데이터에 있었다. 해킹으로 삭제된 대학원생 및 연구원의 논문과 공동 프로젝트 자 료 중 상당량이 복구할 수 없는 것으로 알려졌다. 따라서 피해학과 연구 및 학사 일정이 정상적인 상태로 돌아오기끼지는 더 많 은 시간과 고통, 노력이 뒤따른 전망이다.
이에 비해 이화여대의 피해상황은 경미한 편이나 이번 사건을 통해 어느 학교도 해킹의 안전지대일 수 없음이 여실히 드러났다.

쿠스와 스팍스에 혐의는 두었으나

서울지방검찰청 특별범죄수사본부 소속 정보범죄수사센터(담당검사 한봉조)에 포항공대의 전산시스템 해킹 사실에 대한 익명의 제보가 접수된 것은 사건 발생일로부터 정확히 일 주일이 지난 4월 12일, 한 검사는 포항공대에 해킹담당 수사관들을 급파했다.

당시 수사팀은 대전의 한국과학기술원내의 학생 동아리인 쿠스(KUS. Kaist Unix Students)또는 스팍스(SPARCS. Systen Programm er' s Association Research Computer System)의 서버 시스템을 통해 침투한 흔적을 포착해다. 그리하여 즉시 대전 과학기술원에 들러 쿠스 및 스팍스 회원들에 대한 1차 조사를 실시했으나 학생들은 이에 대해 완강히 부인할 뿐이었다.
쿠스는 전산망 보안사고 및 해킹 방지 기법연구를 표방하는 동아리이고, 스팍스는 과학기술원 학생들의 프로그래밍 연구 동아리 다.

쿠스는 그동안 국내 전산시스템보안강화, 해킹방지 등을 목적으로 하는 민간조직으로써 사실상 국내의 모든 해킹사고 접수기능 을 해왔던 서트(CERT, 전산망 보안사고 대응팀)의 일을 도와 실질적으로 서트를 운영해 온 것으로 알려졌다.
4월 15일 이번에는 한봉조 검사가 직접 수사대를 이끌고 대전 한국과학기술원으로 향했다. 한 검사는 그러나 수색영장은 지참치 는 않았다. 학생들간의 해킹을 일반 범죄 차원으로 확대시키지 않겠다는 의지 때문이었다. 또 한국의 대표적 과학인재들이 모여 있는 포항공대와 한국과학기술원의 명예도 고려하고자 했다.

한 검사는 학교측 관계자들과 상의해 영장없이 쿠스 또는 관련 교내 전산시스템에 대한 조사를 전개했다. 우선 조사 기간 중 학 사업무에 차질이 없도록 조사 대상으로 선정한 전산시스템에 대한 백업 작업을 한 뒤 이들 시스템 자료를 서울로 가져와 정밀 조 사키로 했다. 물론 쿠스 회원 및 스팍스 회원들에 대한 간략한 조사도 병행했다.
그러나 쿠스의 회장인 노정석(20, 산업경영학과 3년)씨를 비롯한 두 동아리의 학생들은 이 번에도 한결같이 포항공대에 대한 해 킹은 없었다고 잘라 말했다. 수사진은 결백하다며 지나칠 정도의 과민반응을 보이는 일부 회원들에 대해 정황적으로 혐의를 두기 시작했다. 문제는 물증이 없다는 것이었다. 그래서 우선은 시스템 데이터를 조사한 뒤 수사를 속개하기로 하고 서울로 돌아왔다 .

