1. 한 번 알아봤다: 2025 해킹대란
2. 한 번 물어봤다: 해킹, 어쩔수가 없나
3. 모르고리즘: 알고리즘 프리! 젠더 뉴스픽
4. 휘클러 say!: 독자피드백 + 이벤트 알림

🎙️요즘 해킹 사고가 너무 많아. 실제로 많이 늘었어?
💬2022년도 세계경제포럼(다보스포럼)에서 CEO 대상으로 포스트 코로나 시대에 가장 위협적인 게 무엇인지 물었어. ‘기후변화’보다 우선순위로 꼽은 게 ‘사이버 보안’이야. 코로나19 팬데믹 때 비대면 시대가 되었잖아. IT 의존도가 자연스럽게 높아졌어. 배달의민족, 마켓컬리 등이 비약적인 성장을 했지. 해커 입장에서 보면, 할 수 있는 게 너무 많아진 거야. SKT에 악성코드가 침입한 것도 팬데믹이 한창인 2022년이야.

🎙️SKT 해커처럼 오래전 침투해 계속 공격을 시도하는 거야?
💬비트코인 채굴처럼 명령을 내려놓고 찾기를 기다리는 거지. 자동화 프로그램을 써서 공격을 반복적으로 시도해.

🎙️매번 그렇게 오래 걸려?

💬만약 내가 금은방을 털고 싶어. 그러면 영업하고 있는 데를 가보고, 시건 장치가 어떤지 보고, 어떻게 침입할 수 있을지 짤 거야. 도망갈 루트도 확보할 테고. 차근차근 정보 수집을 하는 거지.

🎙️금방 발각되진 않아?
💬창과 방패의 싸움이야. 공격자가 여러 시도를 하면 방어자도 여러 가지 방법으로 허점을 보완하며 막아. 새로운 보안 제품을 개발하고 다른 곳과도 공유해. 그러면서 같이 발전해. 하지만 언제나 공격자가 우위에 있어. 공격자는 100을 공격해서 1만 들어가도 되니까.

🎙️100번 중 1번 뚫릴 땐 언제야?

💬해커가 수집한 정보를 바탕으로 뒷조사를 하면 ‘인간’이 파악돼. 옛날에는 ‘한 명만 걸려라’는 생각으로 무작위 스팸을 뿌렸지만 요즘은 그런 게 통하지 않아. 맞춤형 공격을 해.

🎙️예를 들면?

💬결국 컴퓨터를 열려면 ‘클릭’과 같은 인간의 작동이 필요해. 내부 직원을 어떻게 하면 움직일 수 있을까 고민해서 속임수로 클릭하게 만들지. 예를 들면, 그 직원이 이직을 준비하는 것 같으면 헤드헌터가 보낸 것처럼 가짜 메일을 보내고, 홈페이지 관리하는 직원에겐 수요일마다 업데이트하는 걸 확인하곤 화요일에 클릭을 유도할 가짜 메일을 보내. 그런 정보를 수집하고 클릭을 유도하기 위해 많은 투자를 해.

🎙️해킹을 알아채지 못한 기업들이 욕먹고 있어.
💬아는 것만큼 보인다고 하잖아. 2016년 리눅스 운영체제에 더티카우라는 보안 취약점이 발견됐어. 이 취약점을 공격하면 전세계 리눅스를 다 뚫을 수 있어. 그중 하나가 SKT 서버였던 거야. SKT가 그 취약점을 안고 있는 동안 공격자는 악성코드를 심고 헤집고 다녔어. 예를 들어 코로나에 걸렸더라도 기침을 안 하면 모르고 지나갈 수 있잖아. 해커에 뚫린 곳이 뚫린 것도 모를 수 있어. 해커는 들어갔다가 발자국도 지우고 나와.

🎙️해커의 목적은 뭐야?

💬우선 돈일 수 있지. 목적이 간편결제라고 생각해봐. 거기에 필요한 게 많아. 계좌 개설 할 때 우리가 준비해야 하는 것들을 생각해봐. 기본정보와 신분증이 필요하고 ARS 전화를 받고 문자메시지도 확인해야 해. 만약 잠수함을 만들려면 고물상에 가서 여러 고철 조각을 모아야 해. 7개 중 5번째 게 없으면 그걸 따로 구해야지. 물론 돈 말고 다른 목적도 있어.

