[기고] 갑자기 연락이 뜸하던 친구로부터 다급한 전화가 왔다. 어제 과속운전을 했고 오늘 민원 안내 문자를 받았는데, 그것이 피싱 문자라는 사실을 방금 알게 되었다는 것이다. 그는 주민번호, 주소, 핸드폰 번호 같은 개인정보를 피싱 사이트에 다 입력했는데 어떻게 하면 좋냐며 의논하고 싶다고 했다.
문자 내용과 상황을 자세히 들어보니, 피싱 사이트는 고도로 정교한 것은 아니었다. 하지만 도둑이 제 발 저린다고, 어제 속도위반을 했으니 그는 문자를 받고는 뜨끔한 나머지 당황해 속은 것이다. 도대체, 해커는 어떻게 친구의 속도위반 사례를 알고 있었을까? 그는 우연한 랜덤 피싱 문자를 받은 것일까?
나는 꼭 우연은 아닐 수 있다고 생각했다. 필자가 속한 회사는 다크웹(특수한 프로그램을 통해서만 접근 가능한 웹)과 해킹그룹(개인이 아닌 팀 혹은 국가지원을 받는 대규모 사이버 해킹 그룹)을 추적하는 서비스를 만들고 있다.
우리는 해커들이 수집할 수 있는 외부 위협 정보를 최대한 많이 크롤링해 기업과 기관에 미리 알려주는 서비스를 한다. 그러다 보니 그곳에 흘러가는 데이터 흐름을 대략 알 수 있다. 그가 받은 문자는 충분히 어딘가에서 유출된 데이터를 악용한 사기행각 일지 모른다.
이런 일들은 비단 개인 만을 타겟으로 하지 않는다. 기업을 노리고 오랜 기간 시나리오를 만들어 집요하게 공격하는 글로벌 해킹그룹들이 엄청나게 많다. 해킹그룹은 먹이를 찾기 위해 방대한 리서치를 하고, 타겟을 정해 인정 사정 없이 물어 뜯는다.
해킹 그룹들이 가장 애용하는 공격 방식은 뭘까? 단연 랜섬웨어다. 최근에는 단순히 중요데이터를 암호화 하여 인질로 잡고 협박 하는 일반적인 방식에 그치지 않는다. 훔친 데이터를 외부에 단계적으로 공개 하겠다고 위협 하고, 디도스 공격을 추가로 하겠다고 으름장을 놓으며, 심지어 기업의 고객을 직접 협박 하기도 한다. 그야말로 피해 기업은 사면초가에 처한다.
2022년 한 해에만 대한민국에서 랜섬웨어 피해액은 약 5600억 정도다. 2021년에 비해 감소한 수치라고는 하나, 범죄 유형은 유출한 데이터를 외부에 공개하여 2차 3차 피해를 입히는 방식으로 진화하고 있어, 피해 규모가 정확히 어느 정도 인지 계산하기 힘든 상황이다.
그는 이런 험한 세상을 어떻게 살아야 할지 고민이라고 했다. 디지털 포비아(디지털사용에 두려움이나 거부감을 느끼는 증세)를 외치며 살면 될지 물었다. 안타깝게도 우리의 모든 삶이 네트워크를 통해 연결되고 디지털화돼 있으니 그것은 불가능하다.
그렇다면 어떻게 해야 하는가?
먼저 나는 그에게 불필요한 개인 정보를 SNS에 올리는 것을 삼가라고 했다. 페이스북 하나만 보더라도 민감한 개인 정보를 스스럼없이 올리는 경우를 종종 본다. 예를 들어 본인 얼굴이 아닌 아이의 얼굴이나 학교 이름, 새로 장만한 차의 기종과 번호가 담긴 사진 , 사는 동네와 아파트 이름, 새로 태어난 아가의 신체 노출 사진 등이다.
이런 공개된 정보들은 모두 해커들의 입장에서는 피해자를 발견하기 위한 중요한 단서가 되거나, 아동 포르노와 같은 불쾌한 범죄 홍보에 연류 되는 빌미가 될 수 있다. 물론 원활한 네트워킹을 위해 공개해야 할 최소한의 정보들은 존재한다. 하지만 과도한 사생활 정보까지 공개할 필요는 없을 것이다.
또한 언제든 사이버 공격을 당할 수 있다는 사실을 인정하고 대비해야 한다. 지속적인 비밀번호 관리나 2단계 인증과 같은 개인의 보안 관리는 기본이다. 하지만 이것만으로 충분치 않다. 막는 자보다 공격하는 자는 항상 우위에 있기 때문이다. 당하고 뚫려도 피해를 최소화 하거나, 빠르게 대응할 수 있는 전략을 마련하는 게 현실적이다. 가급적 중요 데이터를 여러 군데로 분산해 저장하고, 외부에 유출된 개인 정보가 없는지 수시로 점검하는 것이 필요하다.
기업 입장에서는 사이버 공격을 받더라도 업무 중단이 일어나지 않도록 복구시스템을 잘 구축하는 게 필수적이다. 신속한 복구를 사전에 연습하고 훈련하는 ‘사이버 탄력성’(Cyber Resilience) 프로세스를 잘 마련해 놓는다면 금상첨화일 것이다.