2023년 국정원 합동 보안점검에서 드러난 취약점과 선관위의 반박, 이후 개선 조치와 남은 과제, 그리고 '소스코드를 공개해야 하는가'를 둘러싼 논쟁을 사실과 주장으로 나눠 정리합니다.
2022년 대선 이후 일부 정치권과 유튜브에서 "전산 조작으로 선거 결과가 바뀌었다"는 주장이 끊이지 않았습니다. 이 흐름 속에서 2023년 1월 행정안전부가 헌법기관을 대상으로 국정원의 보안 컨설팅을 받도록 공문을 발송했고, 선관위는 사실상 처음으로 외부 기관의 점검에 응하게 됐습니다.
국가정보원·중앙선거관리위원회·한국인터넷진흥원(KISA) 3기관은 2023년 7월 17일부터 9월 22일까지 합동 보안점검을 실시했습니다. 국정원은 2023년 10월 10일 단독으로 기자간담회를 열고 결과를 공개했습니다.[1]
국정원이 공개한 취약점은 크게 네 영역이었습니다. 기술적 가능성을 확인한 것이며, 실제로 부정선거가 일어났다는 주장과는 구별됩니다.
선거인명부 시스템은 인터넷을 통해 침투 가능했으며, 접속 권한·계정 관리가 부실했습니다. 해킹 시 '사전투표한 사람'을 '투표 안 한 것'으로 바꾸거나 유령 유권자를 등록하는 것이 기술적으로 가능하다는 점이 확인됐습니다.[1]
개표 결과가 저장되는 서버의 비밀번호 관리가 미흡해 해커가 개표 결괏값을 변경할 수 있었습니다. 일부 서버 비밀번호는 '12345' 수준의 단순한 구성이었던 것으로 보도됐습니다.[2]
투표지 분류기에 비인가 USB를 무단 연결해 해킹 프로그램을 설치하는 것이 가능했고, 사전투표소의 통신장비를 통해 외부 PC가 선관위 내부 선거망에 침투할 수 있었습니다.[1]
선관위는 직전 연도 '주요 정보통신 기반시설 보호 대책 이행 여부 점검'을 자체 평가에서 100점 만점으로 국정원에 통보했습니다. 그러나 이번 합동점검에서 동일 기준으로 재평가한 결과는 31.5점으로, 같은 해 점검 102개 기관 중 최하점에도 미치지 못했습니다.[3]
선관위는 기술적 취약점의 존재는 인정하면서도, "다수의 내부 조력자가 조직적으로 가담하지 않고서는 실제 선거 조작은 사실상 불가능한 시나리오"라고 반박했습니다. 선관위 홈페이지에 별도 팩트체크 페이지를 열어 항목별 반박 논거를 공개했습니다.[4]
아울러 국정원이 보안점검 시 선관위의 보안 시스템 일부를 끈 상태에서 점검했다는 반론도 제기됐고, 이에 대해 국정원과 선관위 사이 공방이 이어졌습니다.[5]
2024년 12월 한국일보 보도에 따르면, 국정원의 보안점검 결과 발표 날짜가 원래 예정일에서 변경됐으며, 윤석열 대통령이 당시 강서구청장 보궐선거 전날인 2023년 10월 10일에 맞춰 발표하도록 지시한 정황이 확인됐습니다. 국정원의 발표가 선거 결과에 영향을 주려는 의도로 이용됐다는 비판이 제기됐습니다.[6]
'부정선거가 가능하다'는 점검 결과를 선거 전날 공개한 것은 유권자 불안과 정치적 혼란을 유발했다는 비판이 있습니다. 반면 취약점을 즉시 공개하는 것이 오히려 투명성에 부합한다는 반론도 있습니다. 보안 점검의 중립성과 발표 시점을 누가 어떻게 통제해야 하는가가 제도적 과제로 남았습니다.
선관위는 보안컨설팅 직후 이행추진TF를 구성해 지적 사항 대부분을 조치했다고 밝혔습니다. 주요 조치 내용으로는 선관위 홈페이지와 선거시스템 간 물리적 망분리 완료, 취약 비밀번호 변경, 전산망 간 접점 제거, 통합선거인명부 DB 서버 접근 통제 강화가 포함됩니다.[7]
제22대 국회의원선거 실시 전, 정당 참관인이 입회한 상태에서 국정원과 합동으로 2차례 이행 여부 현장점검을 시행했습니다. 선관위는 이를 통해 지적된 취약점이 실질적으로 보완됐음을 확인했다고 밝혔습니다.[7]
보안점검 결과를 계기로 "선거 소프트웨어의 소스코드를 공개해 누구나 검증할 수 있어야 한다"는 주장이 강해졌습니다. 찬반 논거를 함께 정리합니다.
소스코드를 공개하면 외부 보안 연구자, 정당, 시민사회가 독자적으로 취약점을 검토할 수 있고, 그 자체로 신뢰 회복에 기여한다는 주장입니다. 에스토니아는 온라인 투표 시스템(IVXV)의 소스코드를 GitHub에 공개해 전 세계 연구자가 검증할 수 있도록 하고 있습니다.[8]
선관위 보안자문위원회는 소스코드를 공개할 경우 시스템 구조가 외부에 노출돼 역으로 공격 위험이 커지며, 전면 재구축이 필요하다는 의견을 제시했습니다. 법원·헌법재판소의 검증이나 수사기관의 적법한 압수수색에는 협조 방침이라고도 밝혔습니다.[9]
세 사례는 각기 다른 선택을 했지만, 공통점은 '시스템을 어떻게 검증받을지'를 제도적으로 정해 두었다는 점입니다.
일회성 점검이 아니라 매 선거 전 의무적으로 제3자 독립 기관이 보안점검을 시행하고 결과를 의회에 보고하는 절차를 법제화하자는 제안입니다. 점검 주체를 정보기관인 국정원에만 맡기면 정치적 이용 의혹에서 벗어나기 어렵다는 시각이 깔려 있습니다.
전면 공개는 보안 위험이 있으므로, 정당·의회·법원이 지정한 전문가 집단에 한해 비공개 환경에서 소스코드를 열람·검토하게 하자는 절충안입니다. 비밀유지협약을 전제로 한 '접근 통제형 공개'에 해당합니다.
점검 결과를 언론에 먼저 발표하기 전 국회 관련 위원회에 비공개 보고하도록 절차를 규정해, 발표 시점을 둘러싼 정치적 논란을 줄이자는 방안입니다.
2023년 점검 결과는 선관위의 전산 보안이 심각하게 부실했다는 점을 보여줬습니다. 그러나 그 취약점이 실제 선거 결과를 바꿨다는 증거는 제시되지 않았고, 선관위도 내부 조력자 없이는 조작 불가능하다는 입장을 유지하고 있습니다.
핵심 교훈은 보안과 투명성이 반드시 상충하지 않는다는 것입니다. 에스토니아처럼 소스코드 공개가 가능한 경우도 있고, 독일처럼 전산화 자체를 최소화해 투명성을 확보하는 방법도 있습니다. 한국에서 선택할 경로가 무엇이든, 점검 절차와 발표 방식을 정치적 영향 밖에 두는 제도 설계가 선행 과제로 남아 있습니다.
이 글은 공개된 발표 자료·언론 보도·선관위 공식 팩트체크를 바탕으로 사실과 제안을 구분해 정리한 것입니다. 특정 정파의 입장을 지지하거나 반박하려는 목적이 아니며, 제도 변화에 따라 내용이 갱신될 수 있습니다.