EU의 보안 시스템 SIS II가 사이버 위협에 취약하다는 비판이 제기되었습니다. 수천 개의 보안 문제와 비효율적인 문제 해결로 잠재적 위험이 큽니다. 시스템은 곧 EU 입출국 시스템에 통합될 예정으로, 해킹 위험이 증가할 가능성이 있습니다. 보고서는 정보 유출이 법 집행 과정에서 큰 문제를 야기할 수 있다고 경고했습니다. Sopra Steria는 이러한 문제에 신속한 대응이 필요하다는 계약적 의무를 이행하지 못하고 있다는 지적을 받았습니다.
EU 국경 보안 부대에서 무허가 이민자와 범죄 용의자들의 지역 내 이동을 막기 위해 사용하는 소프트웨어가 취약점이 많고 사이버 공격에 취약하다는 주장이 제기되었습니다. 제2세대 셍겐 정보 시스템(SIS II)은 법 집행과 공공 안전 목적을 위해 대부분의 EU 국가가 공유하는 IT 시스템이자 데이터베이스입니다. Bloomberg와 조사 비영리단체인 Lighthouse Reports의 새로운 공동 보고서에 따르면, 2013년부터 사용된 SIS II에는 “수천 개”의 사이버 보안 문제가 있으며, EU 감사 보고서는 이를 “높은” 심각도로 지적했습니다.
보고서에 따르면 데이터 절도 증거는 없지만, 데이터베이스에 불필요하게 접근 가능한 계정 수가 “과도하게 많아” 악용될 가능성이 크다고 언급하고 있습니다. SIS II의 초기 롤아웃 단계에서는 경보에 지문 기술과 사진이 주요 추가 기능으로 도입되었고, 2023년에는 데이터 업데이트와 기존 기능 강화가 이루어졌습니다. 여기에는 누군가가 특정 국가에서 추방되었을 때 이를 신호로 알리는 기능이 포함됩니다. Bloomberg의 기자들은 EU 감시 단체인 Statewatch의 법률 연구원인 로망 라누와 인터뷰를 진행했으며, 그는 공격이 발생할 경우 “수백만 명의 사람들에게 잠재적으로 영향을 미치는 재앙적 결과”가 초래될 수 있다고 경고했습니다.
현재 SIS II는 고립된 네트워크 내에서 운영되고 있지만, 곧 EU의 입출국 시스템(EES)에 통합될 예정입니다. 이는 올해 말 시행될 것으로 보이며, 셍겐 연관 지역으로 여행할 때 개인이 생체 정보를 등록하도록 요구하는 시스템입니다. EES가 인터넷에 연결되면 SIS II 데이터베이스에 대한 해킹이 훨씬 쉽게 이루어질 수 있습니다.
Bloomberg와 Lighthouse는 SIS II 시스템의 약 9,300만 건의 기록 대부분은 도난 차량 같은 물건에 관한 것이지만, 약 170만 건은 사람과 관련되어 있다고 지적했습니다. 그리고 사람들은 대체로 자신들의 정보가 데이터베이스에 등록되어 있는 것을 법 집행 과정에 이르지 않고는 알지 못하므로, 정보가 유출되면 해당 정보가 필요한 개인이 법 집행을 피하는 데 더 쉬워질 수 있다고 경고했습니다.
SIS II의 개발과 유지보수는 파리 기반의 계약자 Sopra Steria가 관리하고 있습니다. 보고서에 따르면 취약점이 보고된 후 해결까지 8개월에서 최장 5년 이상이 걸렸다고 합니다. 이는 중요한 문제로 간주된 문제는 패치 출시 후 2개월 이내에 해결해야 한다는 계약적 의무에도 불구합니다.
Sopra Steria의 대변인은 SIS II의 보안 문제에 관한 구체적인 주장 목록에 대해 Bloomberg에 응답하지 않았지만, 보고서에 실린 성명에서는 EU 프로토콜이 준수되었다고 밝혔습니다. “SIS II는 EU의 보안 인프라의 핵심 구성 요소로, 엄격한 법률, 규제, 계약적 틀에 따라 관리됩니다,”라고 성명에서 말했습니다. “Sopra Steria의 역할은 이러한 틀에 따라 수행되었습니다.”
SIS II와 같은 대규모 IT 시스템을 감독하는 EU 기관인 EU-Lisa는 자체 기술을 개발하는 대신 외부 자문 회사에 업무를 맡기는 경향이 있다고 조사에 따르면 밝혀졌습니다. 감사는 기관이 경영진에게 보안 위험에 대해 통보하지 않았다고 비판했으며, 기관은 모든 관리 시스템이 “지속적인 위험 평가, 정기적인 취약점 스캔 및 보안 시험을 거치고 있다”고 응답했습니다.
※출처: Engadget
