보이지 않는 PC속의 무법자…해킹의 이모저모

#지역 한 절에 속임수에 능한 스님(?)이 있었다. 절도 아니고, 사실 스님도 아니었다. 절이랍시고 세워놓고, 스님을 자처한 사람이었다. 이 스님은 소문을 퍼뜨렸다. '재주가 용하다' '다친 몸과 상처 입은 마음을 꿰뚫어 본다' '모든 문제를 해결해주는 능력이 있다'는 등등.

중생들이 몰렸다. 투병, 대학 입시, 사업, 이혼 등 걱정과 아픔이 많은 이들의 발길이 이어졌다. 하지만 이들은 절을 찾는 그날 곧바로 스님을 만나지 못했다. 보좌하는 사람이 '스님이 출타 중이다' '1주일에 한 번만 들른다' 는 식으로 짧게는 3일, 길게는 열흘 뒤에 다시 찾아오라고 했다. 절을 다시 찾은 고객들은 모두 깜짝 놀랐다. 스님이 손님들의 근심, 걱정을 용케 알고 있었던 것. 비록 해결책은 돈을 대가로 받은 부적 몇 장이었지만, 고민을 미리 파악해낸 스님의 통찰력에 감탄할 수밖에 없었던 것. 스님의 신통한 능력을 감안하면, 돈은 아깝지 않고 부적이 모든 것을 해결해 줄 것으로 믿었다. 신통력은 몇 년 지나지 않아 들통이 났다. 비밀의 열쇠는 방문객들이 남기고 간 이름과 주소, 연락처 등이었던 것. 스님을 자처한 이와 공모자들은 행정기관과 경찰 등 연줄을 통해 방문객의 기본정보를 기초로 이들의 가족관계, 살림살이, 집안 사정 등을 하루 이틀 만에 모두 파악해 두었던 것이다. 심지어 방문객의 집 주소를 들고 그 동네 슈퍼 등지를 탐문(?)해 집안형편을 속속들이 알아내기도 했다. 도박으로 치면 상대방의 패를 훤히 들여다보고 있었던 셈이다. 스님과 일당은 오프라인 상의 해커였다.

#미국의 유명 해커, 케빈 미트닉은 고교시절 전화도용에 몰두해 있던 한 친구를 만나면서 소위 '사회공학'을 처음 접하게 됐다. 그 친구는 전화회사가 갖고 있는 고객 정보를 빼내는 일이나, 비밀 테스트 번호를 이용해 장거리 전화를 공짜로 이용하는 방법 등을 보여줬다. 미트닉도 그때부터 전화교환대에 접속해 다른 전화 도용자의 서비스 등급을 바꾸는 장난을 즐겼다. 다른 전화 도용자가 집에서 전화를 걸려고 하면 10센트를 투입하라는 메시지가 흘러 나왔다. 전화회사의 교환대가 공중전화에서 거는 것이라는 신호로 받아들였기 때문이다.

미트닉은 고교 졸업 뒤 LA의 '컴퓨터학습센터'에서 공부했다. 그는 몇 개월 뒤 그 센터의 컴퓨터 운영시스템의 약점을 찾아내 IBM 미니컴퓨터에 대한 관리자 권한을 얻었다. 미트닉의 해킹을 파악한 센터는 그에게 정학을 당하든지, 아니면 센터 컴퓨터의 보안강화 프로젝트에 참여하든지 둘 중 하나를 선택하도록 했다. 미트닉은 결국 프로젝트에 참여했고, 우등 표창을 받고 졸업할 수 있었다.

◆해커와 크래커

1950년대 미국 MIT 공대 '신호기와 동력 분과(TMRC) 동아리' 학생들이 프로젝트 수행을 위해 대학내 26동 건물에 밤마다 몰래 들어가서 IBM704 컴퓨터 시스템을 사용한데서 '해커'란 용어가 유래했다. 당시 이렇게 노력하는 사람을 핵(Hack)이라고 했는데, 이 Hack과 생산자(Producer)를 합쳐 '해커(Hacker)'로 불렀다.

