심재철 자유한국당 의원실의 비인가 재정정보 열람 경로가 프로그램 개발자가 시스템에 쉽게 접근하기 위해 만들어 놓은 비공개 접속 기능, 즉 ‘백도어’일 수 있다는 주장이 나왔다.
심상정(사진) 정의당 의원은 16일 보도자료를 통해 “한국재정정보원에 확인한 결과 심 의원실이 올랩(재정정보시스템)에서 비인가 재정정보를 내려받은 경로는 감사관실용이 아닌 관리자 모드였다”고 밝혔다. 올랩은 국회의원과 감사관의 자료 접근 권한을 구분해 운영하고 있다. 국회의원 아이디는 모든 기관의 간단한 통계 정보에 접근이 가능하고, 감사관실 아이디는 지정된 감사 담당 기관에 대해서만 세부 내역을 확인할 수 있다. 문제는 이번에 논란이 된 비인가 접속 경로가 국회의원 권한도, 감사관실 권한도 아니라는 것이다.
심상정 의원 측은 심재철 의원실이 제3의 권한 즉 ‘관리자 모드’에서 보이는 최종 정보화면에 접근했다는 사실을 재정정보원으로부터 확인했다. 또 전문가들의 의견을 바탕으로 이번 유출 경로가 전산 개발자나 관리자 등이 만들어 둔 ‘백도어’일 가능성이 높다는 의견을 내놓았다. 백도어는 개발자나 관리자가 시스템에 쉽게 접근하기 위해 고의로 만들어 놓은 비공개 접속 기능이다. 정상적인 인증 절차를 우회하는 방법으로 보안절차 없이 접속할 수 있어 해커들에게 악용되기도 한다.
심상정 의원은 유출 경로가 백도어일 경우 프로그램 개발업체가 국가 정보를 공유했을 수 있다고 보고 있다. 디브레인(디지털예산회계시스템)과 올랩은 2007년부터 삼성SDS 컨소시엄(삼성SDS, 하나INS, 현대정보기술, 아토정보기술)이 구축·운영해왔으며 2016년 재정정보원이 인수했다. 심 의원은 유출 경로가 백도어일 경우 개발업체인 삼성SDS가 2007년부터 국가정보를 공유했을 수 있다며 유출 의혹도 제기했다. 그는 “이 업체들이 백도어를 심어놓았는지, 언제부터 언제까지 유지되었는지, 재정정보원이 백도어를 통제하고 있었는지, 인수 시 백도어 검증 여부 등을 점검해 재정정보원의 시스템 보안관리 수준을 확인할 필요가 있다”고 지적했다.
