어둠의 기업과 시장, 양지의 그것과 이미 매우 닮아
해커들의 동기는 ‘이익’... ‘이익’을 줄이는 식의 접근법 필요


[보안뉴스 문가용] 기업의 보안 책임자들이 여러 리스크 관리 전략을 구성하려면 반드시 사업의 방향과 목적을 이해하고 있어야 한다. 그리고 또 하나, 사이버 범죄자들이 노리는 것이 무엇인지, 그들의 입장에서 잠재적인 범죄를 미리 예측해보는 것도 중요하다.

사이버 범죄의 물밑에 흐르고 있는 가장 거대한 ‘동기’는 당연히 ‘이익’이다. 더 큰 이익을 위해서 범죄자들은 힘을 합하고 두뇌를 모은다. 그들이 구축한 범죄의 인프라는 매우 조직적이고 고차원적이며 뛰어난 기술력을 갖추고 있다. 자연스레 조직이 생기고 발전해 대형 범죄자들은 어지간한 CEO의 마인드로 일하고 있다고 한다. 이를 HP가 조사했다.

“해킹 범죄에 기반을 둔 어둠의 조직들을 뿌리부터 흔들려면 이들의 ‘이익’을 건드리면 됩니다. 즉 공격을 실행하는 데 드는 비용을 높이고, 얻어가는 걸 줄이면 되는 것이죠. 공격이 성공하기까지 걸리는 시간을 늘리거나, 여러 기술들을 사용하지 않고는 뚫지 못하게 하는 등의 방법이 있겠죠.” HP 보고서 작성자들의 설명이다.

HP는 광고 사기, 협박, 로그인 정보 탈취 등 10가지 유형의 해킹 사업체들을 이득을 기준으로 분석했다고 한다. “이런 조사를 하면서 현대 사이버 범죄자들 사이의 원칙, 문화, 시장 조건 등까지도 파악할 수 있었습니다. 한 마디로 현재 사이버 범죄자들은 회사를 운영하는 것과 매우 비슷한 방식으로 움직이고 있습니다.”

그 증거로 사이버 범죄자들에게도 근무 시간이라는 게 정해져 있어 9시부터 4시까지 일(?)을 한다고 HP는 설명한다. 또한 주말에 쉬는 해커들도 많아 월요일부터 금요일까지 작업하는 게 보통이라고 한다. 게다가 월요일이 제일 바쁜 날인 것도 비슷하다. HP 보고서에서 특히 주목해야 할 점을 몇 가지 정리해보면 다음과 같다.

1. 가치사슬이 매우 복잡하다
사이버 범죄 사업은 굉장히 특장점에 따라 세분화가 굉장히 잘 되어 있다. 당연히 이들을 연결시켜주는 가치사슬이 복잡할 수밖에 없다. 도난 및 사기로 인한 ‘최종 이득’을 최대한 불만 없이 분배하기 위해서 자연스럽게 형성되었다. 세분화된 요소들 중 인재를 양성하기 위한 교육 및 채용을 담당하는 부분들도 있다. 일반 기업처럼 운영, 기술 개발, 마케팅, 영업 파트도 존재한다.

2. 어떤 사업이든 일반적인 성장곡선을 따른다
“사기와 도난 방법은 다양합니다. 하지만 그것이 무엇이든 전성기가 있고, 일정 기간 후 쇠락하다가 다시 반등하거나 아예 없어지는 등 일반 기업의 생애주기와 흡사한 모습을 보입니다. 좋은 예가 신용카드 사기 범죄 사업입니다. 신용카드 사기 사업이 갖는 잠재성은 여전히 크다고 볼 수 있습니다. 그래서 한창 붐이 있었죠. 하지만 바로 그 이유 때문에 범죄자들이 몰리기 시작했고, 너무 많은 사람들이 몰려서 지금은 주춤하고 있죠.”

게다가 미국은 최근 신용카드를 자기 띠 방식에서 EMV 칩 방식으로 바꾼 바 있다. 이 때문에 범죄의 방식도 바뀌어야 하는데, 지금 카드 관련 범죄 시장이 주춤한 배경에는 이러한 요소도 있다. “이렇게 제도 및 시스템의 변경으로 범죄로부터 발생하는 이윤을 확 떨어트릴 수 있습니다. 물론 여기에 범죄자들이 새로운 도구나 기술을 들고 나오면 성장곡선이 다시 반등하겠죠. 최근 범죄자들은 모바일 결제로 몰리고 있는 추세입니다.”

3. SWOT 분석 결과도 매우 유사하다
앞서 사이버 범죄자들에게도 CEO의 마인드가 있다고 했다. 이들은 공격을 실행하기 전에 자신들이 이득을 얼마나 볼 수 있는지 철저하게 조사하고 분석한다. 세분화된 조직들 중 어디어디로 투자가 이뤄져야 하는지, 얼마나 얻어올 수 있는지, 공격에 걸리는 시간, 투입되는 도구는 무엇인지 등을 전부 분석한다. 그렇게 해서 나온 결과는 일반 기업들이 사업을 시작하기 전에 사전 조사하는 것과 놀라울 정도로 유사하다.

“해커들이 어떤 방식으로 사업을 운영하며, 어떤 목적을 가지고 있는지, 어떤 부분에서 약한 모습을 보이는지 숙지한다면 그들의 근간부터 흔들 수 있게 됩니다. 그들의 이득을 줄여나간다면, 해커들은 알아서 씨가 마를 겁니다. 기술력으로 맞승부 할 필요가 없습니다. 그들처럼 우리도 얼마든지 우회공격이 가능합니다.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)