되도록 평이하고 쉬운 말로 풀어보는 보안 분야 전문용어들 중 ‘사이버전’
일상에서의 ‘전쟁’은 은유적 표현 가능하지만 사이버 보안 분야에서는 금물

[보안뉴스 문가용 기자] 이번 주 한국에서는 가장 중요할 수 있는 정치적 행사가 있었기 때문에 이번 달 ‘보알남’에서도 역시 정치적 주제를 다뤄보기로 한다. 그건 바로 ‘사이버전.’ 영어로는 Cyber Warfare, 즉 사이버 공간에서 벌어지는 전쟁을 말한다. 전통적 무기와 방법을 통해 이뤄지는 ‘카이네틱 워(kinetic warfare)’와 정확히 반대편에 있는 말이다.

아차, ‘보알남’ 코너를 창시하고 먼저 퇴사함으로써 선배에게 영문 모를 무거운 짐을 지운 후배께서 이 코너의 의의를 ‘쉽고 간단한 보안 알아보기’라고 하셨는데, 벌써 영어 단어가 첫 문단에 벌써 몇 갠가. 아아, 쉬운 말은 전문가 중에서도 전문가에게만 허락된 축복인 것을, 나는 아직 가짜인가... 죄스런 마음 가득 담아 이야기를 최대한 쉽게, 그래고 대략적으로 풀어보기로 한다.


[이미지 = iclickart]

단어 사용 방법
먼저 위에서 kinetic warfare와 cyber warfare를 들먹였는데, 이는 ‘사이버전’이라는 단어의 용례를 말하기 위함이었다. 이 둘이 정확히 반대되는 말이라고 했다. 그 말은 일상 속에서 ‘전쟁’이라는 말이 갖는 ‘다툼’이나 ‘충돌’과 같은 비유적 의미가 사이버 보안 분야에서는 성립되지 않는다는 뜻이다. 그 누구도 경쟁사 간의 암투나 다른 정치적 목적을 가진 핵티비스트 집단 사이에 벌어지는 웹사이트 변조 공격을 보고 ‘사이버전’이라고 은유하지 않는다. 사이버전은 반드시 나라와 나라 사이에서 벌어지는 해킹 공격과 방어를 말한다.

그래서 예를 들어 FIN7이라는 유명 사이버 범죄 단체가 해킹 공격을 통해 러시아의 어떤 은행을 털어 수백만 루블을 가로챈 것은 ‘사이버전’이라고 일컬어지지 않는다. 열 받은 푸틴 대통령의 서명을 앞세운 러시아 금융권이 대대적으로 FIN7에 대한 전쟁을 선포한다고 해도 이는 사이버전이 아니다. 중국의 해커들이 미국의 기업들에서 영업 비밀을 가로채는 것도, 북한이 한국의 암호화폐 거래소들을 신나게 두들겨도 사이버전이 아니다. 그냥 해킹 공격일 뿐이다.

러시아 정부의 지원을 받는 ‘사이버전 부대’(이 말도 모호하지만 다음 기회에 더 다뤄보기로 한다)가 미국이라는 국가의 주요 기반 시스템인 선거에 개입했다면 어떨까? 사이버전이다. 중국 정부의 지원을 받는 해커들이 미국의 국가 정부 기관에 침투해 수많은 공무원들의 개인정보를 가져갔다면? 역시 사이버전이다. 스노든이 공개한 바, 미국의 NSA가 모든 사람들을 도청하고 있던 것 역시 각국 정부 요원과 지도자들을 포함하므로 사이버전으로 분류 가능하다. 위의 은행털이와 같은 행위는 ‘사이버 범죄’라고 하고, 아래의 정부 공작 이야기들은 ‘사이버전’이라고 구분한다.

구분의 이유
사이버전과 사이버 범죄를 구분 짓는 건 중요한 일이다. 대응의 방식을 좌지우지하기 때문이다. 어떤 컴퓨터 해킹 공격이 사이버 범죄라고 규정이 되면, 각국의 경찰병력들이 한 몸으로 움직여 공조 활동을 시작한다. 유로폴과 FBI, 사건과 관련이 있는 국가나 지역의 경찰이 힘을 합해 어떤 범죄 단체를 소탕했다거나, 서버를 압수하고 주요 운영자 n명을 체포했다는 소식이 종종 나올 수 있는 건 ‘사이버 범죄’라는 행위가 ‘소탕’이라는 명분을 자동으로 부여하기 때문이다. 범죄자 처단하자는 건데, 누가 반대할까.

