사회기반시설 해킹으로 발생한 살인사건의 전말

[보안뉴스 이상우 기자] 영국 TV시리즈 ‘블랙미러(Black Mirror)’는 가까운 미래를 배경으로 새로운 기술이 가져다줄 부작용과 지나친 기술·미디어 의존의 폐해를 다룬 SF 옴니버스 작품이다. 지나치게 냉소적이고 어두운 분위기지만, 인간의 윤리적 의식과 기술에 대한 인식이 기술의 발전속도를 따라가지 못했을 때 발생할 수 있는 여러 문제점을 깊이 있게 파고들어 조명한다.


▲블랙미러 시즌 3 포스터[이미지=넷플릭스]
필자가 가장 좋아하는 에피소드는 블랙미러의 시즌3 ‘미움받는 사람들(Hated In the Nation)’이다. 이 에피소드는 꿀벌이 멸종한 가까운 미래, 자율주행 벌레 드론 ‘ADI’가 꽃가루 수분을 담당하는 근미래를 가정했다.

오늘날 전 세계적으로 꿀벌 개체수가 줄어들고 있으며, 다가올 수 있는 식량 문제를 대비하기 위해 드론을 이용한 인공수정은 물론, IoT를 결합한 양봉을 통해 온습도 및 응애 발생을 예방하는 등 다양한 기술적 연구가 수행되고 있다. ‘미움받는 사람들’ 에피소드에서도 ADI는 런던 전역에 설치한 ‘벌집’을 거점으로, 패턴을 인식하는 시각센서를 통해 특정 꽃을 찾은 뒤 꽃가루를 옮긴다.

그런데 극중에서는 ADI가 살인사건에 이용되면서 문제가 발생한다. 꽃을 찾아야 할 ADI가 피해자의 몸속으로 들어가 장기를 헤집어놓는 사고가 발생한 것이다. 경찰은 벌레 드론의 오작동이나 외부인의 해킹 가능성을 염두에 두고 개발·운영사인 ‘그래뉼라’를 찾아가지만, 개발사는 오류가 발생한 드론은 자동으로 작동을 멈추며, 군용등급의 암호화 통신을 사용하기 때문에 절대로 해킹될 수 없다고 설명한다. 하지만, 연결이 끊어진 드론 하나가 실제 살인에 이용된 것을 확인한 뒤 문제점을 분석하기 시작한다.

이러한 상황에서 소셜 미디어에서는 ‘#에게 죽음을(#DEATHTO)’이라는 해시태그와 함께 특정 인물을 저주하는 놀이가 유행하기 시작한다. 해당 해시태그와 함께 인물의 사진을 올리면 매일 가장 많은 표를 받은 인물이 살해당한다는 내용이다. 단순한 놀이인줄 알았지만, 경찰이 앞서 발생한 ADI의 살인사건 모두 이 놀이와 연관된 것을 발견하면서 다음 피해자를 예상해 보호하게 되고, 이 과정에서 ADI에 장착된 것이 단순히 패턴을 인식하는 시각센서가 아니라 고성능 얼굴인식센서가 탑재돼 있다는 것을 알게 된다.

사실 ADI는 단순히 생태계를 유지하는 기능 외에도 정부가 시민을 감시하기 위한 백도어가 숨겨져 있었다. 백도어란 실수로 만들어진 취약점을 의미하기도 하지만, 개발자나 기술자가 유지보수 과정에서 별도의 보안 절차를 거치지 않고 시스템에 쉽게 접근할 수 있도록 만든 비밀통로를 뜻하기도 한다. 정부는 이 백도어를 이용해 위험인물을 추적하고, 테러 등을 예방할 계획이었으나, 실제로 정부는 해당 백도어를 상시적으로 악용해 모든 국민을 사찰했다.