🎙️어떤 목적? 

💬각 나라의 사이버전쟁 투자가 늘고 있어. ‘맨디언트’ 같은 자료를 보면 국가가 지원하는 해킹 세력이 눈에 띄게 늘어났어. 북한 해킹 조직 라자루스(북한 정찰총국의 해커 부대)를 포함해 이란 같은 나라들이 전략적으로 해킹 그룹을 육성해.

🎙️눈에 안 보이는 전쟁이네.

💬러시아가 우크라이나 변전소에 악성코드를 심어서 정전 사태를 일으키려고 했다가 실패한 적이 있어. 전쟁 상대국만 겨냥하는 게 아니야. 친팔레스타인 해커들은 친이스라엘 국가를 공격하기도 해.

🎙️마지막은 뭐야?

💬국가를 유지하는 중요한 직업 소방관, 경찰관, 군인과 보안 조직은 비슷해. 사고가 터지면 책임자가 불려 가고 문책당해. 반대로 최전선의 군인에게 박수치고 감사를 표현하듯이, 보안 조직도 그런 시선으로 보는 사회적인 분위기가 필요해. 그래야 능력 있는 사람들이 더 많아질 테고.

🎙️에스케이(2016년)나 롯데카드(2017년)는 패치를 왜 안 한 거야?

💬롯데카드, SKT, KT 모두 고객 눈높이가 높아. 반면 회사 개발팀은 정보통신 시스템의 모든 걸 다 개발할 수가 없어. 아웃소싱을 하기도 하고 프로그램을 사 오기도 해. 그런데 직접 안 만든 건 제대로 파악하기 힘들어. 그 많은 부속품들의 업데이트를 제때 하는 것도 어려워. 이런 점도 해킹에서 공격자 우위를 만들지.

🎙️그래서 마에스트로가 필요한 건가?

💬비유하면 보안 조직은 엄청나게 물건이 많은 창고를 지키고 있는 거야. 물건이 너무 많으니 정확하게 파악을 못 해. 그렇지만 오랫동안 이곳을 지키며 직접 물건을 받아 넣은 창고지기가 있다면 더 잘 관리할 수 있을 거야.

🎙️그걸 시스템으로 강제할 순 없나?

💬미국처럼 소프트웨어 구성명세서(SBOM) 같은 제도를 도입하면 투명하게 관리할 수 있어. SBOM은 한우이력제 같은 거야. 소프트웨어 구성요소를 목록화하고 정기적으로 패치를 하지. 하지만 개발자들은 한 시간에도 몇 개씩 바뀌는데 번거로운 작업이 될 수밖에 없고, 탁상공론이라고 말해. 그래서 자동화 도구들이 필요해.

🎙️정부는 뭘 할 수 있어?
💬한국은 과기부, 한국인터넷진흥원(KISA), 국방부, 국가정보원 등 정부 보안조직이 여러 개로 나뉘 있어. 한 곳이 뚫리면 다른 곳이 뚫릴 가능성도 높아. 공조체계를 갖추고 전체 보안 조직을 조율하는 컨트롤타워도 필요해.

🎙️다들 사고 공개를 회피하고 은폐하는데.

💬개인정보 침해 사고가 발생한 기업은 매출의 최대 3%를 과징금으로 내야 하고, 만천하에 잘못이 공개되고, 브랜드 파워가 떨어지니까 그런 걸 걱정해서 공개를 안 하고 묻고 가는 거지.

🎙️은페하면 더 엄벌해야 하지 않을까?
💬과징금이 투자를 유도할 순 있겠지만 기술적 관점에서 보면 불리해. 크게 보면 과징금 등 벌칙으로 각각을 규율하는 것보다 공조 체계에 협조하도록 유인하는 게 더 중요하다고 봐. 

🎙️한국에서 역사적으로 이름, 주민번호, 휴대전화번호, 주소 등 개인정보 유출이 여러 번 있었어. 이제 와서 그걸 지키는 게 의미가 있어?

💬해커가 한 번의 공격으로 필요한 모든 개인정보를 모으는 게 아냐. 드래곤볼 만화를 보면 구슬을 일곱 개 모아야 되잖아. 이번 KT 무단 소액결제도 기지국 해킹으로 얻을 수 있는 개인정보는 제한적이라 다른 개인정보가 더 필요했을 거야.