와우해커의 목표는 “한국 정보보호의 발전”

홍민표 쉬프트웍스ㆍ와우해커 대표

‘천재는 노력하는 자를 이기지 못하고 노력하는 자는 즐기는 자를 이기지 못한다’고 했다. 이 문구는 홍민표 쉬프트웍스 및 와우해커 대표에게 어울리는 말이다. 그는 자신이 좋아하는 일, 해킹에 순수한 열정을 갖고 즐거운 마음으로 노력해 왔고 그 결과 최고의 해커라는 명성을 얻게 됐다. 그가 정상의 자리에 오르기까지의 시간들을 글로 풀어내려 한다. 그와 같은 꿈을 그리는 이들을 위해.

끊임없는 노력과 열정으로 꿈 이뤄

홍민표 대표가 컴퓨터를 접한 것은 초등학교 4학년 때다. 그리고 해킹에 본격적으로 관심을 가지게 된 것은 고등학교 2학년 시절. 당시 국내엔 인터넷이 많이 보급되지 않았던 때다. 특히나 그가 살던 대전에서는 말할 것도 없다. 친분이 있던 형의 도움으로 카이스트 전용 망으로 연결된 인터넷을 처음 접하게 됐고 방대한 양의 정보를 얻게 됐다. 그 때 처음으로 ‘해커’라는 용어를 접하게 됐다. 그리고 그는 ‘해커’에 대한 각종 자료를 찾아보기 시작했다. 인터넷을 통해 배우게 된 해킹 기법을 시험 삼아 시도해 보기도 하며 이론이 아닌 실제 ‘해킹’을 하게 됐다.

“당시 해킹에 관련된 책이 국내에는 없었기 때문에 주로 인터넷으로 자료를 찾아봤고 관련 자료를 공부하다 보니 여러 기법들을 알게 됐어요. 외국 BBS도 들어가 보고 IRC 채팅도 해보고, 그러다 보니 지식이 쌓이게 됐죠.”

현재 쉬프트웍스 이근상 부사장은 고등학교 시절부터 친구다. 그와 함께 고등학교 시절 해킹에 관련된 다양한 자료를 수집하며 해킹에 푹 빠졌다. 고 2때 이미 여러 서버의 취약점을 발견하게 됐고 해킹을 자유자재로 할 수 있었다. 이 때 해킹에 대한 감이 트이기 시작했다.

“해킹은 감각으로 해요. 베이스부터 시작해 공부하며 해킹을 하는 부류가 있다면 전 다른 반대 쪽에 속해요. 감이 트이다 보니 연동이 돼 다른 사이트의 취약점을 또 계속 찾을 수 있게 됐고요. 10년이 지난 지금에서야 이야기 하지만 당시 웬만한 사이트는 다 뚫어 봤어요.”

97년 컴퓨터 공학 전공으로 대학에 들어갔으나 대학 공부보다는 해킹 연구에 열중해 있었다. 3번이나 대학교를 옮기고 제작년에야 비로소 졸업할 수 있었다고 하니 그의 대학 시절을 상상해 볼 수 있다. 이후 98년 개인 홈페이지를 만들었다. 이것이 현재 ‘와우해커(Wowhacker)’의 전신이다. 처음에는 개인 홈페이지로 시작했으나 한국에 해킹 자료가 많이 없는 점이 안타까워 다른 이들과 정보를 공유하기 위해 원서를 번역하기도 했다. 또 연구한 내용을 사이트에 올리다 보니 사람들이 많이 모이고 팀이 형성되면서 사이트에 대한 관심과 규모가 점점 커진 것이다.

“처음 ‘하이커플’이라는 미팅사이트를 시작했으나 잘 안됐어요. 그래서 도메인만 이용해 와우해커 사이트(www. wowhacker.org)를 만들었죠. 이름을 뭘로 할까 고민하다 친구가 ‘와우PHP’라는 사이트를 운영하고 있던 것에 착안, ‘와우해커’라고 정했어요”

현재 와우해커는 내부적으로 교육도 하며 해킹 대회에 참여하기도 하는 등 사람들이 알아주는 해커 그룹으로 성장했다.

“해킹대회에 나가서 많은 팀들이 좋은 성적을 냈어요. 국내외 해킹 대회에서 수상을 많이 하다 보니 와우해커의 이미지도 좋아졌죠. 이름이 알려지다 보니 해외, 특히 아시아 해커들과도 교류를 하게 됐고 정보를 서로 공유하는 등 좋은 관계를 유지하게 됐어요. 모두가 함께 노력한 대가죠.”

수 많은 국내외 해킹 대회서 좋은 성적을 거두다 보니 너무 대회 위주로 가게 되는 것 같아 지양하기로 했다. 그래서 해킹 대회는 나이가 어린 멤버들 위주로 보내고 그 윗선은 해킹과 보안 연구만 하자고 결정했다. 해킹 대회와 같은 행사를 주관할 때는 돈도 많이 들지만 그는 결코 업체에서 스폰을 받지 않는다는 것을 고집하고 있다.

“와우해커는 비영리 연구 그룹으로 만들겠다는 의도로 형성됐어요. 국내 정보보호에 기여하겠다는 목표를 갖고서요. 운영비는 제가 그 동안 모아둔 돈으로 충당하고 있어요. 정모할 때 회비 정도 외에는 서버부터 모든 기기들을 사비로 마련했어요. 멤버들에게 부담을 주지 않고 자유롭게 연구에 매진할 수 있도록 하기 위해서지요.”

