[교회해킹시리즈05] 해커들의 놀이터된 교회(교회 해킹의 역사와 원인)

[교회해킹시리즈05] 해커들의 놀이터된 교회(교회 해킹의 역사와 원인)

수세기 동안 교회는 세상의 험한 풍파로부터 성도들을 지키는 ‘마음의 방주’처럼 여겨왔다. 그러나 디지털 시대가 도래하고 교회의 행정과 사역이 전산망 위로 올라가면서, 이 방주에 보이지 않는 균열이 생기기 시작했다. 최근 대한민국을 대표하는 대형 교회들이 잇따라 해킹을 당해 수십만 명의 교인 정보와 민감한 헌금 기록이 유출된 사건은 우리에게 큰 충격을 안겨주고 있다. 교회는 복음만 전하는 곳이 아니라 성도들의 고통과 아픔을 돌아보고 그들의 상처를 싸매는 곳이기에 이들의 아픔과 고통을 잘 정리해 두고 이를 통해 기도해 주는 곳이기도 하다. 그렇다보니 교회교적이나 인트라넷속에는 이러한 정보들을 어렵지 않게 찾아 볼 수 있다. 이러한 정보는 성도들을 돌아보고 그들을 돕는데 도움이 된다. 그렇다보니 이러한 정보가 사이버범죄자들의 손에 들어가면 생각보다 더 큰 문제를 야기하는 것도 사실이다.  그렇다면 교회는 어쩌다 사이버 범죄자들의 손쉬운 먹잇감이 되었을까요? 교회 해킹의 역사적 흐름을 따라가 보면, 오늘날 발생하고 있는 교회 해킹 문제의 근본적인 원인을 자연스럽게 발견할 수 있다.

단순한 과시에서 시작된 초기 해킹 (2000년대 ~ 2010년대 초)
인터넷이 보급되면서 교회들도 설교 영상을 공유하고 교회를 소개하기 위해 웹사이트를 개설하기 시작했습니다. 이 시기의 교회 해킹은 주로 해커들이 자신의 실력을 과시하거나, 정치·종교적 불만을 표출하는 ‘낙서’ 수준이었습니다. 교회 홈페이지 화면을 엉뚱한 이미지나 문구로 바꾸어 버리는 ‘디페이스(Deface) 공격’이 주로 이루어졌다. 당시만 해도 교회는 해킹을 단순한 ‘컴퓨터 오작동’이나 ‘짓궂은 장난’ 정도로 여길 정도였다. 그렇다보니 보안에 헌금을 써야 한다는 개념 자체가 희박했던 시절이었고, 이는 향후 다가올 거대한 위협을 방치하는 ‘보안 불감증’의 첫 씨앗이 되었다고 본다. 더욱이 과거 컴퓨터는 666이라는 말하는 당시의 기성세대와 교회지도들의 잘못된 인식이 한 몫을 한 것도 사실이다. 

돈을 노린 인질극, 랜섬웨어의 등장 (2010년대 중반)
시간이 흐르며 해킹은 ‘돈이 되는 범죄’로 발전하게 되었다. 해커들은 교회의 PC와 서버에 악성코드를 심어 내부 파일을 모두 암호화한 뒤, 이를 풀어주는 대가로 금전을 요구하는 ‘랜섬웨어’ 공격을 감행하기 시작한 시기이다. 
교회는 매주 예배를 드려야 하고, 주보를 만들어야 하며, 재정 정산을 해야 한다. 당장 컴퓨터를 쓸 수 없으면 교회 행정이 마비되기 때문에, 보안 지식이 부족한 교회들은 해커들에게 순순히 돈을 쥐어주며 사태를 해결하곤 했다. 이때 해커들은 중요한 사실을 깨달았다. “교회는 돈을 잘 주는데, 보안은 기업보다 훨씬 허술하다”는 점이었다. 교회가 사이버 범죄자들의 공식 타깃으로 낙인찍힌 결정적 계기가 된 셈이다. 
당시 해커들은 무차별로 뿌린 악성 이메일을 교회행정 직원이 열어보았다가 모회행정 컴퓨터에 랜섬웨어가 감염되었던 것으로 기억한다. 주일예배를 앞두고 자막이나 주보작업등이 정상적으로 이루어질 수 없었고 주일이후 재정 정리를 해야 하는데 이것 마다 작성할 수 없었기에 일정 비용을 주고 문제를 해결하는 교회들도 있었다고 한다. 

