포털 검색순위 조작 ‘좀비 피시의 습격’

10만여대에 프로그램 심어놓고 검색어 입력
20개월 동안 적발 안돼…탐지 매우 어려워

‘7·7 디도스’(DDoS·분산서비스 거부) 공격으로 악성코드와 좀비피시 소탕작전이 벌어졌지만, 이에 아랑곳하지 않고 10만여대의 좀비피시를 조종해 국내 최대포털의 실시간 인기검색어를 조작해 돈벌이를 한 사례가 최근 적발됐다.

검찰은 지난 5일 악성 프로그램을 퍼뜨려 네이버의 ‘실시간 급상승 검색어’ 순위를 조작하고 광고대행사로부터 1억원이 넘는 대가를 받은 프로그래머 서아무개씨를 기소했다고 밝혔다. 서씨는 지난해 1월부터 “미니홈피 방문자를 늘려준다”는 프로그램을 올려놓고, 이를 내려받은 10만여대의 피시가 이용자 몰래 네이버에 특정 검색어를 입력하도록 해 네이버 검색 결과를 조작한 혐의를 받고 있다. 악성코드 유포 및 공격 방법은 다르지만, 수많은 좀비피시를 만들어 원격 조종했다는 점에서 ‘7·7 디도스 사태’와 유사하다.

■ 못믿을 ‘실시간 검색 순위’ 이번 사건은 ‘조작’ 논란이 끊이지 않았던 포털의 인기검색어 조작 실태를 검찰이 확인한 사례다. 잇단 의혹 제기에도 네이버는 줄곧 “인기 검색어 조작은 있을 수 없다”고 밝혀왔다. 이준호 엔에이치엔(NHN) 최고운영책임자는 지난달 25일 기자간담회에서 “특정 검색어를 상위권에 올리기 위해선 엄청난 트래픽이 필요하기 때문에 기대이익보다 비용이 훨씬 많이 들어간다”며 ‘검색어 조작’이 이론적으로는 가능해도 현실적으로 거의 불가능하다고 말했다. 검찰에 따르면 검색어 조작은 10만여대의 좀비피시를 통해서 지난해 1월부터 이뤄졌지만, 엔에이치엔이 고발한 시점은 지난 4월6일이다. 엔에이치엔은 비정상적 트래픽 감지와 검색어 왜곡 차단 시스템을 갖추고 있다고 밝혔지만, 검색어 조작이 일어난 15개월 동안 인지하지 못했다. 엔에이치엔은 4월부터 대응에 들어갔지만 검찰은 지난달 초까지 ‘조작’이 이뤄졌다고 밝혔다. 엔에이치엔이 자체 보안백신을 업데이트했지만, 좀비피시 중에서 이를 내려받은 경우는 극히 드물었다.

서씨는 10만여대의 좀비피시를 통해 수시로 검색어를 바꿔가며 네이버에 접속하도록 해, 그 단어가 인기검색어 상위에 노출되게 했다. 엔에이치엔 쪽은 인기검색어 순위가 ‘실시간 급상승’을 기준으로 정렬되기 때문에, 10만여대의 피시가 동원되면 검색어 순위에 반영될 수밖에 없는 구조라고 설명했다. ‘실시간 검색어’ 조작이 이뤄진 단어는 20여개로, 이 가운데 쇼핑몰이 두어곳 있다. 엔에이치엔은 이번 사건에 대해 “검색 조작은 범죄행위”라고 공지하면서도 “현재의 시스템을 바꿀 계획은 없다”고 밝혔다. ‘조작’에 노출된 포털 ‘실시간 인기검색어’의 쓰임새와 신뢰가 흔들리고 있다.

■ 탐지 안 되는 ‘좀비피시’ 20개월 동안 적발되지 않고 활동한 좀비피시가 10만대 넘게 있다는 것도 충격이다. ‘좀비피시’가 된 것을 아는 이용자는 거의 없다. 사이버보안 당국도 트래픽을 유발하지 않으면서 특정한 지시를 수행하는 피시를 적발하기 힘들다. 인터넷진흥원 유진호 팀장은 “악성코드 탐지를 위해 국내 사이트의 98%에 해당하는 16만개 사이트를 매일 체크한다”며 “그러나 메인사이트 첫 화면만이 대상이고, 게시판 등 하위 사이트는 너무 방대해 대상이 아니다”라고 말했다. 하지만 상당수 악성프로그램은 게시판·카페를 방문할 때 몰래 설치된다. 이번처럼 진짜 기능을 숨긴 채 사용자 동의 아래 설치되는 경우도 많다.

좀비피시가 되는 것을 막기 위해서는 보안프로그램을 설치해 최신 버전으로 유지하고, 액티브엑스로 깔리는 정체 불명의 프로그램을 설치하지 말아야 한다. 당국과 사이트 관리자의 몫도 있다. 안철수연구소 조시행 상무는 “이용자 몰래 정보를 보내 돈벌이를 하는 프로그램은 흔하다”며 “사이트 운영자가 내용을 공개해야 분석이 가능하다”고 말했다. 유진호 팀장은 “좀비피시가 되는 과정을 파악하기 위해 인터넷진흥원에서는 수많은 미끼용 피시(허니포트)를 운영해 탐지하고 있으며, 보호나라(boho.or.kr)에서 좀비피시 여부를 검사할 수 있다”며 “앞으로는 악성코드 탐지 범위를 하부 사이트까지로 확대하는 방안을 검토중”이라고 말했다. 구본권 기자 [e-mail]