[최희원의 보안세상]사이버범죄자와 네트워크에 갇힌 인질들

한 사내가 스타벅스에서 커피를 마시다가 벨소리에 휴대폰을 꺼내들었다. 상대방과 통화를 마친 그는 서둘러 인터넷뱅킹으로 누군가에게 송금을 하고 있었다. 얼마나 지났을까, 매장에서 일어나려던 그가 스마트폰을 들여다보고 사색이 되었다. 은행 계좌에는 얼마 전까지 있던 돈이 순식간에 사라지고 몇백원의 잔액만 남아 있었다. 어떻게 된 일일까.

요즘은 어느 장소를 가든지 휴대폰을 꺼내들면 자동으로 무선네트워크가 와서 연결해준다. 그런 맹점을 이용한 것이다. 사내에게 연결된 네트워크는 위장된 공유기였다. 예를 들어 starbucks가 그 매장의 원래 공유기였다면, starbuck7이니 하는 형식으로 위장한 공유기로 휴대폰이 접속된 것이다. 물론 매장 안에 있는 모든 손님들도 마찬가지로 해커의 위장 공유기에 연결되었을 것이다. 자동으로 무선공유기에 접속하도록 설정해둘 경우, 신호가 가장 센 네트워크와 자동으로 연결되기 때문이다.해커는 무선랜카드와 AP(Access Point)를 장착한 노트북을 이용해 매장 인터넷 무선공유기에서 흘러나오는 데이터를 모아서 사내가 인터넷뱅킹할 때 내어놓은 모든 데이터와 정보를 가로챘고, 그것을 토대로 계좌를 털어버린 것이다. 또 우리가 조심할 것은 이 같은 무선공유기에 접속했을 경우 이전에 연결했던, 우리가 머물러서 접속했던 장소의 디지털 흔적까지 모조리 송출된다는 것이다.

emart, crimson, kyobo. koroad, as though I had wings…. 개인적으로 필자의 스마트폰을 꺼내들면 이와 같은 네트워크 목록이 뜬다. crimson은 지난 가을 휴가 때 묵었던 세부의 한 리조트 이름이다. 이처럼 송출된 네트워크 목록만 훑어봐도 휴대폰 소유자의 몇개월간 국내외 행적을 포함한 개인 위치정보까지 쉽게 노출된다.

사이버범죄 조직은 프로그래머들을 고용, 바이러스를 만들기도 하고, 온라인 사이트를 통해 ‘물건’이 될 수 있는 치명적인 바이러스를 사들이기도 한다. 성능만 뛰어나면 가격 따위는 문제되지 않는다. 여기서도 시장경제가 적용되는 것이다.

조직폭력배가 유흥업소나 노점상 등에게 보호비 명목으로 돈을 뜯어내듯이 사이버범죄 집단 역시 성인, 마약, 도박 사이트 업주들에게 사이버공격을 막아주는 동시에 보안을 책임져주겠다며 계좌로 송금할 것을 요청한다. 이쯤 되면 오프라인의 갱단, 아니 마피아와 다를 게 없다. 그들은 때로는 의뢰를 받아 경쟁사이트에 디도스 공격을 퍼붓고 경쟁사이트를 마비시키기도 한다. 권총이나 기관총을 들고 목숨을 건 채 은행에 뛰어드는 수법은 그저 영화에 나오는 추억의 장면일 뿐이다. 수년 전 인터폴은 제인이라는 해커의 스위스 은행 계좌를 동결시켰는데 통장에는 미화 1490만달러가 예치돼 있었다. 하지만 그가 잡혔다는 소식은 듣지 못했다. 누구도 그가 어디에 있는지 모른다. 그들은 끊임없이 새로운 바이러스 등 강력하고 치명적인 사이버무기 개발에 주력하고, 교활한 비즈니스 시스템 구축에 여념이 없다. 게다가 사이버범죄에 스턱스넷 같은 강력한 바이러스가 등장, 활용되지 않으리라는 보장도 없다. 스턱스넷은 이란 핵발전소 시스템에 침투해 오작동을 일으켜 가동을 중지시킨 바이러스다. 현실세계에서 물리적 파괴효과를 내는 데 사용된 최초의 사이버무기로 대상에 따라 선택적 공격을 한다. 보안전문가조차 가공할 만한 기능과 성능을 갖춘 스턱스넷의 출현에 혀를 내둘렀고, 수많은 헛수고를 했다.

결국 독일의 유명 보안전문가인 랄프 랭그너팀에서 6개월간 밤낮으로 매달린 끝에 진원지를 알아냈다. 프리즘을 통해 전 세계를 감청·도청 중이라고 폭로한 스노든의 조국, 미국의 작품이었다. 미국은 10여년 전부터 외국의 기간산업을 파괴할 수 있는 컴퓨터 바이러스를 개발해오고 있다. 미국뿐 아니라 이스라엘, 중국, 러시아 등도 이미 각국의 개인·기업·정부 시스템 등 수백, 수천곳 이상의 목표물을 공격하고 있다. 러시아, 중국의 해커들도 한때는 미국의 전력 접근권까지 탈취, 미국을 한동안 패닉 상태에 빠지게 한 적이 있다.

북한의 소니 해킹 사태 이후 미국을 비롯한 국가 간 사이버전에 대한 관심이 높아지고 있다. 하지만 우리는 사이버전을 대비한 각국의 무한경쟁체제와 더불어 물밑에서 벌어지고 있는 해커들의 치명적인 사이버범죄 전쟁을 간과하는 경향이 있다. 사이버범죄자들 역시 필사적으로 스턱스넷과 같은(물론 기능은 다르겠지만) 초강력 사이버무기에 매달리고 있다. 사이버범죄자들이 만일 이런 지능적인 사이버무기를 개발한다면 타인의 은행 계좌의 돈을 자신들의 계좌로 손쉽게 송금, 생활경제에 타격을 주는 혼란스러운 사태를 야기할지 모른다. 일상적인 삶이 사이버공간 안으로 들어가고, 전산화되어가는 과정에서 우리 삶은 네트워크에 갇혀 병합되고 있다. 이미 클릭 한번으로 손쉽게 원하는 정보를 습득하는 인터넷에 젖어 얕고 가벼워진 뇌의 소유자로 전락하고 있는 디지털 인류들에게 또 다른 위기가 닥치고 있다.

현실과 경계 구분이 없는 네트워크 속에서 돈과 물질까지 ‘탈탈’ 털리게 될 위험에 처한 것이다. 그렇게 될 경우 우리는 네트워크의 주체도 아닌 종속체로 한낱 껍데기만 남은 네트워크 인질이 될는지 모른다. 장밋빛으로만 가득 찬 것처럼 보이는 사물인터넷 사회, 다가오는 미래에 보안의 중요성을 강조하는 것은 바로 이 때문이다.

최희원 | ‘해커 묵시록’ 작가·인터넷진흥원 수석연구위원