일반 인터넷은 다크웹에 비하면 빙산의 일각이다?
다크웹에서 발견되는 범죄 행위 대부분은 마약 거래와 사기

[보안뉴스 문가용 기자] 11월 2일 본지에서는 사용자들이 보안 실천에 약한 이유를 7가지 제시했다. 그 중 한 항목은 다크웹에 관한 것으로, 일반 사용자들이 다크웹에 대해 더 자세히 알게 되면 경각심이 커질 것이라는 내용이었다. 그런데 마치 짜 맞춘 것처럼 최근 테르비움 랩스(Terbium Labs)라는 보안 전문 업체에서 ‘다크웹의 신화 죽이기’라는 보고서를 발간했기에 여기에 간략히 소개한다.



다크웹, 정말 일반 웹보다 큰가?
테르비움 랩스는 “흔히들 다크웹 공간이 너무 커서 일반인들이 보통 사용하는 인터넷 공간은 빙산의 일각에 불과하다고 생각하는데, 이는 오해”라고 설명한다. “여태까지 다크웹에 나타난 정식 서비스는 십만~십오만 개 정도이고, 이 중 웹 콘텐츠를 가지고 있던 건 7000여 개에 불과합니다. 우리가 아는 인터넷 공간에는 10억개의 도메인들이 등록되어 있죠. 우리에게 구글이 있다면 다크웹 사용자들에겐 토르가 있는데, 토르 사용자는 약 2백만 명이고 구글에서 집계한 인터넷 사용자는 20억 명입니다.”

게다가 ‘다크웹=범죄자들의 공간’이라는 도식도 오해라고 테르비움 랩스는 명시한다. “물론 다크웹에서 활동하는 범죄자들이 많은 건 사실입니다. 하지만 토르 브라우저가 제공하는 ‘익명성’에 기대어 활동하고 싶어하는 건 범죄자들만이 아닙니다. 언론의 자유가 보장되지 않은 국가에서 활동하는 언론가들이나 지식인들 역시 토르의 익명성에 기대고 있습니다. 집권 세력에게 불리할 수 있는 발언을 하는 사람들이 목숨을 잃게 되는 곳은 생각보다 많습니다.” 실제로 이런 활동가들을 후원하기 위한 지원금이 토르를 통해 전달되기도 하고, 2010년과 2011년 발생한 ‘아랍의 봄’ 사건에도 다크웹의 역할이 지대했다는 분석이 일반적이다.

몇 가지 오해와 진실들
다크웹에는 항시 약 50개의 시장이 활성화되어 있다. 그 중 ‘메이저’에 속하는 것들은 비정기적으로 나타났다 사라졌다를 반복하는데, 이는 사법기관의 활동과 관련이 있다. 사법기관에 주요 인물들이 실제로 체포되거나, 그런 낌새를 감지하고 운영자들이 미리 도주해버리곤 하기 때문이다. 실제로 실크로드(Silk Road)라는 메이저 시장은 여러 나라의 공조로 폐쇄되었지만 실크로드2.0과 실크로드 3.0으로 다시 태어나기도 했다. 그밖에 아고라(Agora)라던가 에볼루션(Evolution)이라는 메이저 다크웹 시장들이 존재한다.

보통 다크웹의 이런 시장에서는 일반인들이 상상조차 할 수 없는 끔찍하고 잔인한 일들이 발생한다고 막연히 생각하는데, 이는 약간 수정이 필요하다. “다크웹에서 일어나는 거래 대부분은 불법 마약 거래와 관련된 것입니다. 그리고 나머지는 사기 범죄와 관련된 것이거나요. 우리가 흔히 아는 신용카드 정보, 아이덴티티 정보가 거래되는 비율은 마약 거래에 비해서는 많이 낮습니다.” 실제로 다크웹 시장에서 벌어지는 범죄의 비율은 국가 전체의 범죄 비율과 비슷하다고 한다. “마약 관련 범죄가 85%, 사기 관련 범죄가 15%로 다크웹과 국가 전체의 범죄 구성이 꽤나 닮아있습니다.”

