소니 해킹 사건을 통해 '실력없는 싸가지'라는 이메일 뒷담화의 주인공이 된 안젤리나 졸리는 소니픽처스 회장을 만나 정색을 했고, 유명 미국 드라마 <뉴스룸>의 작가인 아론 소킨은 뉴욕타임즈 기고를 통해 "수 많은 가쉽 기사를 양산하고 있는 뉴스아울렛들은 해커보다 더한 윤리적 반역자들"이라고 목소리를 높였다. 여세를 몰아 영화 인터뷰는 개봉한지 나흘만에 온라인으로만 165억 원의 수입을 벌어들였다. '해킹 사건이 없었으면 조용히 묻혔을 영화'라는 혹평을 달고.
그러나 누구보다 실질적인 피해를 봤던 것은 소니에서 일하고 있는 직원들이다. 테크크런치와의 인터뷰를 통해 소니의 한 직원은 '해킹 사건 이후, 우리는 1992년으로 돌아간 구식 사무실에서 일하고 있다'고 토로했다. 그녀에 따르면 사무실 안에서는 이메일도, 메신저도 금기시 되며 전체 사무실을 통틀어 하나 혹은 두 대의 컴퓨터만 가동되고 있다. 의사소통은 팩스로, 대부분의 업무는 아이패드나 아이폰으로 해결하고 있다고 한다. 설상가상 이미 퇴직한 직원들의 과거 연봉까지 공개돼 소니는 소송 폭탄을 맞아야만 했다.
크고 작은 보안 사건들은 국내에서도 여럿 발생했다. 12월에는 '원전반대그룹'에 의해 한국수력원자력 내부의 원전 도면이 유출됐다. 농협에서는 지난 11월 한 고객의 돈 1억 2천만 원이 감쪽같이 사라지는 일이 벌어지기도 했다. 북한발이든 중국발이든, 해킹 공격이 매년 증가하고 있다는 것만큼은 명백하다.
언제나 연결된 세계(Always connected world) 안에서, 우리의 일상은 어떻게 해커들에게 노출되고 있을까. 미국의 보안 업체 웹센스가 발표한 '2015 보안 예측 보고서'를 기반으로 살펴보았다.
#1. 아침에 눈을 떴을 때 공간 곳곳에 놓여진 가전제품이 당신의 삶을 지켜본다
기계들이 서로 연결되어 상호작용하는 IoT의 세계에서 가전제품을 통한 해킹의 위협은 계속해서 문제가 된다. 집 안 곳곳에 위치한 냉장고, 실내 온도계, 스마트 TV 등 모든 것들이 해킹 공격의 대상이 될 수 있다. 예를 들어, 카메라가 장착된 청소기가 해킹된다면 우리가 집에서 무엇을 입고 어떤 행동을 하고 있는지가 고스란히 해커들에게 노출될 수 있다.
그러나 웹센스 보고서에 따르면, 이러한 IoT 가전제품 해킹보다 더 위협적인 것은 회사 안에서의 IoT 디바이스를 통한 공격이다. 사이버 범죄자들이 개인의 IoT 기기를 해킹함으로써 얻을 수 있는 보상은 비교적 적다. 이를테면 스마트 냉장고를 해킹해 우유를 상하게 하거나 버터를 녹이는 것보다는 발전소, 공장, 석유 굴착 장치들을 작동시키는 산업용 IoT 기계를 해킹하는 것이 더 얻을 것이 많은 것이다.
웹센스의 보안 분석가인 칼 레오나르드는 "IoT는 TV부터 냉장고까지 모든 소비재들이 디지털로 연결되어 있다는 것을 의미하며, 비즈니스 현장에서는 모든 직원들의 연결된 디바이스가 잠재적 위협 요소"라고 말했다. 보고서에 따르면 산업 현장에서의 IoT 해킹은 주로 프로그램 가능 논리 제어 장치(Programmable logic controller)를 표적으로 한다. 이것은 각종 센서로부터 신호를 받아 제어기에 신호를 보냄으로써 사람이 지정해둔대로 로봇이 작동하도록 해주는 장치를 의미하는데, 만약 이 시스템이 해킹을 당해 공장 등의 가동이 멈추게 될 경우에 회사는 순식간의 수 억원의 매출을 잃을 수 있다.
#2. 출근길 들여다보고 있는 스마트폰은 당신의 '소셜 지문'이다
스마트폰 자체에 대한 해킹도 문제가 된다. 국내에서도 단돈 20만 원에 스마트폰 통화 기록, 모바일 웹 활동 기록 등을 해킹해주는 악덕 서비스가 한 때 기승을 부렸다. 그러나 모바일 악성코드 사건은 총 사이버 공격의 1퍼센트도 차지하지 않는다. 진짜 문제는 스마트폰이 우리의 정체성을 입증해주는 일종의 '주민등록증'처럼 사용되고 있다는 점이다.