사이버전으로 규정될 경우, 분위기는 사뭇 다르다. 정치와 외교 문제로 바뀌기 때문이다. 러시아 해커들이 2016년 미국 대선에 개입했다고 하는데, 러시아는 아직도 이를 전면 부인하고 있다. 세상에 드러난 명확한 증거가 아직 없기 때문이다. 증거가 없으니 누군가는 이것이 선거 패배한 자 측에서의 억지 주장이라고 ‘정치적으로’ 조롱할 수 있게 된다. 누군가는 ‘아, 너 같은 놈이 당선된 건 부정행위가 있었기 때문이구나’라고 믿어버린다.

한국에서도 상황은 비슷하다. 북한 정부의 사주를 받는 라자루스나 실력 뛰어난 북한 해커 이야기가 나오면 반응이 둘로 갈린다. 먹을 것도 없어 국민들 대다수가 굶주리는 나라에서 누가 어떤 방법으로 해킹 교육을 받겠으며, 북한 해킹 부대의 실체를 누가 직접 본 적이 있느냐, 라고 반박하는 부류와, 역시 북한은 세상 최악의 테러리스트 국가라고 핏대를 세우는 부류다. 따라서 어떠한 사건에 대해 ‘사이버 범죄’가 아니라 ‘사이버전’이라고 규정을 짓는 건 정치적 선언일 때가 많고, 그 규정의 속도나 빈도 등은 국가 운영의 기조에 따라 달라진다.

짧게 말해, 범죄라면 경찰에 신고할 수 있고 공감을 얻기도 쉬운데, 사이버전쟁이라면 나라가 쉬쉬하면서 입을 틀어막을 수도 있다는 것이다. 그러니 단어 고르기에 신중해야 하고, 실제 보안 전문가들은 사이버전이라는 말을 분명하게 내뱉는 걸 꺼려한다. 그냥 가능성만 제시할 뿐이다. 이런 상황이니 사이버전을 은유적으로 사용하려는 대담성은 아직 이 업계나 언론에서 목도된 바 없다. 참고로 우리나라 보안 업계는 사이버전이라는 단어를 너무 아껴서 문제고 미국을 비롯한 서구 보안 업계는 너무 남발해서 문제다.

사이버전이 정치적일 수밖에 없는 이유
눈치 빠른 독자라면 알아챘겠지만 위의 두 사이버전 사례에 나오는 중요한 요소는 ‘증거’다. 어떤 사이버전 행위에 대해 반응이 갈리는 건 명확한 증거가 없기 때문이다(물론 정치는 믿음의 영역과 같아서 증거가 별 효력을 발휘하지 못할 수도 있지만). 저 나라가 우리나라를 향해 사이버전 행위를 실시했다고 공개적으로 비판한다고 해도 증거를 정확히 대는 경우는 거의 없다. 해봐야 ‘우리는 움직일 수 없는 증거를 가지고 있다, 하지만 공개할 수는 없다’ 정도다. 이에는 여러 가지 이유가 있을 수 있지만 크게는 다음과 같다.

1) 그냥 그 나라를 가해자라고 공격해야 할 이유가 있었다. 대부분 정치 외교적인 이유다.
2) 실제 증거가 있지만 그것을 공개하는 순간 자신이 스파잉하고 있다는 게 드러난다.
3) 실제 증거가 있지만 그것을 공개하는 순간 자신의 스파잉 방법 자체가 드러나고, 그 방법은 다시 사용하지 못하게 된다.
4) 실제 증거가 있지만 그것을 공개하는 순간 진짜 전쟁(kinetic warfare)에 돌입해야 할지도 모른다.

사이버전이 인기 높은 이유
이래서 사이버전이 공격자들 사이에서 인기가 높다. 그 특성상 조용하니 국제 사회의 이목을 끌 필요도 없고, 전쟁을 일으켰을 때의 손해나 피해를 감수하지 않아도 되며, 정보를 통해 얻어갈 것은 오히려 더 많고, 심지어 피해자가 증거를 가지고 있더라도 공개할 수 없다니, 이렇게 좋은 전쟁터가 어디에 있나. 사이버전은 공격자가 매우 유리해지는 전장이다.

하지만 그 무엇보다 인기의 비결은 ‘편리함’에 있다. 각종 의결 과정을 국내적으로 다 거치고, 국제적 명분까지도 확보한 뒤 수천 개의 부대를 인솔하고 한 대 한 대 천문학적인 금액을 자랑하는 무기들을 운용하는 것과, 해킹 전문가를 육성해 키보드를 두들기게 하는 것에는 난이도 차이가 있을 수밖에 없다. 역사 내내 서로를 죽이며 전쟁을 해대던 인간이 현대에 와서 비교적 조용해 진 것은, 인간 본성이 선하고 아름답게 변해서가 아니라 전쟁을 불편하게 만드는 사회, 기술적 장치가 늘어나서일 뿐이라는 게 편리한 사이버전을 통해서 입증되기도 한다.

