국적 불문 핵티비스트 단체 vs. 국가 설립 목표인 테러 단체
점점 무르익어가는 보복에의 함의, 보안업계도 달라질까?

[보안뉴스 문가용] 어쩌면 가장 유명한 핵티비스트 단체인 어나니머스(Anonymous)가 이번 프랑스 테러 사건에 대한 복수를 공표했다. 표적은 당연히 IS로 유튜브를 통해 “가장 큰 공격을 감행하겠다”고 한 것. 어나니머스의 영상이 늘 그렇듯 가이 포크스(Guy Fawkes)의 가면을 쓰고 등장한 아나운서는 “세계 모든 곳에서 활동하고 있는 어나니머스가 당신을 찾아내고, 잡아낼 것이다”라고 선전포고를 한 후 “이것은 전쟁선포이며, 준비하는 것이 좋을 것이다”라는 대담한 메시지를 전달한 데에 그치지 않고 “프랑스 국민들은 이런 폭력에 굴하지 않을 것”이라고 선언하기도 했다. 실제로 어나니머스는 지난 1월 발생한 샤를리 에브도 사건 이후 ISIS에 친화적인 트위터 계정을 꾸준히 적발해 공개해왔다.


▲ 하, 요놈 해킹 해줘 말아?

프랑스 정부는 즉각 IS의 본거지라고 알려져 있는 락까에 공습을 가했고, 미국을 비롯해 프랑스의 동맹이라고 알려진 서방국가들 역시 프랑스에 힘을 보태겠다는 의사를 앞 다투어 전달했다. IS의 박멸을 요구하는 목소리들이 각계각층에서 커지고 있어, 세계의 주요 국가의 정부들이 거대한 연합군을 형성해도 될 만한 정서적 기반이 마련되고 있기도 하다. 게다가 이미 유로폴과 미국 민간조직 및 공공기관 사이에 올해만도 수차례 ‘해커 조직 일망타진’ 공조가 있어왔기 때문에 최소 서방국가의 법 집행 기관들 사이에는 공조 시 발생하는 어려움이 조금씩이나마 줄어들고 있는 실정이다. 여러 정부가 ‘암호화의 약화’나 ‘정부 주도의 정보 공유 강제화’의 성격을 띤 법안을 강력하게 밀어붙이고 있어 이런 움직임에 더욱 힘을 실어주고 있기도 하다.

안전이 최우선이 되는 사회 분위기에서는 당연히 국민을 보호해야 할 ‘국가’에 많은 힘이 실리게 되고, 그럼에도 잦은 테러나 사고가 발생할 경우 경찰력이나 군사력과 같은 사회적 안전장치들은 더욱 강화된다. 이번에 사건을 겪은 프랑스만 하더라도 올랑드 대통령은 국경을 봉쇄했을 뿐 아니라 즉각 1944년 이후 프랑스 현대사상 처음 있는 통행금지를 발동시켰다.

나라가 개인 집안의 문을 걸어 잠그고, 시리아에는 세계사회의 공감 속에서 폭탄이 스무 개씩 떨어지고 어나니머스라는 강력한 해커 단체가 ‘사상 최대 규모의 공격’을 장담하는 일련의 사건들 속에서 ‘복수’나 ‘응징’에 대한 대중적인 함의 또한 자연스럽게 이뤄진다.

물론 테러 한 방에 모든 사상과 사회체제가 뒤집혀질 가능성은 매우 낮고, 실제 그런 일이 일어난다 하더라도 상당한 시간과 반복되는 사건이 필요한데, 속도가 자랑이며 미덕일 뿐 아니라 ‘가상’이 가장 ‘실제적’으로 조성되어 있는 온라인 공간에서는 이런 일들이 빠르게 진행되는 게 가능하다. 대중의 정서가 가장 여과 없이 드러나는 곳이기도 하다는 것(혹은 대중의 것이라고 여겨지는 말들이 가장 빠르고 널리 확산되는 곳이거나). 실제로 프랑스의 보복 폭격을 제외하고 전 세계적인 움직임을 가장 먼저 보인 것이 온라인 상에서의 어나니머스다. 정보보안 업계가 고려해야 하는 건 바로 이렇게, 온라인 세상에서는 현상으로 나타나는 변화의 흐름이 매우 빠르다는 것이다. 보복의 함의가 온라인 상에 반영될 경우 가장 직접적으로 나타날 부분 ‘보복 해킹(hacking back)’일 것으로 보인다.