선행 기술을 통해 한국 보안 위상 높일 것

2010년 와우해커는 자체적으로 컨퍼런스나 해킹대회도 열 계획이다. 또한 연구 위주로 진행하며 선행 기술에 초점을 둘 예정이다. 외국인들은 선행 기술을 많이 하는데 아직 국내는 많이 부족하다.

“기술을 많이 연구해서 우리나라 보안이 많이 강화되길 바래요. 더 나아가 이 기술이 해외로 많이 진출되길 원하죠. 때론 외국에 어떤 소프트웨어가 있는데 그 기술이 국내에 없을 경우 공개된 프로그램을 분석해 기술을 알아낼 때도 있어요. 이런 때 해커로서의 자부심을 느끼죠.”

이런 점에서 해커 양성이 많이 돼야 한다. 그러나 문제는 국내의 엄격한 규제 때문에 인력 양성 활성화가 힘들다는 점이다. 국내에서 여러 많은 사건이 터지다 보니 최근 규제가 더욱 심해졌다. 어느 정도 적정 수준이라면 좋을 텐데 너무 규제가 엄격해 지다 보니 해커들이 국내에서 활동을 거의 하지 않는다. 2000년도 초반만 해도 규제가 많지 않아 해커들이 활발히 활동하며 연구가 많이 이뤄진 것에 비하면 아쉬운 점이 한 두가지가 아니다. 특히 우리나라는 해커라고 하면 범죄자의 이미지가 너무 강해서 해커를 양성할 수 있는 환경이 되지 못한다.

“우리나라 사람들은 해커라고 하면 부정적인 이미지로 범죄를 떠올려요. 하지만 해커라는 것은 컴퓨터를 깊이 있게 이해하고 좋아하는 사람, 좋은 사이버 세상을 만들어 가는 데 도움을 줄 수 있는 사람이에요. 그러나 영화나 언론 등에서 해커와 크래커의 차이를 구분 짓지 않아 사람들의 인식이 좋지 않은 것 같아요. ‘해커’는 컴퓨터나 네트워크에 대해 탐구를 즐기는 사람들이라면 ‘크래커’는 다른 컴퓨터에 불법으로 침입해 자료를 불법으로 열람겫?턿파괴하는 행위를 하는 사람들이에요.”

한번은 모 기업 사이트의 취약점을 발견해서 해당 기업에 알렸는데 오해를 산 적이 있었다. 보안 강화를 위해 조언한 것 뿐인데 기업은 오로지 이미지 실추만 생각하고 그를 비난했다고 한다. 그 이후로는 결코 취약점을 발견해도 말을 하지 않는다. 해외와는 다른 문화적인 차이라고 생각한다. 해외에서는 이런 경우 회사측에서 사고를 미연에 방지할 수 있어 도움이 됐다고 받아들이는 반면 한국은 그렇지 않다.

“우리나라는 보안에 대한 투자가 보다 많아야 하고 인식도 높여야 해요. 대부분 사람들이 보안은 ‘있어도 되고 없어도 된다’라는 생각을 한다는 것이 문제죠. 보안이라는 것은 미리 자물쇠로 잠궈 두는 것이라고 생각하면 돼요.”

해킹을 즐기되 사이버 윤리를 지켜라

그는 후배들에게 “뼈를 묻을 것 아니면 시작하지도 말라”고 조언한다. 영화나 소설에 나오는 해커를 보고 환상에 빠져서 시작하는 것은 좋지 않다는 것이다. 특히 해킹과 보안 분야는 어려워 공부하는 과정에서 고비가 많이 있다. 이 과정서 포기하는 사람들을 많이 봤다.

“노력을 많이 하면 좋은 결과가 나올 것이고 그 과정을 즐기면서 해야 해요. 여기서 제일 중요한 것은 반드시 사이버 윤리를 지켜야 한다는 것이에요. 국내 서버를 불법으로 테스트하거나 크래킹하지 말고 자신이 직접 가상 서버를 구축한 후 시험해 보는 것이 좋아요. 자칫하면 범죄의 길로 들어서게 되거든요.”

그는 실제로 크래킹을 한 적이 없다. 예전 팀 멤버들의 실수로 인해 조사를 받은 적은 있어도 지금 그와 와우해커 그룹은 법 테두리 안에서 해킹과 보안 연구를 하고 있으며 그 연구 결과물들은 한국 보안 발전에 긍정적 영향을 미치고 있다. 힘들 때도 있지만 잘 따라와 주는 멤버들에게 항상 고마운 마음을 가지고 있는 그는 한국의 보안 발전을 위해 앞으로도 즐겁게 일해 나갈 것이라며 웃는다. 그의 웃음에서 느껴지는 것은 승자의 여유랄까. 한국 보안을 지키는 선봉자의 역할을 하고 있는 그에게서 미래의 보안 강국, 한국을 그려본다.

<글 호애진 기자(is@boannews.com) / 사진 김태형 기자(is21@boannews.com)>

[월간 정보보호21c 통권 제113호(info@boannews.com)]

[정보보호21c (info@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)