“우리나라 피시 환경 취약…액티브엑스 설치 피해야”

>‘국내 해커 1호’ 노정석씨

‘국내 해커 1호’ 노정석씨 인터뷰

국내 인터넷 초창기인 1996년 한국과학기술원(카이스트)과 포항공과대학 학생들 사이에는 자존심을 건 ‘대결’이 벌어졌다. 국내 최초의 해킹으로 기록되는 ‘포항공대 해킹’ 사건이다. 당시 카이스트 해킹 동아리를 이끌면서 포항공대 학내전산망을 헝클어뜨리는 사건을 주도했던 대학생 노정석(사진)씨는 이 일로 구치소에 수감되었다가 200만원의 벌금을 내고 풀려났다. 노씨는 대학 졸업 이후 보안업체인 인젠을 창업한 뒤, 태터앤컴퍼니라는 국내 대표적인 블로그 회사를 만들어 대표를 지냈다. 지난해 구글코리아가 태터앤컴퍼니를 인수한 이후, 노씨는 구글에서 제품 매니저로 있다. 대표적 인터넷회사에서 일하고 있는 ‘국내 1호 해커’에게 최근 발생한 ‘디도스(DDoS) 공격’에 대해 물었다.

“디도스 공격 추적 어려워
제3자가 한 것처럼 조작”

-13년 전 해킹을 시도할 때는 무슨 의도였나?

“대학생 시절 재미 삼아 한 일이었다. 세상에 자신만 할 수 있다는 걸 보여주려는 의도에서 테스트 삼아 해본 일이었다.”

-이번 디도스 공격에는 무슨 의도가 있다고 보나?

“좀비 피시가 한국에 많이 있다. 좀비 피시 네트워크를 갖고 있는 세력이 실험을 했을 수 있다. 현재 의도를 알 수 없지만, 더 큰 것을 위한 실험일 수도 있다고 본다.”

-과거와 최근 해킹의 차이는?

“초기엔 장난과 과시용이었다면, 인터넷상에서 다양한 수익모델이 생겨나면서 이를 활용한 상업적 목적의 해킹이 많아졌다. 사회문제로 드러나지 않을 뿐이지, 시스템의 약점을 활용해 돈을 노린 사이버 공격은 이 바닥에서 공공연한 비밀이다.”

구글의 광고 프로그램인 애드센스처럼 클릭이나 노출도에 따라 수익이 생기는 광고 툴을 겨냥해, 아이피를 세탁한 상태로 적발에 걸리지 않을 정도로 클릭을 일으켜 돈을 버는 경우가 이에 해당한다. 또 매출과 이어진 검색 결과에 대해 일정 금액을 지급하는 쇼핑몰을 겨냥해 자신의 계정을 통해 클릭과 매출이 일어난 것처럼 조작해, 수익을 가로채는 것도 이런 유형으로 볼 수 있다.

-진원지로 영국에 이어 미국이 거론되는 등 추적이 오리무중인데?

“해킹을 다룬 영화와 비슷하다고 보면 된다. 중간에 제3자가 한 것처럼 조작하고, 어느 단계에서 자신은 사라진다. 온라인상의 전자적 정보는 바꾸는 게 너무 쉽기 때문에 추적이 어렵다. 잡히는 경우도 돈을 요구한다든지, 해킹을 자랑한다든지 하는 다른 이유 때문인 경우가 많다.”

-만약 해커라면 앞으로 어떻게 공격을 할 것인가?

“사이트를 공격해 다운시키는 방식은 다시 안 생길 가능성이 높다. 드러나지 않는 방식으로 범행을 할 것이다. 공격도 중앙집중화가 아닌 점 조직 방식으로 이뤄질 것이다.”

과거 해킹은 장난·과시용
요즘 해커들은 수익 노려

-막을 수 있는 방법이 있는가?

“네트워크보다 피시 등 사용자 환경이 특히 취약하다. 이용자가 액티브엑스를 마구잡이로 설치하고, 웹하드를 통해 파일을 내려받는 환경이 악성코드가 퍼지는 주요 채널이다. 상당한 비용을 감수하고서라도 이를 없애는 쪽으로 나가야 한다. 외국처럼 브라우저의 보안모듈만으로 보안은 얼마든지 가능하다.”

외국 은행들이나 이베이, 아마존닷컴 같은 세계에서 가장 전자상거래가 활발한 사이트는 액티브엑스처럼 결제를 위해 새로 깔아야 할 프로그램이 없다. 한국은 정부 사이트부터 액티브엑스 없이는 제 기능을 쓸 수 없는 곳이 많고, 금융결제용 공인인증서는 액티브엑스로만 발급하고 있다. 국내 이용자들은 액티브엑스 설치에 무조건 동의하게 되고, 사용자들의 이런 습성을 노려 악성코드는 액티브엑스를 통해 손쉽게 설치되고 있다. 이 기술을 개발한 마이크로소프트마저 액티브엑스의 보안 위협을 경고하고, 사실상 폐기한 이유이기도 하다. 한때 해킹을 경험했던 노씨는 7~8년 전부터 액티브엑스와 같이 외부에서 강제로 설치하는 프로그램을 아무것도 깔지 않고 피시를 사용한다.

-창과 방패의 대결 같은데?

“뛰어난 해커는 뛰어난 인문학자이자 심리분석가다. 뚫으려고 하는 네트워크 설계자의 의도를 읽는 것이다. 프로그램도 사람이 짜는 것이다. 해커는 자그마한 단서를 통한 프로파일 분석을 거쳐 시스템 설계자에 대해 정보의 우위를 조금씩 갖게 된다.”

뚫으려 하는 사람의 창조력과 상상력을 방패의 두꺼움만으로는 막아내기 힘들다는 말이다. 노씨는 막는 사람도 뚫는 사람만큼 창의성이 격려되는 환경에서 일할 수 있어야 한다고 말했다.

-해커로서의 경험이 쓸모 있었나?

“해킹으로 배운 것은 작은 단서를 갖고 추리와 상상력을 통해서 커다란 생각의 네트워크를 만드는 일이었다. 복잡계, 소셜네트워크를 이론이 아닌 현실을 통해서 먼저 배운 셈이다. 티스토리 등 사용자 참여형 웹서비스를 기획할 때 사람들의 의도를 반영해 개발하는 데 도움이 됐다고 생각한다.”

구본권 기자 [e-mail]