“바이러스 불러틴(VB100)에는 등급 자체가 존재하지 않는다”…안랩·이스트 소프트 반박

안랩과 이스트 소프트가 각각 바이러스 불러틴에서 B등급을 받았다는 주장에 대해 반박하고 나섰다.

국회 미래창조과학방송통신위원회 소속 홍문종 의원은 14일 미래창조과학부 산하기관 56곳 중 8기관을 제외한 사용률이 85.71%라며, 영국의 보안평가기관 ‘바이러스 블러틴(VB100)’에서 시행한 테스트에서 안랩은 2011년부터 B등급을 유지하고 있다고 밝혔다.

또한 홍 의원은 “지난 2011년 중국 해커 커뮤니티로 추정되는 웹사이트에서 정부기관과 기업 1500여 곳이 사용하는 안랩 보안프로그램을 목표로 맞춤형 해킹 악성코드를 개발·유포한 사실이 확인됐다”며 “한 업체의 의존율이 높다보니 벌어진 사태라고 생각한다”고 주장했다.

이에 안랩은 “바이러스 불러틴에서 B등급을 받았다는 주장은 사실이 아니며 바이러스 불러틴에는 등급자체가 존재하지 않는다”고 선을 그었다.

특히 영국의 바이러스 불러틴은 등급제 테스트가 아닌 Pass·Fail 방식의 테스트라며 이 같은 주장은 보안에 대한 전문적인 지식이 없는 상태에서 본 테스트와는 별도로 이루어지는 탐지율 측정(RAP) 테스트의 결과를 바탕으로 펼친 주장으로 보인다고 설명했다.

또한 안랩의 제품 시장점유율이 높은 것과 타깃형 사이버 공격 사이에는 상관관계가 없다고 주장했다.

먼저 국내를 살펴보면, 국내에서 발견된 백신 자체를 공격 대상으로 하는 악성코드의 경우 국내에서 사용하는 제품인 알약, 바이로봇, V3 등을 모두를 공격대상으로 하고 있다는 것.

해외의 경우 지난 2003년 1월에 발표된 뉴욕타임스 사이버공격을 분석한 리포트에 따르면, 중국 해커로 추정되는 집단이 뉴욕타임스에 45종류의 악성코드를 배포했지만, 당시 백신을 제공하고 있던 세계점유율 1위의 미국 보안기업은 그 중 1개밖에 잡아내지 못했다는 것이 안랩 측 설명이다.

이는 해당 기업의 기술력이 떨어져서가 아니라 해당 기업이 사용하는 백신이 아직 탐지하지 못하는 ‘소규모·다품종’ 악성코드를 제작해 사용했기 때문이라는 것이다. 즉 A사 백신이면 그 A사가 탐지 못하는 악성코드를 만들어내고 B사 백신이면 B사가 잡아내지 못하는 악성코드를 만들어 침투시키는 게 현재 보안의 주된 공격 방식인데 이를 안랩의 점유율이 높아서 문제라는 것은 억측에 불과하다고 설명했다.

안랩은 “국내 백신기업 중 유일하게 VB100외에도 AV-TEST, AV-Comparatives, Checkmark, ICSA 등 수많은 해외 주요인증을 모두 획득한 유일한 기업이다”면서 “국제적인 인증 에 대한 확인과 엄격한 테스트와 공정한 검증을 거쳐 채택된 제품을 마치 문제가 있는 것처럼 호도하는 것은 해당 직무를 성실하게 수행하는 해당 부처와 관련 공무원, 그리고 소트트웨어기업의 사기를 떨어뜨리는 것으로 판단된다”고 호소했다.

한편 홍 의원이 안랩의 경쟁사로 언급한 이스트 소프트도 바이러스 불러틴에 대해서 입장을 밝혔다. 이스트소프트 측은 “바이러스 불러틴에서 시행하는 VB100 테스트에는 별도의 등급을 책정하지 않는다”며 “국감에서 언급된 A등급 기준 적용시 이스트소프트의 ‘알약’은 2011~2013년 테스트 모두 A등급을 획득했다고 보면 된다”고 설명했다.