증거물로 확보한 과기원 전산시스템에 대한 정밀조사 결과 예기치 않은 결과가 나타났다. 포항공대와 이화여대에 대한 해킹이 일어났던 4월5일 식목일 새벽 시간대에 해당하는 로그 파일에 아무런 사용 흔적도 나타나지 않은 점이다.
로그 파일은 전산 시스템 각각의 작업이나 수행에서 사용된 CPU 시간, 입출력 장치의 사용 시간, 수행시킨 명령어, 시작 및 종 료 시간 등 컴퓨터 시스템의 운용에 대한 모든 기록을 담고 있는 항공기의 블랙박스와 같은 것이다. 로그 파일에서 조차 단서를 찾아내지 못한다면 수사의 진전은 기대하기 어렵다. 수사가 검찰에 의해 시작된 이상 수사의 진전이 단순히 사건의 해결만을 의 미하는 것은 아니다. 포항공대와 한국과학기술원 양교의 명에와도 직결되어 있은 바, 담당 수사팀은 어떠한 형태로든 카이스트 학생들이 해커였는지 아닌지의 진위를 가려야 하는 부담을 안게 되었다.

단 1줄 남은 로그 파일이 유일한 단서

해커라면 침입했던 시스템을 빠져나올 때 추적을 피하기 위해 자신이 다녀간 흔적을 지우는게 상식이다. 또 다음 번의 손쉬운 접속을 위해 자기만의 은밀한 접속통로를 만들어 놓는다. 이 것을 흔히 '뒷문(back door)을 열어 논다'라고 말한다.

해커 수사팀이 해킹 수사를 할 때 주로 잡는 단서는 바로 해커들이 미처 지우지 못한 흔적들이다. 그런데 심증이 굳어져가는 쿠 수와 스팍스의 경우 해킹사건 발생 시간대에 시스템을 사용한 흔적은 전혀 발견할 수 없었다.
한 검사팀은 이 문제를 놓고 며칠간 고심한 끝에 혐의를 받고 있는 과기원의 학생들이 로그 파일의 기록을 삭제했을 가능성이 높다는 결론을 내렸다.

그리고 1,2차 방문 수사를 토대로 쿠스의 회장 노정석씨 등 의심이 가는 대 여섯 명의 학들을 대상으로 수사에 착수했다. 4월 2 9일 법원의 압수 수색영장을 발부받은 한 검사팀은 다시 한국과학기술원으로 출동했다. 학생들이 교내 어느 전산시스템에 숨겨 놓았을 것으로 추측되는 쿠스, 스팍스 관련 자료들을 찾기 위해 저체 전산시스템을 일시적으로 다운시켰다. 그리고 쿠수와 서트( 전산망 보안사고 대응팀)의 관계를 참고해 서트의 시스템 자료도 함께 확보했다.
물론 이때에도 한 검사와 수사진은 혐의 학생들을 대상으로 설득작업을 전했다. 그러나 학생들의 주장에는 추호의 변함도 없었 다. 만약 해당 학생들이 이 때라도 잘못을 시인하고 뉘우쳤다면 한국과학기술원 역사상 유례없는 재학새 구속사태는 피할 수 있 었을 것이다. 그러나 '잡을 능력이 있으면 납아봐라'는 식으로 끝까지 검찰과 사회를 우롱하려던 학생들의 오만과 비도덕성은 마 침내 관용의 테두리를 벗어나고야 말았다.

한 검사팀은 압수한 전산시스템 자료와 함께 용의자로 지목된 쿠스의 회장 노정석씨, 쿠스 호원 조용상씨 (23, 산업경영학과 3 년), 스팍스 회원인 김세환씨(24, 전산학과 4년)와 정모 군(19, 전산학과 3년) 등을 동행해 귀경했다.
정보범죄수사센터에서의 조사과정에서도 학생들의 태도는 단호했다. 식목일 새벽에 노정석 군의 하숙방에서 같이 이야기하며 밤 을 샜다는 알리바이도 일치했다. 그러나 밤을샌 시간과 이야기 내용의 소요시간이 일치하지 않는 등 수사관들의 조리있는 추궁에 서로 입을 맞춰 알리바이를 조작했음이 역력히 드려났다. 그런데도 학생들은 해킹에 대한 정확한 물적증거를 제시하라며 해킹 사실 만큼은 끝ㄱ내 부인했다. 당연히 수사는 진퇴양난의 상황에 빠졌다.