물론 흔히들 생각하는 것처럼 해커 포럼이나 해킹을 대행해달라는 요청들도 있다. 이런 곳에서 대규모 개인정보 유출사고로 인한 데이터들이 거래된다. 그러나 누군가를 스토킹해달라거나 암살해달라는 거래가 은밀히 이루어지는 건 아니다. “시험이 있는 날 학교 서버에 디도스 공격을 해달라거나, 자기 점수를 좀 바꿔달라는 요청이 많습니다. 불법 무기 거래나 암살 대행 서비스 등이 있긴 한데, 이런 심각한 수준의 범죄는 대부분 사기입니다. 토르의 익명성이 양날의 검으로 작용하는 부분이죠. 다크웹 사용자가 가장 많은 사기를 치는 건 아마 다크웹 사용자일 겁니다.”

다크웹, 걱정해야 하나?
테르비움 랩스는 “솔직히 일반적인 개인정보 유출사고 방지에 더 신경 쓰는 게 맞는 것 같다”고 보고서를 통해 의견을 밝히고 있다. “정보가 유출되는 사고는 과장 하나도 보태지 않고 ‘매일’ 일어나는 일입니다. 다크웹이란 문제보다 더 가까운 곳에 있는 위협이죠.” 차라리 이런 보안 사고를 미연에 방지하기 위해 다크웹을 ‘활용’하는 게 더 생산적일 것이라고 말하기도 한다. “유출사고가 일어나는 경로는 무한대로 많습니다. 사람이 그걸 하나하나 다 시나리오로 만들어 방어할 수 없는 겁니다. 그러나 사고로 유출된 거의 모든 정보는 반드시 다크웹에 흔적을 남깁니다. 신용카드 정보든, 개인정보든 구분 없이 말이죠.”

즉 다크웹을 효과적으로 모니터링하면 굉장히 빨리 유출 사고 여부를 파악하는 게 가능하다는 것이다. “요즘은 방지하는 노력에 더해 이미 들어온 공격을 탐지하고 그에 대한 조치를 빠르게 취하는 것도 보안의 중요한 기재가 되고 있습니다. 탐지의 방법으로서 다크웹을 모니터링하는 게 효과적일 수 있다는 겁니다.”

그렇다면 다크웹 모니터링은 어떤 식으로 진행해야 할까? 테르비움은 자동화 솔루션을 활용할 것을 권장한다. 다크웹이 일반 웹보다 작긴 해도 수동적으로 모니터링하기에는 불가능할 정도로 크긴 하기 때문이다. 다크웹은 아니지만 그렇다고 ‘건강한’ 일반 사이트만도 아닌 페이스트빈(Pastebin)의 경우만 하더라도 2초에 한 번씩 새로운 포스팅이 올라온다.

또한 다크웹의 정보 상당수가 ‘사기’ 혹은 ‘가짜 정보’라는 것도 자동화의 필요성을 부각시킨다. “살인 청부 요청만 가짜인 게 아닙니다. 내가 어디어디 회사를 해킹했노라고 떠벌리면서 공개한 자료들도 보면 대부분 이전에 공개된 오래된 데이터들을 편집하고 짜깁기 한 게 대부분입니다. 그러니 수동적으로 걸러낼 수가 없어요. 잘못된 경보도 많이 발생하고요. 사람의 힘보다는 기계의 힘을 빌려 정보를 걸러야 합니다.” 시중에 이런 기능을 수행하는 솔루션들이 몇 가지 있다고 소개되기도 했다.

다크웹에서 무언가를 찾았다면?
일반 사용자가 다크웹 모니터링을 실제로 해서 무언가 새로운 걸 찾아냈다면, 그 후 어떤 행동을 취해야 하는가도 중요한 질문이다. 이는 사실 상황마다 달라 딱히 구체적인 답을 낼 수가 없는 질문이라고 테르비움은 설명을 시작한다. “하지만 가장 보편적인 건 가까운 보안 전문 업체와 사법 기관에 알리는 것입니다. 중요한 건 이걸 혼자서 해결하려고 하지 않는 것으로, 반드시 법적 힘을 가지고 있는 사람들의 도움을 요청해야 합니다.”
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>