[성연광의 디지털프리즘] 화이트 해커 시대의 종말

/출처=게티이미지뱅크.

# 케빈 미트닉(59)은 해커들에겐 '살아있는 전설'이다. 컴퓨터·인터넷이 제대로 보급되지도 않은 1990년대 이전, 그의 해킹 실력은 신기(神技)에 가까웠다. 노키아, 모토롤라, 선마이크로시스템즈, 노벨, NEC 등 40여개 대기업 전산망을 제집처럼 드나들었다. 북미방공사령부(NORAD) 등 국가전산망도 그에겐 놀이터에 불과했다. 해커로는 처음으로 미 연방수사국(FBI) 블랙리스트에 올랐다. 1995년 수사당국에 체포돼 5년간의 긴 수감생활을 했다. 2년 6개월간의 도피기간 중 FBI 전산망에 접속해 요원들의 정보를 입수하고, 그들의 전화를 도청해 역이용한 일화는 유명하다. 컴퓨터·휴대폰 등 네트워크에 접속할만한 모든 전자기기를 일절 만지지 말라는 전대미문의 출소조건까지 받았다.

불법행위를 저지른 범죄자였음에도 화이트 해커(보안 전문가)들 사이에서도 그를 '신화적 인물'로 기억하는 이가 많다. 그들은 케빈의 대담한 행적을 당대 제도권에 대한 저항이자 도전으로 봤다. 그가 구금됐을 당시 "케빈을 석방하라"는 탄원과 사이버 테러 협박(?)이 이어졌던 것도 이 때문이다. 케빈은 그렇게 낭만주의적 해커의 표상이 됐다. 그는 출소 후 여러 언론과의 인터뷰에서 "당시 돈에는 전혀 관심 없었다"며 "오로지 목적은 도전이었다"고 회고했다.

한때 해커를 새로운 의인(義人)의 상징으로 보는 시각도 적지 않았다. 2003년 결성돼 사이비종교·인터넷검열·친폭력 전쟁세력에 대항하는 국제 해커그룹 어나니머스가 그랬다. 2010년 아랍의 봄 당시 튀니지 정부의 정보통제를 비판하는 사이버 공격, 2015년 케이케이케이(KKK) 지지자 명단 공개, 2015년 파리 연쇄테러 당시 이슬람 극단주의 무장세력(IS)을 상대로 한 대규모 사이버 공격을 주도했다. 최근엔 암호화폐 시장을 교란하는 일런 머스크에 경고장을 날려 화제가 됐다.

# 화이트 해커 시대가 가고 지금은 블랙 해커(악한 해커) 시대다. 해킹이 철저히 돈벌이 수단으로 전락하면서다. 코로나19(COVID-19) 대유행 와중에도 들끓는 랜섬웨어 범죄로 지구촌이 골머리를 앓고 있다. 두달 전 미국 최대 송유관 기업이 랜섬웨어 공격을 받아 수백만 배럴의 연료 공급이 중단되는 초유의 사태가 발생했다. 이번에는 글로벌 IT 관리업체 카세야가 공격을 받아 전세계 1000여 곳이 피해를 입었다. 소프트웨어나 보안 업데이트 서버를 해킹해 이와 연결된 기업과 개인 컴퓨터를 한꺼번에 장악하는 이른바 '공급망 공격(Supply Chain Attack)'에 당했다.

이런 일련의 사이버 공격은 이미 거대한 경제 시스템으로 자리 잡은 랜섬웨어 범죄 생태계의 현주소를 적나라하게 보여준다. 전세계 랜섬웨어 범죄산업은 철저히 분업화·전문화됐다. 고도의 기술이 필요한 것도 아니다. 공격 프로그램을 아예 통째로 빌려주는 이른바 클라우드형 랜섬웨어(RaaS) 사업체만 20곳에 달한다. 미국 송유관 회사를 공격했던 다크사이드가 대표적인 RaaS 전문조직이다. 그들만의 비즈니스 룰도 정해져 있다. 몸값 50만 달러 이하 규모의 공격은 25%를, 500만 달러 이상 공격은 10%를 수수료를 받는다고 한다. 주요 기관·기업에 침투할 악성코드 혹은 감염된 좀비 컴퓨터를 판매하는 조직도 따로 있다.

이런 분업 구조는 랜섬웨어 범죄세계의 진입 장벽을 낮추고 범죄조직간 무차별 경쟁을 부추긴다. 범죄 수법이 갈수록 대담해지고 대상조차 가리지 않는 이유다. 의료기관 시스템을 마비시켜 생명을 볼모로 잡는 경우까지 허다하다. 갇힌 틀을 깨기 위해 도전하거나 '사이버 로빈후드'를 자처하는 낭만 해커 대신 '검은 돈' 앞에 수단과 방법을 가리지 않는 사이버 협박범과 기술자만 남아 있다.

# 블랙 해커 시대, 보안 패러다임도 달라야 한다. 카세야 공급망 공격 사례처럼 아무리 첨단 보안 시스템을 갖췄다 해도 수시로 업데이트되는 소프트웨어 프로그램의 취약점을 파고든다면 무용지물이 될 수 있다. 관리자나 내부 직원을 속여 이들의 계정으로 내부 시스템에 침투하는 사회공학적 해킹사례도 끊이지 않는다. 기존 보안체계로는 사악해진 사이버 공격에 속수무책일 수 밖에 없다는 얘기다.


애당초 완벽한 방어가 불가능하다면 공격을 받아도 그로 인한 피해를 최소화하는 방식으로 보안 정책을 재설계하는 것도 방법이다. 랜섬웨어 공격을 받아도 업무 중단 혹은 데이터 유출 우려가 크지 않다면 공격 명분도 사라질 것이다. 가상자산이 더 이상 사이버 범죄자들의 자금 세탁처가 되지 않도록 국제사회의 공조도 더 이상 미뤄선 안될 과제다. 우리에게 필요한 건 땜질식 외양간 고치기가 아니라 새로운 구조의 외양간을 짓는 일이다.