국가 수사기관의 조사를 받으면서도 자신들의 해킹 기술을 적발 할 수는 없을 것이라는 자만감으로 똘똘 뭉친 이들 앞에서 수사 팀의 선택은 오로지 명백한 증거를 찾아내는 것 외에 뾰족한 대책은 있을 수 없었다. 전 수사팀이 철야에 들어 갔다. 사흘 낮밤 을 꼬박 지새우며 시스템을 분석한 결과 실낱같은 희망이 찾아 왔다. 5월 2일 새벽 엄습하는 졸음을 쫓으며 컴퓨터와 씨름하던 중 식목을 새벽 해킹이 발생한 시간대에 스팍스의 김세환씨가 시스템을 사용한 흔적을 찾아냈다. 마치 드넓은 백사장에서 잃어버 린 반지를 찾아내듯 미처 지워버리지 못한 단 1줄 분량의 로그 파일의 내용을 발견해 낸 것이다.

이화여대 해킹은 사전 실습용
단 한 줄의 로그 파일이 내용, 그러나 더 이상의 물증은 필요없었다. 완강히 버팅기던 학생들이 그 한줄의 파일 기록에 힘없이 주저않아 버렸다. 검찰소환 조사 만 4일만에 학생들은 모든 사실을 시인했다.
이 과정에서 해킹에는 참여하지 않았으나 검찰수사가 시작되자 로그파일 기록을 삭제해 수사에 혼선을 빚게 한 조용상씨의 범죄 사실도 확인됐다. 죄질이나 수사과정에서 보여준 이들의 태도는 정상의 참작여지를 상실케 했다. 5월 3일 한 검사는 노씨와 조씨 를 전산망 보급확장 및 이용촉진에 관한 법률위반 혐의로 구속하고 김씨와 정군에 대해서는 불구속 입건이라는 최종 결정을 내렸 다. 식목일 새벽 해킹에 참여한 인물은 노씨 김씨, 정 군 등 3인으로 밝혀졌다.
슬래머(Slammer)란 신종 해킹 프로그램과 컴퓨터의 해킹 프로그램과 컴퓨터의 주소를 조작하는 방식으로 불법접속하는 스푸핑( Spoofing) 기법이 설치된 마루시스템(maru.kaist.ac.kr)을 이용, 포항공대에 앞서 이화여대 전자 계산학과의 아크시스템(arch.eh wa.ac.kr)에 침투했다.

NIS셋업상의결함을 이용해 아크시스템의 시스템 관리자 권한으로 침투해 전산망 보호조치를 침해했다. 또 자신들이 보유한 비비 에스 계정(zec)에 시삽 권한을 가질 수 있도록 소스를 수정해 차후에 시삽 권한으로 언제든지 접속할 수 있도록 했다.
이어 새벽 2시 20분경 마루시스템에서 여러 개의 쉘을 띄워 놓고 그 중 한 쉘인 백두시스템의 쉘에서는 아이피(IP) 스푸핑 방법 으로 포항공대 전자전기공학과의 포스비시스템(posb.pdstech.ac.kr)에 침투를 시도했다. 또 다른 쉘에서는 NFS 버그를 이용하여 타 시스템에서 가져온 해킹 프로그램 슬래머를 사용하는 등 2가지 경로로 해킹을 시도했다. 해킹에 성공한 뒤 사전에 띄워놓은 셀을 이용, 두 개의 시스템을 경유하여 포스비시스템으로 침투했으며 다시 2시 56분쯤 이 시스템에 NFS로 묶여 있는 포항공대 하 이트 시스템에 침입해 시스템 관리자 권한을 획득하고 포항공대 총동창회 비비에스의 소스 파일을 수정하여 노씨가 이 비비에스 의 관리자인 시삽(SYSOP)권한을 갖게 했다.