황금 알을 낳는 거위, ‘교적부’를 노리다 (2020년대 이후)
코로나19 팬데믹을 거치면서 교회는 급격한 디지털 전환을 맞이했다. 온라인 헌금 시스템이 도입되었고, 성도들의 정보를 스마트폰으로 확인하는 ‘스마트 요람’과 전산화된 ‘교적부(교인 명부)’가 필수 요소로 자리 잡았으며, 기부금 영수증등도 손안에서 처리할 수 있는 시대를 맞이하게 된 것이다. 재정관리시스템과 연동되는 온라인 교적관리시스템의 관리 부실은 해커들의 먹이감이 되기에 충분하였다.

이때부터 해커들의 목표는 단순한 시스템 마비가 아니라 ‘데이터 탈취’로 바뀌었다. 대형 교회의 교적부에는 성도의 이름과 연락처뿐만 아니라 직업, 주소, 가족 관계, 그리고 수십 년간 축적된 개인별 헌금 내역과 민감한 신앙 상담 기록까지 고스란히 담겨 있다. 이 정보들은 다크웹(어둠의 경로)에서 보이스피싱 조직이나 사기꾼들에게 비싼 값에 팔려 나가게 된 것이다. 교회가 성도들의 영혼을 돌보는 곳이지만 해커들의 입장에서 개인정보가 돈이 될 수 있는 곳이기도 했다. 

 AI를 앞세운 자동화된 대규모 공습 (현재)
최근 발생한 대형 교회 해킹 사건들은 과거와 차원이 다르다.  이제 해커들은 직접 밤을 새우며 해킹 코드를 짜지 않는다. 취약점을 자동으로 찾아내고, 내부망에 침투한 뒤, 해킹 보고서까지 스스로 작성하는 ‘AI 에이전트(인공지능 공격 도구)’를 동원하게 된 것이다. 그 결과, 보안이 취약한 교회 전산망은 AI의 무차별적인 자동 탐색에 걸려 추풍낙엽처럼 쓰러지고 있다는 것이 가장 큰 고민꺼리이다.

역사가 말해주는 교회 해킹의 진짜 원인
교회 해킹의 역사를 돌이켜보면, 결국 오늘날의 사태는 기술의 발전 속도를 교회의 인식이 따라가지 못해 발생한 인재(人災)가 아닐까 생각한다. 정부기관이나 은행도 해킹을 당하는데 교회는 어쩔수 없지 않느냐라고 말한다고 해킹에 대한 책임은 면제되지 않는다. 그렇기 때문에 최소한의 전문성과 함께 예산을 투자해야 한다. 교회는 비영리 기관이다 보니 재정의 대부분을 선교와 구제, 예배에 사용한다. 보안 시스템을 구축하고 전문가를 고용하는 데 예산을 편성하는 경우는 극히 드물수 밖에 없다. 대부분 전산 전공을 한 청년이나 비전문가 직원이 봉사 개념으로 네트워크를 관리하다 보니 최신 AI 공격을 막아낼 재간이 없다. 그러므로 중대형 교회라면 최소한의 예산을 통해 전문가에게 위탁하여 최소한의 점검이라도 받고 대안을 마련해야 할 필요가 있다고 본다. 
교회목회자들은 교회가 관리하는 정보의 필요성을 알고 있지만 정보의 위험성에 대한 인식이 부족하다. 교회는 성도들을 가족처럼 여기기 때문에 심방 기록이나 기도 제목, 재정 형편 등 매우 사적인 정보들을 가감 없이 수집하고 기록하지만 이 정보가 유출되었을 때 성도들이 입을 정신적·경제적 타격에 대해서는 깊이 고민하지 않았다. 2차 인증(OTP) 같은 기본적인 계정 관리조차 번거롭다는 이유로 건너뛰기 일쑤다.

더욱이 법적 사각지대와 제도적 소외도 문제이다.  일반 기업은 개인정보 보호법에 따라 엄격한 제재를 받고 보안 책임자를 의무적으로 두어야 하지만, 종교 기관은 상대적으로 정부의 감시와 제도적 의무에서 비껴져 있었습니다. 규제가 없으니 경각심도 낮아질 수밖에 없다.

글을 마무리하면서 역사는 우리에게 경고하고 있다. 교회가 영적인 은혜만을 강조하며 눈에 보이지 않는 사이버 세계의 위협을 외면할 때, 그 피해는 고스란히 교회를 믿고 의지한 성도들에게 돌아간다는 사실이다. 이제 교회는 단순히 문을 잘 잠그는 것을 넘어, 전산망에 강력한 방화벽을 세우고 개인정보 수집을 최소화해야 한다. 성도들이 안전하게 신앙생활을 할 수 있도록 돕는 것과 함께 소중한 정보를 지켜주는 것 역시 교회가 감당해야 몫이 아닐까 생각한다.