해커는 호기심 많고 어떤 일에 집착하는 것을 좋아하며, 자신이 알고 있는 것에 대해 자부심이 높지만, 고의나 악의적으로 일을 저지르지 않는 실력 있는 컴퓨터 운용자를 뜻한다. 반면 남의 컴퓨터에 침입해 파일에 손상을 입히거나 하드 디스크 또는 전화시스템을 통째로 파괴하는 사람을 '크래커(Cracker)' 또는 '반달(Vandal)'이라고 부른다. 크래커는 비창조적이고 수준 낮은 사람들을 말한다. 또 기술을 배우지 않고 단순히 해커 도구를 다운로드 받아 컴퓨터 시스템에 침입하는 풋내기 수준의 '스크립트 키디(Script kiddie)'도 있다.

컴퓨터 시스템의 결함을 관리자도 모르는 사이에 알아내 고쳐주고, 불필요한 시스템 침입을 방지하는 긍정적 역할을 하는 해커, 시스템 결점을 이용해 정보를 빼내거나 혼란을 일으키며 자기 과시를 하거나 돈벌이 목적으로 이용하는 크래커로 구분될 수 있다. 하지만 최근에는 수준 높은 실력자든, 비창조적 파괴자든 해커로 통칭하기도 한다.

국내외에는 보안업체나 컨설턴트로도 활약하고 있는 유명 해커들도 있다.

1996년 한국과학기술원과 포스텍의 해킹전쟁을 주도했던 노정석(32)씨는 97년 보안업체 '인젠'을 창업한데 이어 블로그 전문기업 '테터앤 컴퍼니'를 창립했는데, 이 업체가 지난해 구글에 인수되면서 화제를 모았다. 93년 청와대 PC통신 ID를 도용해 은행 전산망에 접속했다 적발된 '국내 1호 해커' 김재열(40)씨는 지난해 9월 KB국민은행연구소 소장으로 전격 영입되기도 했다.

미국의 해커, 케빈 미트닉은 92년 NEC, 노벨, 모토로라 등의 컴퓨터 전산망에 침입해 이름을 날렸는데, 현재 보안 컨설턴트로 활약하고 있다.

◆디도스, 주체와 파괴력

'분산서비스 거부'로 불리는 디도스(DDoS; Distributeed Denial of Service). 다수의 개인 컴퓨터(PC)를 이용해 특정 시스템으로 대량의 유해 프로그램을 전송해 해당 시스템에 과부하를 일으켜 서브 다운으로 접속이 되지 않거나 정상적 서비스가 불가능하도록 하는 사이버 공격이다.

지난 7일부터 10일까지 청와대를 비롯해 국회, 국방부, 한나라당 등 국가 주요기관과 금융기관이 3차례 디도스 공격을 받았다.

유해 프로그램이 기생하는 대상이 된 '숙주사이트' 125개가 동원됐고, 바이러스와 악성코드에 감염돼 유해 프로그램을 유포시킨 '좀비PC'는 국내 3만여대를 포함해 16만6천대가 활용된 것으로 알려졌다. 국가정보원은 한국과 미국, 일본, 과테말라 등 19개국 92개의 인터넷 주소(IP)를 통해 사이버 공격이 이뤄졌다고 밝혔다. 국정원은 디도스 공격의 주체로 북한을 꼽았다.

지역의 한 해커 A씨(38)는 "북한을 배후로 지목한 것은 서울 광화문 인근에서 담배를 피기 위해 라이터를 켰다고 해서 촛불집회 참가자로 규정해 체포하는 것이나 다름없다"고 말했다. A씨는 개인적 의견임을 전제로, "디도스 공격의 수준을 감안할 때 특정 단체가 관련됐다고 보지만, 정치적 목적을 가졌다고 보기 힘들다"며 "청와대와 한나라당 등의 홈페이지에 서비스 거부 공격을 하는 것으로 어떤 이득을 얻을 수 있겠느냐. 자기만족이나 과시 외에는 다른 목적이 있다고 보기 어렵다"고 했다. 또 "제대로 된 해커나 크래커라면 굳이 표시 나고 구축하는데 시간이 많이 걸리는 디도스를 해킹에 동원하지는 않을 것"이라고 했다.

이번 사이버 공격에 대해 정부는 우왕좌왕했고, 늦은 대응에다 해결책마저 민간업체에 매달리는 등 큰 혼란을 빚었다. 사이버 테러에 대응할 정부내 '컨트롤 타워'의 필요성이 제기됐다.

◆공격 수단과 방법, 그리고 피해

지난 4월 미국 국방성 컴퓨터 네트워크에 해커가 침입, F-35 전투기의 설계정보를 빼내 갔다고 월스트리트저널이 보도했다.

