러시아의 트롤, 사회적 불신 일으키려 정교하고 체계적으로 활동해
사회 질서, 법 체계, 개인 사용자의 책임 등 따라잡아야 할 것들 많아

[보안뉴스 문가용 기자] 2016년 미국 대선에 러시아가 개입했다는 의혹이 공식 수사화 됨에 따라 많은 사실들이 환하게 드러났다. 그러면서 그들이 사회적 불화와 분리를 야기하기 위해 조직적으로 움직이고 있었다는 큰 그림을 그려낼 수 있었다. 즉, 어떤 특정 인물을 대통령에 당선시키느냐 마느냐보다 더 큰 계획을 가지고 있었던 것이다.


[이미지 = iclickart]

러시아가 공략했던 건 공포, 불확실성, 의심이라는 세 가지 감정이었다. 이런 세 가지 감정이 인간의 심리에 일으키는 강력한 효과들을 이용하려 했던 것이다. 특히 이 세 가지 감정을 이용함으로써 국가와 민주주의 체제에 대한 신뢰를 잃게 만들었다. 또한 민주주의의 근간인 선거 시스템에 대한 깊은 불신을 심어주기 위해 노력했다.

이들은 봇 시스템을 운영하며 사회 속에서 뜨거운 쟁점이 되고 있는 부분을 계속해서 건드렸다. 총기 규제 문제 등이 좋은 예다. 그들은 그러한 문제들이 어떠한 방향으로 해결되도 상관이 없었다. 그저 싸움만 일으키고 불신만 조장하면 되었다.

사실 이런 식으로 적진에서 교란을 일으키는 행위는 까마득히 먼 옛날부터 행해져왔던 것이다. 다만 시대에 따라 실행 도구가 달라졌고, 오늘날 역시 과거와는 다른 도구를 사용한다. 그래도 한 가지 다른 것이 있다. 오늘날의 툴들은 정부가 나서야만 가능한 규모의 공격을 가능하게 한다는 것이다. 그것은 바로 ‘사이버 툴’들이다. 보안 업계가 연구하고 방어하는 바로 그것 말이다.

이런 식의 공격은 다른 곳에도 응용이 가능하다. 주식 시장을 혼란케 하거나, 소비자들의 보이콧도 야기할 수 있으며, 이런 식으로 기업의 생명을 끊어버릴 수 있는 것이다. 앞으로 이런 일들이 발생할 가능성은 농후하다. 보안 업계의 손에 중대한 사회적 문제가 걸리게 된 것이다.

페이스북의 타임라인
위에서 ‘사이버 툴’이라고 애매하게 말했는데, 다시 한 번 이야기를 러시아로 돌려보면, 페이스북을 언급하지 않을 수 없다. 페이스북은 얼마 전부터 광고 수입을 높이기 위해 전략을 여러 차례 수정해온 바 있고, 이걸 러시아가 영리하게 이용했다.

원래 페이스북의 피드는 시간 순서에 따라 포스팅되었고, 그렇게 노출되었다. 사용자가 글을 작성한 순서 그대로 페이스북이 꾸며졌던 것인데, 플랫폼이 커지면서 갑자기 이 ‘순서’에 페이스북이 개입하기 시작했다. 특정 콘텐츠를 다른 것보다 더 노출시키기 위한 장치를 마련하고, 광고주들을 만족시켰다. 그러더니 피드 구독 기능이 생기고, 사용자들의 감정 표현에 따라 특정 피드를 제안하기도 했다. 점점 광고의, 광고를 위한, 광고 전문 플랫폼이 되어갔던 것이다.

물론 처음에는 이것이 큰 문제가 될 것은 없었다. 트롤들이 만든 피드가 마구 유통되지 않았던 것이다. 왜? 사실을 확인하는 기능이 있었기 때문이다. 사실을 하나하나 확인하는 사람들이 존재했었다. 그런데 일부 고객들이 ‘왜 우리 콘텐츠를 차단하냐’고 불만을 제기하기 시작하자, 페이스북은 사실 확인 기능을 보다 ‘너그럽게’ 변경했다. 그런 일이 몇 번 반복되자 필터 기능은 사실상 사라지게 되었고, 그 때부터 페이스북은 독소 가득한 환경으로 변모했다.

그래서 트롤들은 마음껏 활개치기 시작했다. 페이스북만 아니라 다른 소셜미디어에서도 활동을 시작하며 온라인의 분쟁을 오프라인으로 가져왔다. 그래서 사람들로 하여금 불필요한 데모와 운동을 조직하게 만들었고, 거짓이나 악의 가득한 소문을 퍼트렸다. 어떻게? 공포와 불확실성, 의심을 자극한 것이다.

미국 정부의 노화된 패러다임
문제는 심각해지기 시작했다. 정부도 완전히 손을 놓고 있었던 것은 아니다. 매체는 비교적 일찍부터 이러한 움직임을 파악했다. 보안 및 첩보를 다루는 전문가들은 더 먼저 알았다. 그렇다면 왜 이들은 아무 것도 못한 것일까? 먼저는, 이것이 페이스북이라는 사기업에서 진행되고 있었기 때문에 정부나 전문가, 매체가 손을 댈 권한이 없었다. 법적으로 이는 페이스북이란 한 회사의 보안 문제였고, 그들 소관이었을 뿐이었다. 정부가 한 회사를 나서서 보호할 수는 없었다.

