[사이버수사대]⑥대기업 전자입찰시스템 해킹

경찰청 사이버테러대응센터가 창설된 지 13년이 지났다. 2003년 전국 대부분의 인터넷망을 불통으로 만들었던 1.25 인터넷 대란에서부터 2009년 수십만대의 좀비PC가 동원돼 청와대 등 주요 정부사이트를 마비시킨 7.7 분산서비스거부(DDoS) 사태까지 사이버테러대응센터는 현장에서 해킹범을 검거하기 위한 사이버범죄수사에 분투해왔다. 사이버범죄수사 13년을 맞아 인터넷 공간을 떠들썩하게 했던 '그 때 그 사건'을 돌아보고 현재 시점에서 주는 의미를 반면교사 해본다. [편집자주]

오늘은 서울 사당동 A 아파트 목창호(나무창문) 건설공사에 대한 수주사가 결정되는 날이다. 이 건에서도 최저낙찰가를 미리 알아내는 일은 식은 죽 먹기였다. B 건설사 전자입찰시스템 담당자가 쓰는 PC만 조작하면 되기 때문이다.

주소입력창에 특정주소의 문자를 바꿔 입력하면 다른 경쟁사들이 시스템에 접속할 수 있는 ID와 비밀번호가 그대로 노출됐다. 이렇게 빼낸 정보만 202건. 이 정도면 웬만한 경쟁사가 제시한 입찰가는 모조리 알 수 있었다. 입찰시스템 관리를 이렇게 허술하게 하다니... 우리에게는 잘 된 일이기도 하다.

덕분에 사당동 입찰 건은 11억4천500만원에 낙찰 받았다. 다른 공사까지 합쳐 총 7번, 130억여원 규모의 공사를 이런 식으로 쉽게 수주했다.

그런데 7번이 되도록 별다른 문제가 없자 욕심이 났다. 함께 작업을 진행한 C목재 회장 아들과, 최 상무와 돈을 나누자니 아까웠다. 아무리 이 회사에서 병역특례를 하고 있다지만 내가 가진 기술로 굳이 이 회사에만 특혜를 줄 필요는 없었다. 나 혼자 B건설사의 다른 하도급업체 D건업에 제안하기로 했다. 다른 경쟁회사들의 투찰가를 알려주는 대가를 요구한 것이다. 물론 지금 다니고 있는 회사 몰래 진행한 일이다. 이게 화근이었다. 누가 제보했는지 결국 경찰이 꼬리를 밟은 것이다.

경찰청 사이버테러대응센터는 2003년 7월부터 건설업체 전자입찰시스템의 보안 취약점을 이용해 경쟁업체들의 입찰가를 알아내 부정 입찰한 혐의(입찰 방해 등)로 2004년 10월경 이모씨(당시 24세) 등 3명에게 구속영장을 신청했다. 실제 제보를 받아 범인들을 검거하기까지 걸린 시간은 약 1년 3개월이다.

구속된 이씨는 C목재에서 병역특례로 근무 하던 중 대기업 A건설회사를 포함 2곳의 전자입찰 시스템의 보안취약점을 알아냈다. 이를 알게 된 이 회사 회장 아들인 김모 기획실장(당시 30세), 최모 상무(당시 45세)가 공모해 저지른 범행이다. 당시 건설경기가 안 좋은 틈에 이들은 범행을 저질렀다.

앞서 2002년 10월에도 전라남도 지역에서 전자입찰 부정사건이 발생, 총 14명이 검거되는 일이 발생한지 약 2년만에 또 다시 유사함 혐의의 피의자들이 구속된 바 있다. 당시 경찰 관계자는 다른 건설업체들의 전자입찰시스템도 취약하기는 마찬가지였다고 밝혔다.

사건 후로 약 10년이 지났다. 지난 5일에도 과거와 비슷한 사건이 발생했다. 프로그램 개발자 김 모씨(53)가 2011년 6월 건설업자 5명에게 경북 문경시가 발주한 하천 정비 사업 낙찰하한가를 알려줘 적발됐다. 김씨 일당은 악성프로그램을 제작한 뒤 평소 건설업자, 발주기관에 친분이 있는 공사브로커를 통해 이를 해당 기관 담당자 PC에 설치해 경북 지역에서 31건 291억원 상당의 지자체 공사를 낙찰해 부당이득을 취한 혐의로 구속됐다. 이들 역시 발주기관의 조달시스템을 담당하는 재무관용 PC와 입찰자용 PC에 악성프로그램을 설치했다. 이때도 문제가 된 것은 보안이 허술한 담당자들의 PC였다.