지난해 4월에는 청와대 전산망이 해커의 공격을 받아 국가자료 일부가 유출됐고, 2월에는 국내 인터넷 쇼핑몰 '옥션' 사이트가 해킹당해 회원 1천81만명의 정보가 빠져나갔다. 2003년 1월에는 전국 유무선 인터넷 접속이 9시간 가량 중단되는 '인터넷 대란'을 겪었다. 해커가 마이크로소프트사의 MS-SQL 서버에 웜 바이러스를 유포시켜 트래픽이 발생했던 것.

대구에서도 2007년 여름 한 사이버 동영상제작업체의 전산망이 뚫려 이틀 동안 접속이 되지 않았다. 디도스 공격을 받았던 것. 이 해커는 메신저를 통해 '더 이상 디도스 공격을 하지 않는다는 조건으로 수백만원을 달라'고 업체에 요구했다. 대구경찰청 사이버범죄수사대가 수사에 나섰으나, 메신저 주소(IP)가 중국발인 것을 확인한 채 범인은 체포하지 못했다.

대구경찰청 사이버범죄수사대에 따르면 올해 1월부터 6월까지 해킹 사건으로 접수된 건수는 모두 389건. 디도스 공격이나 바이러스 유포 사례는 없고 모두 계정도용이다. 이 중 118명의 해커를 기소한 것으로 나타났다.

김재성 대구경찰청 사이버범죄수사대장은 "디도스 공격의 경우 숙주사이트를 조사해도 해커를 찾아내기 쉽지 않다"며 "해커가 숙주사이트 관리자도 모르게 악성 프로그램을 감염시키기 때문"이라고 말했다.

해킹의 유형은 다양하다. ▷프로토콜 취약점(디도스, 스니핑, 스푸핑) ▷시스템 서비스 설정의 취약점(파일시스템 쓰기권한, 파일공유 설정) ▷프로그램 취약점(자바 스크립터, PHP스크립트, 버퍼오버플로우) ▷악성코드(바이러스, 백도어, 웜, 트로이안) 등을 활용한 방식이 있다. 이 가운데 디도스는 시스템이 가진 자원 이상으로 유해 프로그램을 전송하는 가장 원시적인 공격법이라고 할 수 있다.

해킹의 도구로는 맥가이버의 '주머니칼'에 비유할 수 있는 PC- Tools, 강력한 사용자 환경을 지녀 '연장을 담은 가방'이라고 할 수 있는 NDE(Norton Disk Edit), 모든 프로그램의 '록'(Lock)을 해제하는데 필수적인 디버그(Debug) 등을 꼽을 수 있다.

◆해킹과 방어력 수준

지역 해커 B(32)씨는 "기업은 물론 관공서마저 부적절한 코드사용이나 보안의식 부재, 보안장비에 대한 맹신으로 전문 해커가 아닌 스크립트 키드 수준만으로도 언제든지 정보를 빼내고, 최고 관리자 권한을 얻을 수 있는 상태"라고 말했다.

그는 C쇼핑몰에서 비밀번호를 사용하지 않고도 간단한 기법으로 사용자 계정을 볼 수 있었고, 외부 접근이 차단된 일부 관공서에도 일부 장비를 설치하거나, 공개된 웹서비스의 관리 등 요인을 통해 접근이 가능하다고 했다. 또 "국내 유수의 조선소 전산망에도 휴대폰을 이용해 외부 망과 연결하고, 이를 다시 업무용 PC에 연결해 내부망 접근이 가능했다"고 말했다.

한국 해커들의 수준은 선진국의 다른 어떤 나라에도 뒤떨어지지 않는다는 평이다. 지난 4월 41개국 1천750개 팀이 예선을 치른 '제2회 해킹방어대회'에서도 한국 팀이 우승컵을 거머쥐었다.

반면 국내 보안의식과 해킹 방어능력은 상대적으로 낮다는 평가가 지배적이다. 현재 청와대를 비롯해 각 정당, 지방자치단체 전산망은 스크립키드의 사이버 공격에도 손을 쓸 수 없는 상황이라고 전문 해커들은 판단하고 있다.

국내 높은 수준의 해커 상당수가 프로그래밍, 네트워크 설계, 운용체제(OS) 개발 등에 관여하고 있지만, 국가 차원에서 이들을 유용하게 활용할 수 있는 환경을 조성하는데 소홀하다는 점이 아쉬운 측면이다.

김병구기자 kbg@msnet.co.kr