이 시점에서 법 체계가 시대를 쫓아가지 못하고 있다는 점이 드러난다. 국민의 절반 이상이 사용하고 있는 플랫폼을 그저 ‘사기업’으로만 파악하고 있다는 것 말이다. 국가가 합법적으로 보호할 수 있는 기업이란, 사회 인프라를 담당하는 곳들뿐인데, 페이스북도 그러한 수준으로 바라보아야 했다. 그래서 국민들과 사회 안녕을 합법적으로 도모할 방법을 찾아야만 했던 것이다.

그러나 페이스북 등의 SNS 플랫폼을 어떤 식으로 규정해야 하는지는 미국만이 아니라 많은 나라들에서 논란이 되고 있는 부분이다. 많은 사람들이 사용하는 플랫폼이라면, 국가가 자원을 투자해 보호해야 하는가? 그 플랫폼(들)은 인프라 취급 받아야 할까? 그렇다고 한다면 어디서부터 어디까지 보호해야 할까? 그 법적 근거를 어디서부터 찾아내 수정해야 할까? 심지어 페이스북의 CEO조차 최근 “어쩌면 우리도 규제 대상이 되어야 할지 모르겠다”고 말했었다. 이 부분에 대한 사회적 정리가 시급하다.

새로운 기술, 새로운 책임
그렇다면, 이렇게 법적 공백이 생기고 있는 사이, 기업과 조직들은 어떻게 해야 할까? 새로운 기술들이 끊임없이 쏟아지고 있고 공격자들은 이를 적극 이용하고 있는데, 방어자들은 뒤로만 쳐지는 이 굴레를 어떻게 벗어나야 할까? 이는 기술에 따른 철학적 기반을 새롭게 해야만 가능한 일이다. 즉, 새로운 세상에 걸맞은 새로운 개념을 이해해야 한다는 것이다.

여기서 문제의 본질을 다시 한 번 살펴보자. 러시아 트롤들이 시도했던 건 온라인에서 특별한 정서를 자극해 물리 세계에서의 현상을 일으키는 것이었다. 그리고 그들은 소셜 미디어라는 새로운 기술 혹은 공간과 봇이라는 신기술을 활용했다.

온라인 트롤, 물리적 피해(현상), 소셜 미디어 플랫폼, 신기술... 이런 것들은 보안 전문가들에게 있어 친숙한 개념이다. 우리는 포스팅 속도 등의 여러 가지 흔적들을 보고 봇을 탐지할 수 있고, 이를 추적해 트롤의 정체나 목적을 파악할 수 있다. 신기술이 나타날 때마다 보안 업계는 이런 일들을 해왔다.

문제는 보안을 잘 모르는 일반 기업 및 조직들이다. 이런 시대에서 그들의 책임은 어디까지 일까? 보안을 전문으로 하는 자들이 적당한 보수를 받고 이들 역시 지켜줘야 하는 걸까? 답은 아직도 명쾌하게 나오고 있지 않다. 그래서 보안 업계가 지금 당장 하는 일은 이런 봇들이나 트롤들을 찾아 최대한 방어를 하고 고객(일반 사용자)들에게 알리는 것이다.

그러면서 인공지능이나 자연어 처리 기술 등의 발전이 빠르게 이뤄지고 있어 조만간 보안은 새로운 단계로 올라설 것이라는 기대감이 넘치고 있다. 이런 신기술들로 지금보다 더 빠르게 봇을 파악하고 추적하는 게 가능해질 전망이다.

그래도 결국은 그 뒤에 있는 인간이 진정한 위협임에는 변함이 없다. 신기술을 사용하는 인간 역시 위협의 한 요소가 된다. 그래서 보안 전문가들은 모니터 뒤 본체, 본체 뒤 네트워크, 네트워크 뒤의 다양한 삶의 요소들까지도 꿰뚫어 볼 수 있는 사람들로 변모하고 있다. CISO들은 실제 세상에 일어나는 일이 사이버 공간에서 어떤 식으로 해석되어 나타날지 예상할 수 있어야 하고, 그에 맞는 대비책을 세워야 한다. 시대가 그렇게 CISO의 변화를 강요하고 있다. 그리고 이는 국가도 마찬가지다.

지금 시대의 환경은 이렇게 변해가고 있다. 그렇다면 보안 지식이 없는 사용자들이라고 면책권을 가질 수 없다. 특히 소셜 미디어에서 활동하는 트롤들을 간파해내는 일은 사용자의 참여가 절실히 필요한 부분이다. 자신이 받아들인 정보를 비평적으로 확인할 수 있어야 하고, 확인 사실에 대한 성실함을 몸으로 실천해야 한다. 아무거나 믿는 것, 쉽게 혹하는 것, 그것이 가장 먼저 버려야 할 삶의 태도다.

사이버 공간에서 심리 공격이 일상화된 지금, 사실 한 사람 한 사람이 보안 전문가가 되어야 하는 게 올바른 방향이다.
글 : 마이크 콘버티노(Mike Convertino), F5 Networks

[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>