예를 들어, 수 많은 웹과 앱 서비스들이 페이스북을 통한 로그인 기능을 지원한다. 이것은 만약 우리의 스마트폰이 해킹된다면, 해커들은 개인의 거의 모든 클라우드 계정에 접속할 수 있다는 것을 의미한다. 이 때 페이스북은 단일장애점(시스템 구성 요소 중 동작하지 않으면 전체 시스템이 중단되는 요소)이 된다. 소셜네트워크 서비스를 통한 개인 인증이 증가하면서 해커들이 개인의 일상에 침투할 수 있는 공격면이 넓어진다는 이야기다. 이처럼 신원 확인과 관련된 스마트폰 해킹은 계속해서 폭발적으로 증가하게 될 것이다.
#3. 업무 중 팀원들과 함께 쓰는 구글독스가 악성코드의 숙주가 된다
이제 사내에서 구글독스와 같은 협업 도구를 사용하는 것은 흔한 일이다. 그리고 점점 더 많은 기업들이 클라우드 협업 도구와 소셜 미디어 도구들을 업무에 활용하기 시작했다. 이에 해커들은 트위터, 구글독스와 같이 합법화된 사이트로 자신들이 사용하는 서버(Command and Control, CNC)를 이주시킬 것이다.
이는 검열의 눈을 피하기 위해서다. 사용자들이 어디로부터 넘어왔는지를 일일이 체크하는 꼼꼼한 사이트 관리자라 할지라도, 페이스북, 트위터, 구글독스와 같이 일반적인 사이트로부터의 유입자를 의심하는 일은 흔치 않다. 그렇기 때문에 이런 곳에 악성코드를 심으면 발각될 위험이 적어진다.
보고서는 이러한 합법화된 사이트는 악성코드를 배포한다기보다는, 이미 피해자의 디바이스에 심겨진 악성코드를 통제하고 조절하는데 활용될 것이라고 예측했다. 믿는 도끼에 발등 찍히듯 회사가 승인한 채널로부터 오히려 치밀하고 교묘한 해킹 공격이 발생할 위험이 높아지고 있는 것이다.
#4. 해커들의 노다지, 병원은 '해킹 살인'의 근원지가 될 수 있다
2015년, 웹센스를 비롯한 수 많은 보안 업체들이 병원을 가장 큰 해킹 위험지역으로 꼽았다. 미국의 신용도용범죄정보센터(Identity Theft Rsesource Center)의 자료에 따르면 헬스케어 정보 해킹은 2013년 주요 데이터 유출 사건의 43%를 차지하고 있다.
실제 지난 8월 18일에는 중국 해커들이 미국의 한 대형 병원을 해킹한 사건이 발생했다. 이를 통해 450만 명에 달하는 환자들의 개인 정보가 유출됐다. 당시 유출된 정보에는 450만 명 환자들의 이름, 주소, 생년월일, 전화번호와 사회보장번호가 모두 포함되어 있었다. 마음만 먹으면 얼마든지 계좌 생성등을 할 수 있을 정도의 정보량이다.
해커에게 있어 병원이 노다지인 이유는 데이터를 암시장에 팔 경우 그 거래금액 자체가 상상을 초월할 정도로 높기 때문이다. 환자의 약점을 모두 파악할 수 있을 뿐 아니라, 의료 기기나 신약에 대한 내용도 담고 있는 고급 정보에 속한다.
아직 사례는 없지만 '해킹 살인'의 문제도 계속해서 제기된다. 최근 딕 체니 전 미국 부통령은 해킹 걱정으로 자기 몸에 있는 심장박동기의 무선 기능을 꺼놓았다고 고백한 바 있다. 바나비 잭이라는 해커는 이미 3년 전, 당뇨병 환자 몸에 이식한 인슐린 펌프를 해킹해보였다. 유럽 경찰기구은 유로폴은 "사물 인터넷 기기의 보안취약성 정보를 거래하는 암시장도 존재히 '온라인 살인'의 현실화는 시간문제"라고 강조하기도 했다.
웹센스는 보고서를 통해 "의료 기록은 빠르게 디지털화되고 있지만, 정작 의료 기록에 대한 보안 문제는 그 속도를 따라잡지 못하는 것이 문제"라고 밝히면서 "2015년의 가장 큰 보안 목표는, 개인의 건강과 식별 정보를 해커들의 손으로부터 지켜내는 것에 있다"고 밝혔다.