같은 방법으로 포스비와 항트 시스템에 NFS로 묶여 있던 토리(tori)에 에로스(eros), 웬지(wensy), 카스(cass) 등에 침입, 물리 학과 교수 및 연구원들이 연구자료, 전기전자학과 연구자료와 학생들의 각종 과제물들을 삭제했다.
일부 시스템에 대해서는 이이피롬(,EEP-ROM)의 패스워드를 변경해 이 부품을 교체하지 않고는 복구가 불가능하도록 했다. 노 씨 와 함께 구속된 조씨는 4월 16일 자신이 속한 쿠스 회원들에 대한 수사가 시작되자 수사관들이 조사대상 시스템을 백업시키는 틈 을 이용, 기숙사 터미널실에서 이들 시스템에 접속해 해킹 관련 자료와 등이 저장된 쿠스의 전산시스템홈디렉토리내의 모든 파일 들을 삭제했다.

91년부터 시작된 두 거물의 사과 전쟁

포항공대와 카이스트 해킹 전쟁(사과 전쟁)의 역사는 91년으로 거슬러 울라간다. 91년 당시 카이스트내에 해킹관련 연구 동아리 인 쿠스가 등장하면서 카이스트 학생들은 국내 최첨단의 해킹기술을 보유하기 시작했다.
미국의 썬마이크로시스템사에 침투한 사건과 스웨던의 한 연구소에 머드게임 제작 프로그램을 가져와 해독한 이야기 등은 카이 스트 학생들 사이에 널리 퍼져있는 일화이다. 후발 추자인 포항공대에 92년 쿠스와 유사한 동아리인 플러스(PLUS)가 등장하면서 양 교의 해킹 동아리 학생들 사이에는 보이지 않은 경쟁이 싹트기 시작했다.

어느 사이엔가 출처불명의 상대방 학교에 대한 모험담이 퍼져나가기 시작했다. 카이스트내의 시스템이 해킹당하면 포항공대으 플러스를 의심했고 포항공대 측이 해킹당하면 카이스트가 지목됐다. 또 그때마다 보복 해킹이 이어지면서 상대방 학교 기죽이기 에 들어갔고 어느덧 해킹 동아리는 학내의 영웅이 되어버렸다.
이들 두 학교에서 유일하게 일치하는 생각은 국내에서 카이스트 또는 포항공대 시스템의 방어벽을 뚫을 수 있는 존재는 자기들 두 학교밖에 없다는 것이었다. 이번 사건 조사에서 부수적으로 지난해 8월부터 지금가지 두 학교의 전산망 이 5, 6차례씩 해킹당한 것으로 파악되었으나 이러한 내용이 두 학교 학생들 사이에 보복차원에서 이뤄졌는지 공식적으로 확인된 것은 한 건도 없다. 물론 소문이 맞을 수도 있지만 그간의 수사자료를 참고해 보면 국내의 다른 해커가 침입했을 확률도 높다. 문제의 심각성은 두 학교 학생들이 가지고 있는 빗나간 경쟁심리와 피해의식에 있었다.
이러한 사고에 불을 지른 결정적 사건이 지난 3월에 발생했다. 누군가 카이스트내 시스템 3곳을 침투한 것 이다. 그 즈음 새로이 취임한 쿠스의 회장 노씨로서는 자존심을 건 도전장으로 받아들여졌다. 주저할 것 없이 그는 포항공대생들 의 소행이라고 여겼다.

이러한 정황의 근거로는 쿠스의 신임회장으로서의 책임감, 경쟁심, 보복심 등이 합쳐져 무자비한 해킹을 자행케했다는 양교 학생들의 일반적 견해가 뒷받침한다. 노씨 역시 검찰 진술에서 "지난해 8월부터 최근까지 한국과학기술 원의 전산시스템이 파괴되는 경우가 10여 차례 발생했고 이같은 수준의 해킹은 포항공대의 해킹방지 연구 동아리인 플러스 소속 대학생일 가능성이 농후하다는 생각이 보복을 결심했다."고 밝힌 바 있다.

