July 16,2018

해킹 대중화 시대 열리나

비전문가도 해킹 가능해져

FacebookTwitter

영화를 보면 간혹 컴퓨터 천재가 시스템을 해킹하는 장면이 나온다. 해킹 내용은 알 수 없으나, 멋있어 보이는 건 사실이다. 해킹 시연 영상을 보아도 실제로 그렇다.

가령, 보안 전문 기업 ‘체크포인트’에서 로봇 청소기를 해킹해 원격으로 조종하는 시연 영상을 보면 해킹이 굉장히 고도의 기술을 필요로 하는 것처럼 보인다. 따라서 해킹이 우리와는 멀게만 느껴질 것이다.

그런데 실제로 그렇지는 않다. 다시 말해 비전문가도 해킹이 가능하다는 얘기이다. 이는 여러 해킹 툴들이 있기 때문이다. 디지털 전문 매거진 ‘컴퓨터 월드(Computer World)’는 “해킹 툴로 어떠한 바보도 사이버 범죄자가 될 수 있다(Crime-as-a-Service tools and anonymization help any idiot be a cyber-criminal)”라는 기사를 기고한 적이 있었다.

더욱이 인공지능 (AI)는 자동화로 삶을 편하게 하고 있는데, 이는 해커에게도 적용되어 해킹 툴이 진화하고 있다. 따라서 AI 기반 해킹 자동화 툴만 있으면, 누구든지 마우스 클릭만으로 해킹할 수 있는 것이다. 실제로 이러한 해킹 툴들이 등장하고 있다.

전문적으로 해킹하는 모습 ⓒ Flickr

전문적으로 해킹하는 모습 ⓒ Flickr

지난 2월 연합뉴스에 따르면, 쓰쿠바(筑波)대학 인공지능과학센터의 사쿠마 준(佐久間淳) 교수팀은 AI를 이용해 안면 인식 시스템을 속이는 해킹 툴을 제작했다.

해당 해킹 툴은 안면 인식 시스템이 진짜 사람의 얼굴이 화상 카메라에 있는 것처럼 속인다. 이는 얼굴 인증에 취약점으로 작용할 수 있는데, 특정인인 것처럼 얼굴 인증을 속일 수 있기 때문이다.

이러한 툴은 해커에게 얼굴 인증을 필요로 하는 시스템에 접근하는 데에 유용할 것으로 보인다.

해킹 대상과 취약점을 자동으로 찾아주는 해킹 툴도 최근에 등장했다. 오토스플로잇  (Autosploit)은 공격 대상 기기를 자동으로 검색하고, 해당 기기의 취약점을 찾아준다. 이는 해커를 편리하게 할 뿐만 아니라 시간을 줄여준다.

AI를 활용해 피싱 (Phishing)도 자동으로 해주는 툴도 이미 개발돼 있다. 2016년에 세계적인 보안 행사인 ‘블랙햇 (Blackhat)’에 참관한 적이 있는데, 보안 전문회사 제로폭스 (ZeroFOX)가 SNS인 트위터를 이용해 악성코드에 감염을 유도하는 기술을 선보였다. AI가 댓글을 달아서 사람이 악성 링크로 접속하도록 유도하는 방식이다.

방문 유도율은 사람 해커보다 낮았지만, 처리 속도는 AI가 훨씬 더 높아서 방문 유도 수가 사람 해커보다 6배가량 많았다.

이처럼 AI를 이용한 여러 해커 툴이 등장하고 있어서 해커는 해킹이 쉬워질 전망이다. 한 보안 전문가는 AI 해킹 툴이 해커를 멍청하게 만들고 있다고 말한 적이 있다. 해커는 AI가 해주는 것을 멍청하게 바라만 보고 있으면 되기 때문이다.

해킹 장터 ‘다크웹’이 CaaS 시장 형성

이처럼 해킹 툴이 발전하고 있는 이유는 동기가 있기 때문이다. 다시 말해 해킹 툴을 이용하는 소비자가 있기 때문에, AI 적용을 비롯한 해킹 툴이 계속 발전하고 있다. 참고로 해킹을 위해서 제공하는 서비스를 ‘사이버 범죄형 서비스 (CaaS: Crime-as-a-Service)’라고 부른다.

구매 방식은 일반 서비스와 크게 다르지 않다. 다만 다른 점이 있다면 구매 절차가 까다롭다는 것이다. 범죄 시장이다 보니 사기도 많다. 그리고 일반 서비스와 가장 크게 다른 점은 음지에서 구매가 이뤄진다는 것이다. 이러한 음지 역할을 ‘다크웹(DarkWeb)’이 맡고 있다.