보복 해킹이란 ‘공격이 최고의 방어’라는 개념의 바탕 위에 선 방어 개념으로 시스템에 침투한 해커를 역추적해 해당 해커의 시스템을 파괴하거나 해커의 신원을 파악하는 등 적어도 동일범이나 방식에 의해서는 다시 한 번 해킹에 당할 수 있는 가능성을 ‘0’에 가깝게 낮추는 것이다. 하지만 간혹 해커들끼리 서로 해킹을 해가며 싸운다는 소식이 있을 뿐 ‘보복 해킹’은 최소 양지로 드러난 방어 전략은 아니었다. 가장 큰 이유는 ‘해킹은 불법’이라는 것. 나쁜 놈을 잡기 위해서라지만 법을 어긴다는 게 과연 옳은 일인가에 대한 논란에 보안업계 대부분은 ‘아니오’라고 답을 해왔던 것이다. 마침 시큐리티위크(Security Week)라는 보안 매체에서 보복 해킹에 대한 설문을 진행한 바 있어 여기에 소개한다.

카스퍼스키의 코스틴 라이우(Costin Raiu)는 “법을 집행하는 기관과 밀접하게 일을 할 수밖에 없는 게 보안 업계의 특성인데, 그런 우리가 앞장서서 법을 어길 수는 없다”며 “정 하고 싶으면 법의 허락을 받은 후”라고 선을 딱 그었다. 쓰레트커넥트(ThreatConnect)의 토니 기드와니(Tony Gidwani) 선임연구원도 “합법적인 방법과 툴을 사용해서 해커의 뒤를 추적하는 것과 해커들과 똑같이 멀웨어나 백도어를 임의로 만들어 추적하는 것은 분명히 다르다”라며 “이에 대한 법적 및 용어의 구분이 필요해 보인다”고 했다.

또한 보복 해킹의 효과가 리스크에 비해 상당히 적다는 의견도 반대의 이유가 되어 왔다. “하이리스크 로우리턴이죠. 단순히 온라인상의 추적이나 역해킹을 통해서 100% 확신할 수 있는 건 아무 것도 없습니다. 실제로 APT 추적 결과에 대한 보고서들을 보면 어떤가요? ‘가능성’만 제기할 뿐입니다. 이런 저런 상황들이 맞물리니, 누구인 거 같다, 는 식으로만 정리되지 아무도 100% 이 사람이다, 라고 지목하지 않아요. 자판을 치며 해킹을 실제 하고 있는 현장을 덮치지 않는 한 어쩔 수 없습니다. 즉 보복 해킹을 한다고 해서 정확히 올바른 대상에게 보복이 가해진다는 보장도 없는 겁니다. 보복할 대상이 맞는지 구분을 다 할 수 없는 상황에서 어떻게 보복을 논합니까?” 가이던스 소프트웨어(Guidance Software)의 보안책임자인 안토니 디벨로(Anthony DiBello)의 설명처럼 말이다. “범인을 100% 확인할 수 있는 포렌식은 없다”고 레이시온(Raytheon)의 밥 한스만(Bob Hansmann)도 동의한다.

또한 현대 해킹은 대부분 무고한 서버나 시스템을 여러 차례 거쳐서 발생하는 경우가 많기 때문에 보복 해킹이 엉뚱한 희생자를 만들 가능성만 더 높인다는 주장도 있다. 엔트레피드 코퍼레이션(Ntrepid Corporation)의 수석과학관인 랜스 코트렐(Lance Cottrell)이 바로 이런 부류다. “공격자들은 시스템을 하이재킹해서 C&C 서버로 활용하는 경우가 대부분입니다. 그리고 이런 시스템을 자주 바꾸기도 합니다. 보복 해킹을 하려고 했을 때 부딪히는 가장 커다란 난관 중 하나입니다.”

이번에 복수를 다짐한 어나니머스는 여태껏 친IS 성향의 SNS 계정들을 온라인에 고발해왔다. 이번 유튜브 영상에서도 ‘찾아낼 것’이라는 표현을 썼기 때문에 그들이 말하는 대규모 공격이란 것도 결국엔 더 많은 트위터 계정을 찾아내는 걸 의미할 수도 있다. 그것만으로도 미국과 같은 나라에게는 어마어마한 정보가 될 수 있고, 실제 올해 초에는 한 부주의한 IS 멤버의 셀카 한 장으로 IS 본부 하나가 폭파되는 사건도 있었기 때문에 어나니머스의 ‘보복 해킹’이 실효를 거둘 가능성은 커 보인다. 그리고 많은 이들이 어나니머스의 선전포고에 지지를 보내리라고 본다.

하지만 보안전문가로서는 이런 식의 해킹 보복에 얼마나 찬성 혹은 반대하고 있는지, 그렇다면 어떤 이유 때문인지 돌아보고 그 출발점을 점검해보는 게 필요해 보인다. 섣부른 찬성과 반대에로의 휩쓸림이 제일 위험하기 때문이다. IS처럼.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>