[블로터TV] 얼굴이꽉찬방송: 해킹, 해킹, 해킹

지난 한 주는 보안 관련 이슈가 나라 안팎을 뒤흔들었습니다. 우리나라에서는 KT가, 해외에서는 드롭박스가 해킹을 통해 개인정보가 유출되는 사건이 터졌습니다. 이제 주민등록번호를 비롯한 개인정보 유출은 새삼스러운 일도 아닌 것처럼 느껴질 정도입니다.

특히 이번 KT의 정보 유출은 그동안의 해킹들과는 차이가 있습니다. 보안 업계가 가장 경계하고 있는 APT(Advanced persistent threat, 지능형 지속 위협) 공격에 의해 정보가 야금야금 흘러나온 사례이기 때문입니다. 단번에 정보를 왕창 빼내는 것이 아니라 정상적인 자료 조회 정도 수준으로 접근하기 때문에 웬만한 보안 툴로도 알아내는 것이 쉽지 않습니다.

KT는 5개월 동안 이렇게 정보가 새어나가고 있다는 것을 인지조차 하지 못했었고 아마 이 해킹 프로그램을 다른 업체에 팔지 않고 똑같은 패턴으로 계속 정보를 유출했다면 아마 5개월 뒤에 모든 자료를 빼내고 아무 일도 없었다는 듯이 완전 범죄로 남을 수도 있었습니다.

이런 APT 방식의 해킹은 지금도 어디에선가 일어나고 있을지 모릅니다. 개인정보 뿐 아니라 기업들의 중요한 기밀, 설계도면, 제품 정보 등이 정상적인 루트를 통해 아주 조금씩 빠져나가기 때문에 점점 파악하기 어려워지고 있습니다. 마치 스탤스 전투기가 레이더에 자그마한 참새처럼 보이도록 본래 몸집을 숨기듯 일어나는 것이 APT 공격입니다. 포털이나 이동통신사, 게임회사들처럼 개인정보를 다루는 사이트들은 이런 표적 공격이 들어올 수 있는 루트를 근본부터 막고 관련된 이들의 보안 의식을 높이는 등 예방에 힘써야 할 것입니다.

반면 드롭박스의 경우 이런 1차적인 해킹을 통해 유출된 정보를 이용한 2차 해킹 피해입니다. 인터넷에서 얻은 ID와 패스워드를 드롭박스에 입력하니 대부분이 맞아떨어지면서 그 계정의 내용이 훤히 열린 겁니다. 특히 이렇게 열린 계정 중에 드롭박스 직원의 것도 포함되어 있었는데 그 폴더 안에는 가입자들의 메일 주소를 비롯한 개인 정보가 담겨 있었습니다.

이는 해킹이 낳고 있는 부차적인 피해 사례입니다. 드롭박스는 당분간 기업용 서비스에는 발도 들여놓지 못할 겁니다. 클라우드 시장에도 악재가 될 것 같습니다. 결국 이렇게 얻은 정보는 고작 스팸메일 보내는 데 쓰였다고 합니다.

이 두 사건 모두 목적은 스팸메일과 텔레마케팅을 위한 개인정보였다는 점을 주의깊게 볼 필요가 있습니다. 이런 무차별적인 홍보가 인터넷을, 스마트폰 시장을 흐리고 있다는 것은 명백한 사실이지만 그 누구도 이를 근절하려는 노력을 하지 않고 있습니다. 해킹도 해킹이지만 애초 이런 불법 홍보 행위들을 막는다면 개인정보 해킹의 기초적이고 가장 빈번한 목적 하나를 없애는 효과가 있을 겁니다. 또한 이제 더 이상 개인 식별을 목적으로 하는 주민등록번호가 아무 의미가 없어졌다는 것도 생각해볼 일입니다. 인터넷에서 나를 지키는 일, 점점 더 어려운 일이 되고 있습니다.