해커에게 있어 졸업장은 선택사양

노씨는 영재들이 몰려 있는 광주 C과학고를 2년만에 조기 졸업하고 카이스트에 진학한 촉망받는 학생이었다. 그러나 카이스트 진학 후 학업에서는 그다지 두각을 나타내지 못했다. 오히려 학사경고를 2차례나 받을 정도였다. 시험공부보다는 보안망을 깨기 위해 며칠밤을 새우곤 했던 전형적인 해커형 학생으로 서트 활동에 적극적으로 참여하거나 동아리 활동에 몰입하는 등 주와 부가 뒤바뀐 캠퍼스 생활을 했던 것으로 알려졌다. 검찰수사를 받는 나머지 학생들도 유사한 특성을 보였다. 해커들은 학교를 정상적 으로 졸업하지 못하는 겅우가 다반사다. 학사 일정을 소화하지 못해 제적을 당하거나 4년을 넘게 학교를 다니는 사람도 많다. 아 이러니컬 한 것은 정상 졸업을 하지 못한 아들이해키을 하면서 쌓은 프로그램 실력으로 후 일 벤쳐기어 등에서 왕성한 활동을 보이기도 한다는 사실이다.

카이스트 측에서는 이글의 능력을 중시해 이번 일로 자퇴한 학생들에게 재입학의 기회를 주고 썬마이크로시스템사에 유학도 보 내 진정한 해커로 성장할 기회를 제공할 것이라고 한다. 또 일부 대기업에서는 이들에 대한 스카웃 움직임도 있는 것으로 전해지 고 있다. 이 같은 상황을 바탕으로 '구속까지는 너무 심한 것이 아니냐, 아까운 재능을 발휘할 수 있게 해야한다'는 등의 동정론 도 강하게 일고 있는 상황이다.

그러나 검찰의 입장은 확고하다. 능력이 뛰어난 사람이라고 해서 능력이 없는 사람들에게 해악을 기치고도 구제를 받게 되는 상 황은 법치국가에서 있을 수 없는 일이라는 강변한다. 한봉조 검사는 "이들 해커들을 영웅시하는 풍조에 개탄한다. 이들은 결코 영웅이 될 수 없다. 뛰어난 학생들도 아니다. 이들이 한 일이라곤 고작 외국의 해킹 프로그램을 얻어와 남의 시스템을 침입 , 파괴한 것이 전부일 뿐이다. 카이스트의 나머지 학생들도 이 정도의 역략은 다 갖고 있다고 본다"라고
정보사회에서의 절대적 힘은 정보와 이를 운용하는 능력이다. 우수한 정보력을 보유한 자가 그렇지 못한 사람에게 정보력을 과 시하는 것는 과거 원시시대 힘의 논리와 다를 바 없다. 비록 그 능력이 뛰어나더라도 그 능력을 비생산적이고 악의적으로 사용하 는 해커가 우상시되거나 존경의 대상이 될 이유는 없는 것이다.

사건일지 1996. 3 : 카이스트교내 일부 전산시스템에 해커침입
1996. 3월말 : 노정석 쿠스 회장 취임
1996. 4. 5 새벽 : 노정석, 김세환 및 정모군 이화여대전자계산학과시스템 및 포항공대 7개 시스템 해킹
1996. 4. 12 : 서울지검 정보범죄수사센터(담당검사 한봉조)에 포항공대 해킹을 알리는 익명의 제보
1996. 4. 12-4. 13 : 포항공대 및 대전 과학기술원에 수사대 파견(1차)
1996. 4. 15 : - 대전 과학기술원에 대한 전산시스템 자료 조사차 수사대파견(2차)
- 조용상, 조사자료를 백업하는 사이쿠스 및 스팍스 관련 로그파일 삭제
1996. 4. 29 : 대전 과학기술원 전산시스템에 대한 압수수색차 수사대 파견(3차)
1996. 5. 3 : 노 씨등 검찰소환조사 4일만에 모든 범행 자백
1996. 5. 7 : 한봉조 검사, 전산망 보급확장 및 이용촉진에 관한법률위반혐의로 노정석(과기원 산업경영3년), 조용상(산업경영3 년)씨 등 2명을 구속하고 김세환씨(전산과4년)와 정모군(전산과 3년)등은 불구속 입건