* kinetic warfare는 불편하고, cyber warfare는 편하다.
* kinetic warfare는 공격자가 드러나고 cyber warfare는 공격자가 숨을 수 있다.
* kinetic warfare는 비싸고, cyber warfare는 저렴하다.
* kinetic warfare는 전리품이 불분명하고 cyber warfare는 전리품이 명확하다.
* kinetic warfare는 광기가 필요하고 cyber warfare는 집요함이 필요하다.

나랑 무슨 상관?
그러면 이러한 ‘사이버전’이, 공직자도 아니요, 국가에 대한 애국심이 투철한 것도 아니며, 해킹에 ‘ㅎ’도 모를 뿐더러 컴퓨터도 잘 모르는 일반 사람들에게는 어떤 의미를 가질까? 다시 전통의 전쟁인 kinetic warfare로 이야기를 전환해보자. 실제 전쟁이라는 것은, 군인도 아니요, 총을 쏴본 게 수십 년 전이거나 손도 한 번 대본 적 없는 우리에게 어떤 의미를 갖는가?

사람마다 다르겠지만, 누군가에게는 이것이 특정 정당을 지지하는 모습으로 나타날 수도 있고, 누군가에게는 사는 장소를 결정짓거나 직업을 선택하는 형태로 발현될 수도 있다. 반면 아무런 의미를 갖지 않는 경우도 있을 것이다. 이는 ‘임박성’과 관련이 있는데, 전쟁이 막 끝났거나 임박한 것이 눈에 확연히 드러나는 상황이라면 전쟁을 딴 세상 이야기인 것처럼 살 수는 없을 것이다. 반대로 전쟁이 먼 옛날의 일이거나 전혀 현실성 없는 상황이라면 ‘만에 하나 터질 전쟁’ 때문에 이사를 다니고 직업을 바꾸는 일이 유난스럽게만 보일 것이다.

사이버전도 이것과 비슷하다. 얼마나 임박해 있느냐에 따라 이 이야기가 우리에게 상관이 있는 이야기일 수도 있고 보안 학과 교과서에서만 나와도 충분한 것이 될 수 있다. 그런데 이에 대해서는 전문가들의 의견이 갈라진다. 국가 운영에 있어 진짜 중요한 인물이 아니라면, 사실 사이버전 걱정 하지 않아도 된다고 말하는 사람이 있는가 하면, 그 중요한 인물이나 조직에 접근하기 위해 일반 시민인 당신의 라우터나 회사를 거칠 수 있기 때문에 상관이 있다고 말하는 사람이 있다.

둘 다 타당한 말이다. 일례로 지금 북한의 라자루스가 이 기사를 쓰고 있는 기자를 공격 대상자 명단에 올려놓는 일은 없을 것이다. 그런 의미에서 기자는 사이버전에 대해 아무런 방비를 하지 않아도 되는 게 맞다. 나를 보호하는 건 사이버전 전문가나, 더 나아가 국가가 할 일이다. 하지만 기자가 평소 방탕한 불법 다운로드 생활을 영위하다가 백도어가 잔뜩 깔린 것도 모른 채 기사를 쓴답시고 더러운 노트북을 중요 기관에 들고 들어가 내부 망에 연결했다면 어떨까? 사이버전의 통로이자 라자루스의 기회가 되어 주는 꼴이다. 그런 의미에서는 사이버전이 누구에게나 임박한 일이라는 것도 맞는 말이다.

또한 대중적 영향력이 큰 사람들이라면 ‘사이버전’이라는 단어를 쓰는 것도 조심해야 한다. 정치적 의미가 상당히 강하고, 따라서 선동성이 높기 때문이다. 우리가 보기에 아무리 미친놈 같아 보이는 국가 지도자라고 하더라도 전쟁은 일으키고 싶어 하지 않는 것이 보통이다. 마찬가지로 아무리 우리가 좋은 의도를 담아 은유적으로 쓴다고 하더라도 ‘사이버전’이라는 단어가 갖는 무게감은 대단하다.

너무 인색하면 사태를 똑바로 보지 못하게 한다는 점에서 그릇되지만, 함부로 입에 담으면 상상을 아득히 넘어서는 파급력을 미칠 수 있다. 개인의 차원을 넘어 조직적, 사회적으로 뒷감당 할 게 많아질 수 있다는 것이다. 그러니 무조건 ‘증거 대라’고 입막음 하려 하지 말고, 정말 정확하고 필요한 경우 아니라면 ‘사이버전’이라는 직접적 표현은 신중하게 선택하자. 그것이 사이버 전장의 한 가운데에 있기도 하면서 동시에 멀기도 한 우리가 실생활에서 할 수 있는 일이다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>