다크웹은 사이버 범죄와 같은 거래가 이뤄지는 네트워크 공간으로, 주로 딥 웹(Deep Web)에 형성돼 있다.

해킹 시장 장터 역할을 하는 ‘다크웹’ ⓒ Free photo

해킹 시장 장터 역할을 하는 ‘다크웹’ ⓒ Free photo

네트워크 공간은 크게 ‘서피스 웹(Surface Web)’과 ‘딥 웹’으로 나눌 수 있다. 전자는 우리가 알고 있는 일반적인 인터넷 서비스이다. 딥 웹은 네트워크 통제자가 없는 익명 공간으로 ‘토르(Tor)’가 대표적인 예이다.

CaaS 시장에서는 주로 가상화폐로 주로 구매가 이뤄진다. 익명으로 가입할 수 있어서 해킹과 관련된 거래 명세를 숨길 수 있기 때문이다. 과거에는 비트코인으로 주로 거래가 이뤄졌었다. 그런데 비트코인 등 대부분 가상화폐는 거래 이력에 IP주소가 남고, 이를 통해 추적하는 기술이 개발되고 있다.

따라서 요즘 대부분 해커는 IP주소를 숨기는 등 다양한 익명성을 제공하는 ‘모네로 (Monero)’라는 가상화폐를 이용하고 있다.

그렇다면 다크웹에서는 어떠한 해킹 서비스를 받을 수 있는 것일까? 서비스 종류는 상상할 수 없을 정도로 많다.

가령 악성코드를 주입한 사이트를 구입할 수 있다. 구매자는 이를 활용해 다양한 범죄를 저지를 수 있다. 드론을 해킹하는 툴도 판매하고 있다. 2008년에 이란은 러시아로 추정되는 해킹 그룹으로부터 26달러에 해킹 툴을 구매해 미국 군용 드론 ‘프레데터 (Predator)’를 해킹한 적이 있다.

악성코드도 구매할 수도 있다. 랜섬웨어와 같은 악성코드를 구매할 수 있는데, 참고로 랜섬웨어 관련 해킹 서비스를 ‘랜섬웨어 서비스(RaaS: Ransomware-as-a-Service)’라고 부른다.

보안 전문 기업 ‘트렌드 마이크로 (Trend Micro)’에 따르면, 최근 러시아로 추정되는 해킹 그룹은 랜섬웨어 서비스를 저렴한 금액인 39달러에 판매하고 있다.

서비스를 마비시키는 ‘디도스 (DDoS)’ 공격도 구매할 수 있다. 해당 서비스는 너무나 만연해서 다크웹이 아닌 곳에서도 구매할 수 있다. 서비스 검증 차원으로 1회 무료로 제공하는 곳도 있다. 취약점을 찾아주는 ‘익스플로잇 킷 (Exploit Kit)’ 서비스도 구매할 수 있다.

랜섬웨어 해킹 지원도 서비스 구매로 받을 수 있다 ⓒ Flickr

랜섬웨어 해킹 지원도 서비스 구매로 받을 수 있다 ⓒ Flickr

4차 산업혁명 시대에 ‘사이버 보안’이 강조돼야 해    

해킹은 생각보다 어렵지 않다. 누구든지 마음만 먹으면 가능하다. 이 말은 곧 해킹 위협이 곳곳에 깔렸다는 의미이기도 하다.

재작년 정부 기관의 요청으로 4차 산업혁명 시대와 관련한 사이버 위협을 주제로 100쪽 분량의 전문 보고서를 작성한 적이 있다. 해당 보고서에서 해킹이 쉬워짐에 따라 해킹의 대중화가 예상되므로, 이에 대응할 필요가 있다고 주장했었다.

4차 산업혁명 때문에 코딩 교육 바람이 불고 있다. 이는 컴퓨터 프로그래밍에 많이 친숙해지고 있다는 신호이다.

사람과 직접 대화하지 않고 SNS로 채팅을 주고받듯이, 사람들이 컴퓨터 프로그래밍에 익숙해짐에 따라 범죄도 이제는 물리적인 형태가 아니라 해킹 형태일 가능성이 높다. 그러므로 정부는 사이버 보안의 중요성을 인식하고 해킹에 대응할 정책안을 적극적으로 추진해야 한다.

의견달기(0)