▲블랙미러 시즌 3 ‘미움받는 사람들(Hated In the Nation)’의 한 장면[이미지=넷플릭스]

사이버 공격자는 이 백도어를 통해 군용등급의 암호화 통신을 무시하고 ADI에 접근할 수 있었으며, 얼굴인식센서와 해시태그 놀이를 통해 공유된 특정 인물의 사진을 이용해 살인을 저질렀다. 이러한 백도어에 대해 정부 관계자는 ADI를 이용한 불법 사찰과 정보 수집으로 테러를 예방함으로써 더 많은 사람을 살릴 수 있었다고 주장하지만, 결국 이 백도어를 통해 사이버 공격자는 수십만 명의 시민을 동시에 공격하게 된다.

블랙미러 ‘미움받는 사람들’ 에피소드는 ICT와 사회 인프라를 이용한 정부의 무차별적인 민간인 사찰, 익명성 뒤에 숨은 소셜미디어 이용자들의 무책임함과 개인정보의 무단 유포, 네트워크에 연결된 인프라의 보안 취약점을 악용한 공급망 공격, 백도어 차단이라는 근본적인 해결이 아닌 무의미한 대책만 세우는 정부 등 미래사회에서 우리가 실제로 겪을 수 있는 보안 및 사회적 이슈를 적나라하게 보여준 작품이다.

오늘날 우리 사회는 ICT의 발전으로 삶의 작은 부분까지 인터넷에 연결되고 있다. 뿐만 아니라 코로나19로 인해 시작된 온라인 기반의 비대면 사회는 디지털에 대한 의존도를 높였으며, 이러한 변화로 인해 사이버 공격자와 우리의 접점 역시 늘어났다. 즉, 과거에는 사이버 공격 대상이 아니었던 가전제품, 교통, 의료, 제조·생산시설, 주택, 안전 등 우리 삶과 밀접한 영역까지 사이버 공격 대상이 됐다.

실제로 지난 2월에는 미국의 한 정수처리 시설에 대해 사이버 공격 시도가 발생했다. 원격에서 침입을 시도한 공격자는 물의 산도 조절을 위해 미량을 첨가하는 수산화나트륨 농도를 지나치게 높이는 테러를 시도했으나, 다행히 관리자가 이를 조기에 발견해 차단했다. 이를 조기에 발견하지 못했다면 수돗물을 사용하는 인근 지역의 모든 가정을 대상으로 양잿물 테러가 일어날 수 있었던 사고다.

지난 5월에도 미국 대형 송유관 업체인 콜로니얼 파이프라인이 랜섬웨어 공격을 당해 OT/ICS의 보안이 여전히 취약하다는 점을 상기시켰다. 콜로니얼 파이프라인의 인프라는 휴스턴에서 텍사스, 뉴저지까지 5,500 마일에 이르며 수백만 갤런의 석유가 이 인프라를 오간다. 이러한 대형 인프라가 랜섬웨어로 마비되면서, 미국 동부지역에 6일간 석유공급이 중단된 사태가 발생했다. 이처럼 사이버 공격은 오늘날 사회 인프라를 마비시키고 우리의 실제 삶에 영향을 주고 있다. 향후 ICT가 우리 삶 전반에 도입된다면, 기존에는 상상도 할 수 없었던 형태의 사이버 공격이 발생할 수도 있다.

국내에서도 이러한 위협에 대응하기 위해 정보통신망법을 개정하고, 가전, 교통, 금융, 스마트도시, 의료, 제조·생산, 주택, 통신 등의 영역까지 사이버 보안 대상에 포함시킴으로써 정보보호 사각지대를 해소하기 위해 노력하고 있다.

ICT의 발전을 통해 우리의 삶이 더 나아지는 것을 거부할 사람은 드물다. 하지만, 이러한 기술을 악용할 가능성에 대해서는 항상 경계해야 한다. 가령, 도시 안전을 위해 구축한 지능형 CCTV가 국민의 일상을 감시하는 도구로 악용되어서는 안 된다. 교통이나 물류 편의를 위해 도입한 드론이 사이버 공격자에 의해 탈취돼 시민을 공격하는 용도로 쓰여서도 안 된다. 이 때문에 ICT 이용자의 윤리적 의식을 강화하는 한편, 사회 인프라에 대한 보안을 강화할 수 있는 대책을 다각도로 마련할 필요가 있다.
[이상우 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>